Estudo de caso
Uma plataforma para organizar excursões de ponta a ponta: da venda das vagas por um link ao embarque no ônibus por QR Code. Criei do zero, sozinho, e está no ar.
O problema
Um grupo de WhatsApp, uma planilha, comprovante de Pix por print e uma lista de papel na porta do ônibus. Quem organiza passa a semana cobrando, conferindo pagamento à mão e controlando desistências e lista de espera de cabeça.
O ExTrip troca isso por um link. O organizador cria a excursão, divulga onde quiser e a página faz a venda: o passageiro reserva e paga ali mesmo, sem criar conta, e a vaga é confirmada sozinha quando o pagamento cai.
O que o produto faz
Como funciona uma venda
Destino, data, vagas, preço e pontos de embarque.
No WhatsApp, no Instagram ou onde quiser.
Informa os dados e paga por Pix ou cartão, sem criar conta.
O Mercado Pago avisa o ExTrip e a vaga é confirmada sozinha.
Um link privado com o QR de embarque e tudo da viagem.
O organizador ou a equipe lê o QR com a câmera do celular.
Telas
Como é construído
Organizador
app
Passageiro
site
Administrador
painel
Cloudflare
HTTPS, proxy e cache
Servidor Linux
App
Flutter (PWA)
Site de vendas
Razor Pages
API
.NET 8
Painel
Razor Pages
MariaDB
backup diário
Mercado Pago
pagamentos
R2
fotos
Resend
e-mails
Por dentro do código
As escolhas de arquitetura, concorrência, segurança e entrega que sustentam o produto.
ExTrip.Api
REST + JWT
PublicWeb
Razor, anônimo
Admin
Razor, restrito
Application
casos de uso, validação, e-mails
Domain
entidades, regras e portas (interfaces)
Infrastructure
EF Core, R2, PDF
MercadoPago
adaptador do gateway
Security
tokens e sessões
O domínio não depende de nenhum outro projeto. Banco, armazenamento, e-mail e o gateway de pagamento entram por portas definidas nele (como IPaymentGateway e IUnitOfWork) e são implementados nas bordas.
Os três hosts (API, site e painel) compartilham as regras e a infraestrutura, e um projeto de hospedagem comum cuida do que todos precisam para rodar atrás da Cloudflare: IP real, health check e proteção das chaves.
Na prática, quando a cobrança precisou trocar de API do Mercado Pago em produção, a mudança ficou concentrada no adaptador: cinco dos sete arquivos de código alterados estavam nele.
O pedido é gravado com a chave de idempotência sob o lock da linha da excursão, que serializa as compras da mesma vaga.
A cobrança vai ao Mercado Pago fora da transação, com X-Idempotency-Key e política de resiliência (retry, circuit breaker e timeout). Segurar o lock durante uma chamada lenta pararia a fila de compradores.
O resultado é gravado depois, e na mesma transação entra uma tarefa agendada que confere o pedido se o aviso do provedor não chegar.
O aviso do Mercado Pago só é aceito com a assinatura HMAC-SHA256 válida. A confirmação é idempotente: aviso repetido não confirma a vaga duas vezes.
O commit é fixado ao disparar; o que chegar depois não entra.
xUnit contra um MariaDB descartável e análise estática do app Flutter.
Compila no GitHub e envia com uma chave que só pode escrever na entrada.
Aplicadas por bundle do EF Core antes de o processo novo subir.
Troca a versão e espera o /saude responder.
Sem resposta em cerca de 60 s, volta sozinho para a versão anterior.
Painel administrativo
Decisões técnicas
No celular, cada redirecionamento perde comprador. Usei o checkout transparente do Mercado Pago: o Pix aparece na própria página e o cartão é tokenizado no navegador, então o número nunca passa pelo ExTrip e nenhum cartão é guardado. As mensagens de aprovação, recusa e pendência passaram a ser nossas.
Cada organizador conecta a própria conta do Mercado Pago por OAuth, e a comissão do ExTrip sai no mesmo pagamento. Descartei receber tudo e repassar depois: mudaria o enquadramento fiscal do produto e criaria um risco que não precisava existir.
Publicar como PWA põe o app no iPhone e no Android sem esperar a revisão das lojas. A sessão muda conforme a plataforma: no nativo os tokens ficam no Keystore/Keychain; no navegador, onde não existe armazenamento fora do alcance do JavaScript, o refresh token fica num cookie HttpOnly.
A configuração comercial da excursão é versionada e só recebe acréscimos: salvar cria uma versão nova, e cada pedido aponta para a que valia na hora da compra. A taxa é calculada uma vez, truncando os centavos para nunca cobrar mais que o anunciado, e fica gravada no pedido.
O site de vendas é anônimo e tem um contêiner de injeção de dependência estreito de propósito: o que não está registrado não pode ser chamado por engano. O painel, que ativa contas e mexe com dinheiro, roda em outro projeto, então um erro de rota numa página pública nunca vira acesso administrativo.
O GitHub Actions compila, roda os testes e envia a versão. No servidor, as migrations são aplicadas antes de o processo novo subir; se a versão nova não responder ao health check em cerca de um minuto, o serviço volta sozinho para a anterior.
Qualidade e cuidado com dados
O mesmo cuidado que coloquei no ExTrip vai para o projeto da sua empresa, do levantamento dos requisitos ao sistema em produção.