Use a URL devolvida pela API
Depois de criar a transação, use o link de jornada retornado pela resposta, como links.webview_url. Não invente a URL concatenando transaction_id, CPF ou código do cliente. As URLs de exemplo da documentação são sintéticas e não identificam uma pessoa real.
A pessoa realiza a verificação em um navegador compatível. Seu aplicativo não precisa receber nem guardar a chave da API para abrir esse fluxo. A chave permanece no servidor que criou a transação.
Trate o link como acesso sensível
Compartilhe o link apenas com a pessoa e pelos canais previstos no seu processo. Não coloque a URL completa em ferramentas públicas de analytics, logs sem controle ou mensagens de suporte abertas. Evite expor também o link curto: ele continua sendo uma forma de acesso à jornada.
As etapas exigidas dependem da configuração aplicável à transação. Não substitua uma etapa obrigatória por uma tela local e não marque a jornada como concluída porque a pessoa fechou o navegador.
Acompanhe sem adivinhar
A abertura de um link não equivale a uma aprovação. Leia a transação pelo backend e processe eventos autenticados. Uma interrupção pode deixar o fluxo pendente; uma expiração exige uma decisão no seu processo, sem reutilizar resultados de outra transação.
Veja resultados e status para decidir como continuar e webhooks para receber atualizações sem depender da tela da pessoa.