@beworke/pixel-bemony 0.1.0-rc.1

package/docs/SCENARIOS.md

@@ -0,0 +1,92 @@
+# Cenários — guias rápidos
+
+Todos usam `createBemonyPixel({ scenario, environment, platform, page, … })`.
+
+> O Pixel **não** consulta catálogo no bootstrap. Ver
+> [`BROWSER_EVENT_ENRICHMENT.md`](./BROWSER_EVENT_ENRICHMENT.md).
+
+## offer-page
+
+**Quando:** VSL / página de oferta.  
+**Auto:** clique em links `https://security.bemony.com/pri*` → `ADD_TO_CART`
+(`productId` do Core = `priceCode` observado). Sem auto `VIEW_CONTENT`.  
+**Navegação:** `sid` + `afid` + `oid`/`fid`/`fsid` via UrlContext.  
+**API:** `selectOffer`, `getPublicSessionId`.  
+**Exemplos:** `examples/offer-page-price-code.html`, `examples/offer-page.html`.
+
+```typescript
+await createBemonyPixel({
+  scenario: 'offer-page',
+  environment: 'development',
+  platform: {
+    pixelId: 'pix_7704308',
+    allowedDomains: ['security.bemony.com'],
+  },
+  page: {
+    public: {
+      pageId: 'vsl-main',
+      funnelId: 'funnel_1',
+      funnelStepId: 'step_offer',
+    },
+  },
+});
+
+pixel.selectOffer({ priceCode: 'pri_123' });
+```
+
+```html
+<a href="https://security.bemony.com/pri_123">Comprar</a>
+```
+
+## checkout
+
+**Quando:** checkout principal.  
+**Auto:** `startCheckout` no init (`autoInitiateCheckout: false` desliga).  
+**API:** `startCheckout`, `captureLead`, bumps, `trackPaymentMethod`.  
+**Exemplo:** `examples/checkout-price-code.html`.
+
+Payment method = enum (`pix`, `credit_card`, …) — **sem PAN/CVV**.
+
+## upsell-offer
+
+**Quando:** upsell **ou** downsell pós-checkout (mesmo scenario).  
+**API:** `viewUpsell`, `acceptUpsell`, `declineUpsell` (API manual).  
+**Accept (DOM):** clique em `/pri*` → ADD_TO_CART automático (LinkAuto), igual offer-page.  
+**Decline (DOM):** UrlContext decora o `href` igual a `data-no-thanks` do script; navegação nativa.  
+**Exemplo:** `examples/funnel/upsell/`, `examples/upsell-price-code.html`.
+
+```typescript
+pixel.acceptUpsell({ priceCode: 'pri_upsell_1a' });
+pixel.declineUpsell({ navigateTo: '/thank-you' });
+```
+
+```html
+<script
+  data-scenario="upsell-offer"
+  data-no-thanks="../donsell/downsell_1.html"
+></script>
+<a href="../../security/one-click/pri_upsell_1a.html">Premium</a>
+<a href="../donsell/downsell_1.html">Não, obrigado</a>
+```
+
+## one-click-checkout
+
+**Quando:** confirmação one-click com Order já estabelecida.  
+**API:** `trackOneClickConfirmation`, `setPublicOrderId`.  
+**Exemplo:** `examples/one-click-price-code.html`.
+
+```typescript
+pixel.trackOneClickConfirmation({ priceCode: 'pri_upsell_1' });
+```
+
+## thank-you
+
+**Quando:** página de obrigado.  
+**Comportamento:** PAGE_VIEW via Core; `purchase.enabled: false`.  
+**API:** `getPublicOrderId()`.  
+**Purchase:** servidor — ver `BACKEND_PURCHASE_AND_REDIRECTS.md`.
+
+## Browser bootstrap (transversal)
+
+Script global com `data-scenario`, `data-funnel-id`, `data-funnel-step-id`
+para correlação local — **não** dispara consulta de catálogo.

