Cartão

O número do cartão e o CVV nunca passam pela BOSS Pay nem pelo seu servidor: o SDK do adquirente gera um token no navegador do comprador. Você envia apenas token, bandeira e últimos 4 dígitos.

capture: true captura na hora; false apenas autoriza (capture depois, total ou parcial).

curl -X POST https://api2.bosspay.io/v1/card-payments \
  -H "Authorization: Bearer bp_test_SUA_CHAVE" \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: pedido-2231" \
  -d '{
    "amount": "239900",
    "installments": 3,
    "capture": true,
    "card": { "token": "tok_sandbox_approved", "brand": "VISA", "last4": "4242" },
    "customer": { "name": "Ana Queiroz", "email": "ana@exemplo.com" },
    "externalId": "2231"
  }'

APPROVED ou AUTHORIZED trazem NSU, TID e código de autorização. DECLINED traz o motivo do emissor. Erros técnicos do adquirente podem ser repetidos com a mesma Idempotency-Key — o roteamento só troca de parceiro em falha técnica, nunca em recusa do emissor.

Acompanhe em GET /v1/cards/chargebacks e envie a defesa em POST /v1/cards/chargebacks/:id/dispute antes do prazo.

• No Sandbox use tok_sandbox_approved, tok_sandbox_declined ou tok_sandbox_error.
• A BOSS Pay nunca armazena PAN nem CVV.