Toca aê

Validação sempre no back-end

O front-end cuida da experiência, mas quem decide o que é válido é sempre o servidor.

Autenticação com MFA

Login por token, com autenticação em duas etapas disponível pra quem opera o sistema.

Token fora do navegador

O token de acesso fica num cookie httpOnly, injetado por uma camada intermediária. O JavaScript da página nunca o enxerga.

Limite de requisições por rota

Rotas sensíveis, como pagamento e chat da live, têm limite próprio de chamadas por minuto.

Segredos gerenciados, nunca no código

Chaves e senhas ficam num cofre de segredos na nuvem, com rotação programada e acesso registrado.

Auditoria com dado sensível mascarado

Toda ação relevante fica registrada, com CPF, CNPJ e dado de pagamento sempre mascarados no log.

Verificação automática antes de cada commit

Tipagem, formatação e um verificador de migração arriscada rodam antes de qualquer código entrar no projeto.

Pagamento PIX com split automático

A divisão do valor entre as partes acontece automaticamente, sem passo manual.

Webhook de pagamento idempotente

Receber a mesma confirmação duas vezes não gera cobrança nem crédito duplicado.

Reconciliação automática por trás

Se a confirmação do pagamento não chegar pelo webhook, uma rotina própria confere e corrige sozinha.

Notificação em tempo real

Pedido de música e status da fila chegam na hora, via WebSocket, sem precisar atualizar a página.

Canal próprio por usuário

Cada pessoa tem um canal persistente, que continua recebendo notificação mesmo depois de trocar de tela.

Tarefas assíncronas e agendadas

Trabalho pesado roda em segundo plano, sem travar a resposta de quem está usando o sistema.

Views, services e models, cada um no seu papel

Regra de negócio nunca fica misturada na camada que recebe a requisição.

Tratamento de erro centralizado

Um único ponto decide como cada tipo de erro vira resposta, em vez de cada rota inventar o próprio formato.

Resposta da API sempre no mesmo formato

Toda rota devolve sucesso ou erro do mesmo jeito, previsível pra quem consome.

Documentação da API gerada automaticamente

O catálogo de rotas é gerado direto do código, então nunca fica desatualizado.

Banco com identificador não sequencial

Registros centrais usam um identificador que não dá pra adivinhar contando de um em um.

Verificação de tipos em modo estrito

Ligada em todo o projeto, front-end e back-end, não só nas partes novas.

Aplicação com renderização no servidor

Carregamento mais rápido e melhor indexação, sem depender só do processamento no navegador.

Camada intermediária protege o token

O front-end nunca guarda o token de acesso; uma camada própria repassa a chamada com o token embutido.

Um único jeito de guardar dado do servidor

Sem estado espalhado em ferramentas diferentes: uma biblioteca só cuida de buscar e guardar dado da API.

Navegação por teclado nos campos principais

Busca de música e formulários respondem ao teclado, não só ao mouse.

Imagem sempre otimizada

Nenhuma imagem solta sem otimização, pra tela não pular enquanto carrega.

Erro em produção com contexto sensível removido

O rastreamento de erro apaga senha, token e dado pessoal antes de qualquer registro sair do sistema.

Infraestrutura como código

Toda a nuvem provisionada por código versionado, não clicada manualmente num painel.

Proteção de borda como código

Firewall, certificado e proteção contra ataque também vivem em código, não em configuração manual.

Metas formais de disponibilidade

Tempo de resposta e disponibilidade têm um número alvo documentado, não uma expectativa solta.

Painel de observação e teste de carga

Painéis de acompanhamento e testes de carga guardados no próprio repositório, prontos pra rodar.

Documentação bilíngue por módulo

Cada um dos 14 módulos do sistema documentado em português e inglês.

Integração contínua com banco de verdade

Os testes automatizados rodam contra um banco de dados real a cada mudança, não um simulado.