package/docs/SECURITY_LIMITATIONS.md

@@ -0,0 +1,45 @@
+# Security limitations — `@beworke/pixel-bemony`
+
+## Garantias desta camada
+
+| Controle | Comportamento |
+|---|---|
+| Token one-click | Memória efêmera; limpo no `destroy`; denylist de forward/redirect/`data-*` |
+| Purchase browser | `purchase.enabled: false` em todos os presets |
+| Dados de cartão | Fora do escopo — só enum de método de pagamento |
+| Endpoints | Staging/prod exigem endpoint **injetado** (auto-init usa endpoint público padrão); nenhum secret embutido |
+| Snapshots | `getDebugSnapshot` não inclui token |
+| Entry principal | Sem side effects / sem auto-init |
+| UrlContext | Denylist Bemony + Core; `sid`/`afid` managed; UTMs/click IDs forwarded |
+| CTAs | Sem token/PII em atributos; decoração por hostname permitido |
+
+## Limitações conhecidas
+
+1. **CMP:** apenas gate `waitForConsent` — sem integração CMP nativa.
+2. **Decline upsell:** sem evento tipado no Core; não inventar evento falso.
+3. **PURCHASE server:** contratos PLACEHOLDER — path/auth finais fora do pacote.
+4. **Dedupe browser+server:** futuro; não resolvido na V1.
+5. **IIFE global:** embute Core; superfície maior que o ESM.
+6. **`apply*Scenario` públicos:** avançados; hosts normais devem usar a factory.
+7. **`afid`:** nunca gerado pelo Pixel; ausência total = sem parâmetro na URL.
+8. **`data-no-sid`:** legado exclui a decoração inteira do link (não só o sid).
+
+## sid vs afid vs IDs internos
+
+| Identificador | Papel |
+|---|---|
+| `sid` | Sessão pública de funil (URL-safe); pode ser gerada |
+| `afid` | Afiliado; só lido/persistido/propagado |
+| `visitor_id` | Visitante Core (não é sid) |
+| `session_id` | Sessão interna Core (não é sid) |
+
+## O que o consumidor deve fazer
+
+- Nunca colocar token em URL, HTML `data-*`, logs ou storage persistente.
+- Validar `allowedDomains` em produção.
+- Emitir PURCHASE apenas no backend após pagamento confirmado.
+- Tratar one-click payment no PSP/backend; Pixel só registra intenção/confirmação de domínio.
+
+## Reportar
+
+Se um artefato (tarball, exemplo, dist) contiver token real ou endpoint com credencial, trate como incidente e regenere o artifact.

package/docs/TEST_MATRIX.md

@@ -0,0 +1,39 @@
+# Matriz de testes — `@beworke/pixel-bemony`
+
+Contagem de referência pós-B11: ver saída Vitest mais recente no relatório B11.
+
+| Área | Arquivo(s) | Cobertura |
+|---|---|---|
+| Contratos / config | `createBemonyPixelConfig.test.ts` | composição, ambientes, token denylist |
+| Package surface | `package.test.ts`, `hardening.b9.test.ts` | exports, sem bootstrap no `.`, sem purchase |
+| Lifecycle | `BemonyPixel.lifecycle.test.ts` | init/destroy, concorrência, snapshot sem token |
+| SSR | `BemonyPixel.ssr.test.ts`, `browser.ssr.test.ts` | construção/import sem DOM |
+| offer-page | `offer-page.test.ts` | view/select/session + LinkAutoSource |
+| checkout | `checkout.test.ts` | lead, bumps, payment enum |
+| upsell | `upsell-offer.test.ts` | view/accept/decline |
+| one-click | `one-click-checkout.test.ts` | confirmation, token privado |
+| thank-you | `thank-you.test.ts` | PAGE_VIEW only, redirects validators |
+| browser bootstrap | `browser.bootstrap.test.ts`, `browser.global.test.ts` | singleton, consent, data-*, IIFE |
+| B10 auto-init HTTP | `browser.default-autoinit-http.test.ts` | defaults, script mínimo, HTTP mock |
+| **B11 url + afid + link** | `browser.url-context-propagation.test.ts` | sid/afid, managed/forwarded, ADD_TO_CART, continuidade |
+
+## Gates obrigatórios
+
+```bash
+pnpm --filter @beworke/pixel-bemony lint
+pnpm --filter @beworke/pixel-bemony type-check
+pnpm --filter @beworke/pixel-bemony test
+pnpm --filter @beworke/pixel-bemony build
+pnpm --filter @beworke/pixel test
+pnpm pack:pixel-bemony && pnpm validate:pixel-bemony-package && pnpm smoke:pixel-bemony-package
+```
+
+## Smoke HTTP real (opt-in)
+
+```bash
+BEMONY_REAL_API_SMOKE=1 pnpm --filter @beworke/pixel-bemony test
+```
+
+## Critérios de aceite (DoD)
+
+Ver `REPORTS/B10_DEFAULT_GLOBAL_AUTOINIT_HTTP.md` e spec interna de aceite.

