Por que esse é o comportamento correto
A fila antifraude existe porque os checkouts online rodam card-not-present. A Risk API do Shopify sinaliza padrões que correlacionam com uso de cartão roubado — endereços de cobrança não correspondentes, proxies anonimizadores, velocidade a partir de um IP. Nenhum desses sinais se aplica no POS: o cartão foi inserido, encostado ou passado na loja, o emissor o autenticou ali mesmo, e a responsabilidade de chargeback se desloca para o emissor em uma venda chip-and-PIN. Reter o pedido significaria um cliente no balcão esperando por um e-mail que o lojista também está retendo. Atribuição imediata de chave de licença é o que os lojistas querem aqui.
O que isso significa na prática
Três consequências concretas decorrem do bypass POS:
- Chaves de licença são atribuídas imediatamente. O comprador sai com um código funcionando, não pendente.
- O e-mail de download dispara no webhook ORDERS_PAID. Se o pedido foi registrado contra um perfil de cliente no POS, o e-mail chega em segundos depois do recibo ser impresso.
- O pedido nunca aparece na fila antifraude. Sem linha
FraudCheckQueue, sem chamada à Risk API do Shopify, sem pontuação de risco em lugar algum no admin do Alva.
Admin do Alva → página de detalhes de um pedido POS. Mostre o cabeçalho do pedido com o pill de canal "Point of Sale" do Shopify, e um pequeno indicador "Checagem antifraude pulada — pedido POS" perto de onde a pontuação de risco normalmente apareceria. Alternativa: a fila antifraude vazia com uma nota de rodapé que pedidos POS são excluídos.
Onde isso é aplicado no código
O bypass vive em app/models/webhooks.server.neworder.ts na linha 79. O handler lê o ID do cliente do payload e dá curto-circuito quando nenhum está presente, logando "Order <number> has no customer (POS/guest/draft order), skipping digital delivery" e retornando antes de qualquer caminho de código que toque a Risk API do Shopify ou a tabela FraudCheckQueue. Não há toggle, sobrescrita por loja ou escape por pedido.
Efeitos colaterais a saber
Pular a Risk API significa que pedidos POS não carregam pontuação de risco em lugar algum no Alva. Se uma venda específica na loja física precisa de revisão manual depois, abra o pedido no admin do Alva e clique em Desabilitar acesso — links de download param de funcionar e quaisquer chaves de licença atribuídas voltam para o pool. O passo a passo completo está linkado abaixo.
Veja também
Perguntas frequentes
Não. A ramificação POS é incondicional — o Alva dá curto-circuito antes de alcançar a Risk API do Shopify para qualquer pedido sem registro de cliente. Para revisão manual, use Desabilitar acesso na página de detalhes do pedido no Alva.
Abra o pedido no admin do Alva e clique em Desabilitar acesso. Os links de download param de funcionar imediatamente e quaisquer chaves de licença atribuídas voltam para o pool.
Aplica-se a qualquer pedido pago sem registro de cliente no payload do webhook — vendas POS, pedidos rascunho convertidos sem um cliente vinculado e checkouts de visitante. Os três pulam as checagens antifraude pelo mesmo motivo.
Foi útil?
Última atualização 2026-05-06