Dia do corte e rollback

Para: Adm · Dev — Conferido em 2026-10-18.

O dia do corte é o dia em que o seu produto passa a usar a operação Real. Esta página dá a ordem das ações, os critérios para seguir, a primeira transação real acompanhada e o plano de volta. Faça-a depois de cumprir o checklist de go-live.

O que é

Um roteiro de execução com responsáveis e horários, mais o plano de rollback. Rollback aqui significa tirar o seu produto da operação Real sem perder dinheiro nem duplicar nada. O Dracma não desfaz pagamentos já feitos: o que muda é o seu lado parar de criar novos depósitos e saques e terminar os que estão em andamento.

O seu produto sobe e funciona sem o Dracma. Desligar o método PIX do seu lado não derruba o resto do sistema.

Quando usar

No dia marcado do corte, e novamente se for preciso voltar atrás. Escolha uma janela de baixo movimento, com as duas pessoas que aprovam pedidos no painel disponíveis.

Como funciona

Antes do dia

Quando O que Quem
5 dias antes pedido de operação Real aprovado, chave revelada e instalada no ambiente de produção do conector, ainda desligada para jogadores Adm e Dev
3 dias antes gateway ativo, webhook de produção com o primeiro segredo, limites conservadores, alertas Adm e Fin
2 dias antes GET /v1/ping com a chave nova mostra environment: "production"; ensaio do plano de volta Dev
1 dia antes congelamento de mudanças no conector; checklist 100% com prova; as duas pessoas de aprovação confirmadas todos

Qualquer mudança de chave, IP ou webhook feita pelo painel leva 24 horas de espera. Não deixe nada disso para o dia do corte.

Ordem do dia

  1. Congele deploys no conector.
  2. Confirme que o checklist está completo e que as duas pessoas de aprovação estão online.
  3. Ping: GET /v1/ping com a chave key_live_ devolve environment: "production" e o operation_id da operação Real.
  4. Receptor: confirme que o primeiro segredo de webhook foi girado e está instalado no receptor de produção. Em operação Real não há teste de URL: o primeiro evento chega com o depósito do passo seguinte.
  5. Primeira transação real de valor mínimo, depósito: crie pela tela "Cobrança de teste" (confirme "é REAL") ou pela API, pague o PIX e acompanhe do POST ao deposit.paid, ao fetch-back, ao crédito e à linha da reconciliação.
  6. Primeira transação real de valor mínimo, saque: só depois do depósito pago, porque o caixa vem dos depósitos. Acompanhe a reserva, a decisão, o withdrawal.paid e a finalização da reserva.
  7. Caixa: confira GET /v1/balances e o limiar de alerta de caixa baixo.
  8. Liberação gradual: ligue o método para uma fração dos jogadores, por exemplo 1%, depois 10%, depois 100%, com intervalos para olhar os painéis.
  9. Registro de go-live: preencha e assine.
  10. No dia seguinte: depois das 02:00 UTC, reconcilie o dia nos dois lados.
flowchart TD A["Congelar e confirmar o checklist"] --> B["Ping de produção ok?"] B -- "não" --> X["Parar: corrigir chave ou host"] B -- "sim" --> C["Depósito real de valor mínimo"] C --> D{"Crédito e reconciliação batem?"} D -- "não" --> R["Rollback"] D -- "sim" --> E["Saque real de valor mínimo"] E --> F{"Reserva, pagamento e livro batem?"} F -- "não" --> R F -- "sim" --> G["Liberar 1%, 10%, 100%"] G --> H{"Alertas ou divergências?"} H -- "sim" --> R H -- "não" --> I["Registro de go-live e reconciliação do dia seguinte"]

Critérios para voltar atrás

Volte se qualquer um acontecer:

  • crédito duplicado ou crédito sem paid confirmado por fetch-back;
  • reserva de saque que não volta, ou que volta duas vezes;
  • divergência na reconciliação sem explicação em uma hora;
  • webhooks falhando de forma contínua, sem o job de GET /events compensar;
  • 401 ou 403 inesperados em produção;
  • suspeita de vazamento de segredo (siga o procedimento de Segredos e vazamento).

Rollback

No seu produto (a parte que importa):

  1. Desligue o método PIX para novos pedidos com a chave de recurso que você preparou. O resto do sistema segue de pé.
  2. Mantenha o receptor de webhook e o job de GET /events ligados. Depósitos já criados ainda podem ser pagos até expirar, e saques em andamento ainda terminam. Cada evento continua passando por deduplicação e fetch-back.
  3. Não revogue a chave enquanto houver depósito pendente ou saque em andamento: você perderia o fetch-back.
  4. Devolva a reserva só nos estados terminais de falha confirmados por fetch-back, nunca por timeout.
  5. Reconcilie o dia e trate as exceções (pagamento após expirar, estorno) pela política de exceções.

No Dracma:

  • Suspender o saque automático da moeda, na tela "Regras, listas e emergência": é imediato, zera o automático e o multiplicador, e outra pessoa confirma em até 24 h. Os saques novos vão para revisão manual. Para religar, use uma proposta de mudança de regra.
  • Revogar a chave (uma pessoa, motivo, fator forte), efetivo em até 30 segundos, quando for seguro.
  • Interromper todas as chamadas de uma operação: peça ao suporte do Dracma. As chamadas passam a responder 403 operation_suspended.

Não disponível

O painel não tem botão para suspender uma operação nem para apagar uma operação ou um tenant. Pare pelo seu lado e use a emergência do saque automático. Para suspender ou apagar, peça ao suporte do Dracma.

Voltar para o Teste: aponte o conector de homologação de novo para o host de Teste com key_test_. A operação Real continua existindo, com a mesma chave e o mesmo saldo; ela não é apagada.

Exemplos

Registro de go-live (copie e preencha):

Campo Valor
Operação Real e operation_id
Data e hora do corte (UTC e fuso da operação)
Versão do conector e da suíte de conformidade
external_id e Dracma-Trace-Id do depósito mínimo
external_id e Dracma-Trace-Id do saque mínimo
Linha da reconciliação do dia
Caixa inicial lido em GET /v1/balances
Plano de volta ensaiado em (data)
Responsável do seu lado (nome, assinatura)
Responsável do Dracma (nome, assinatura)

Erros e casos de borda

Situação O que fazer
O saque mínimo é recusado por insufficient_operation_balance o caixa ainda não tem depósito pago; espere o depósito do passo 5
401 unknown_key no corte o host e a chave não combinam: Real usa key_live_ no host de Real
404 em /v1/sandbox/... seus testes de simulação estão apontando para Real; rode-os só no Teste
O PIX do passo 5 não chega ao paid confirme na tela "Gateways" que a conexão está ativa e olhe o status do depósito
Pedido de chave nova no meio do corte leva 24 h de espera; use a chave de reposição preparada antes
Dracma indisponível durante o corte o conector segue de pé; pagamentos ficam em fila ou indisponíveis; retome com a mesma Idempotency-Key

Veja também