package/docs/TROUBLESHOOTING.md

@@ -0,0 +1,81 @@
+# Troubleshooting — `@beworke/pixel-bemony`
+
+## `NOT_BROWSER` / bootstrap falha no SSR
+
+`bootstrapBemonyPixel` e `installBemonyPixelAutoInit` exigem `window`.  
+No SSR use só `createBemonyPixelConfig` / construção sem `init`, ou chame bootstrap no client.
+
+## Staging/production sem `apiEndpoint`
+
+A factory programática exige `platform.apiEndpoint` / `overrides.apiEndpoint` em staging/production.  
+O **auto-init do bundle global** injeta `BEMONY_DEFAULT_API_ENDPOINT` automaticamente.  
+Development (API programática) usa mock do Core.
+
+## `CONSENT_DENIED`
+
+`waitForConsent` retornou `false`. Inicie manualmente após o CMP:
+
+```typescript
+await bootstrapBemonyPixel({ …, force: true, waitForConsent: () => true });
+```
+
+## Auto-init não roda
+
+1. Entry `.` **não** auto-inicia (sem side effect).
+2. Use o IIFE `pixel-bemony.global.js` (auto-init por padrão) **ou** `installBemonyPixelAutoInit()`.
+3. Verifique opt-out: `data-auto-init="false"` / `"0"`.
+4. Aguarde `await window.BemonyPixel.ready` ou `whenReady()`.
+
+## `FORBIDDEN_ATTRIBUTE` / token em data-*
+
+Remova qualquer `data-*-token` ou `data-secret`. Token one-click só via API efêmera do app.
+
+## `MULTIPLE_SCRIPTS` / `AMBIGUOUS_SCRIPT`
+
+Deixe apenas um script do bundle global (ou um `data-bemony-pixel` com `data-auto-init`).
+
+## Instância duplicada
+
+`createBemonyPixel` **não** é singleton.  
+`bootstrapBemonyPixel` é 1/`window`. Use `force: true` para HMR/reinit.
+
+## Auto-init não decora links
+
+1. Confirme hostname em `allowedDomains` (default: `security.bemony.com`).
+2. Sem selector Bemony — qualquer `<a href>` para domínio permitido é elegível.
+3. Protocolos `mailto:` / `tel:` / `javascript:` não são decorados.
+4. `data-no-url-context` ou `download` excluem o link.
+5. `data-no-sid` (legado) exclui a decoração inteira.
+
+## `afid` não aparece
+
+O Pixel **nunca gera** `afid`. Precisa existir na URL, cookie ou localStorage. Sem fonte = ausente.
+
+## ADD_TO_CART não dispara no clique
+
+Só links cujo pathname contém um segmento `pri` + dígitos no hostname permitido
+(ex.: `/pri6670988` ou `/examples/security/pri6670988.html`).
+`/account`, `/login` etc. podem ser decorados, mas não emitem ADD_TO_CART.
+
+## CORS / API indisponível
+
+- Sirva o HTML por HTTP local (`pnpm dlx serve packages/pixel-bemony`), não `file://`.
+- O Core envia `POST` para `{apiEndpoint}/pixels/public/event` (ou `/batch`).
+- Endpoint padrão: `BEMONY_DEFAULT_API_ENDPOINT` (público de infraestrutura, não credencial).
+- Falhas HTTP são tratadas pelo retry/fila do Core; veja `bemony:pixel:error` e o Network do DevTools.
+
+## Decline upsell “não aparece no dashboard”
+
+Esperado: `declineUpsell` não emite evento Core (gap). Trate analytics de decline no app se necessário.
+
+## Thank-you sem PURCHASE
+
+Esperado. PURCHASE é responsabilidade do backend — ver `BACKEND_PURCHASE_AND_REDIRECTS.md`.
+
+## Métodos antes de `ready`
+
+Aguarde `createBemonyPixel` / `window.BemonyPixel.whenReady()` concluir. Estado `failed` → destrua e recrie.
+
+## Bundle global grande
+
+`./global` embute `@beworke/pixel`. Em apps bundladas, prefira ESM + tree-shake do entry `.` / `./browser`.

package/examples/README.md

@@ -0,0 +1,73 @@
+# Funil de examples — simulação ponta a ponta
+
+Dois grupos de páginas, espelhando o fluxo real Bemony:
+
+| Pasta | Papel |
+|---|---|
+| `examples/funnel/` | Domínio do **cliente** (VSL, upsell/downsell externos) |
+| `examples/security/` | Domínio **Bemony** (checkout + one-click) |
+| `examples/*-price-code.html` | Exemplos mínimos **sem catálogo** |
+
+Nenhuma página consulta catálogo no bootstrap. O browser captura `priceCode`;
+o backend enriquece. Ver `docs/BROWSER_EVENT_ENRICHMENT.md`.
+
+## Como rodar
+
+```bash
+pnpm --filter @beworke/pixel-bemony build
+pnpm dlx serve packages/pixel-bemony
+```
+
+Abra:
+
+```text
+http://localhost:3000/examples/offer-page-price-code.html
+http://localhost:3000/examples/funnel/offer-page.html?utm_source=demo&afid=aff_demo
+```
+
+## Fluxo
+
+```text
+offer → checkout → upsell N
+  aceito  → one-click → upsell N+1   (ou thank-you se N = último)
+  recusado → downsell N
+```
+
+A URL de “No Thanks” / decline vem da aplicação (`navigateTo` ou `href` do link).
+
+## Helpers
+
+- `examples/sim/funnel-flow.js` — preserva `sid` / `afid` / `oid` / UTMs
+- `examples/sim/one-click-sim.js` — init programático one-click
+- `examples/security/checkout-sim.js` — checkout + redirect pós-pagamento
+
+## Upsell / downsell externos
+
+O integrador cola **links prontos** (CMS). O exemplo não monta `href` em JS.
+
+```html
+<script
+  src="pixel-bemony.global.js"
+  data-scenario="upsell-offer"
+  data-funnel-id="funnel_1"
+  data-funnel-step-id="step_upsell_1"
+  data-no-thanks="../donsell/downsell_1.html"
+></script>
+
+<a href="../../security/one-click/pri_upsell_1a.html">Quero Premium</a>
+<a href="../donsell/downsell_1.html">Não, obrigado</a>
+```
+
+- **Aceitar:** `href` com `/pri*` (priceCode na URL); Pixel trackeia e decora.
+- **Recusar:** mesmo `href` que `data-no-thanks` no script; Pixel inclui esse href no selector de decoração e trata o clique.
+- Decoração de `sid`/`oid`/`afid` continua no Core (UrlContext), sem o exemplo resolver destino.
+
+## O que validar
+
+1. Offer inicializa **sem** resolver / catálogo
+2. Clique em `/pri*` → ADD_TO_CART com `productId` = priceCode
+3. `sid` e `afid` sobrevivem offer → checkout → upsell
+4. `oid` nasce no checkout e segue até thank-you
+5. Upsell/downsell: buy `/pri*` + `data-no-thanks` no script (= href do decline)
+6. One-click confirma com priceCode; pagamento no backend
+7. Thank-you sem purchase browser

package/examples/browser-bootstrap.html

@@ -0,0 +1,47 @@
+<!doctype html>
+<html lang="pt-BR">
+  <head>
+    <meta charset="UTF-8" />
+    <meta name="viewport" content="width=device-width, initial-scale=1.0" />
+    <title>Pixel Bemony — Auto-init HTTP</title>
+  </head>
+
+  <body>
+    <main>
+      <h1>VSL — Offer Page</h1>
+      <p>Validação do auto-init global (B10) + continuidade de navegação (B11).</p>
+      <p>
+        <a href="https://security.bemony.com/pri6670988">Comprar oferta 1</a>
+      </p>
+    </main>
+
+    <script
+      src="../dist/browser/pixel-bemony.global.js"
+      data-funnel-id="funnel_1"
+      data-funnel-step-id="step_1"
+    ></script>
+
+    <script>
+      window.BemonyPixel.ready
+        .then(function (pixel) {
+          if (!pixel) {
+            throw new Error('Auto-init não produziu uma instância.');
+          }
+
+          console.log('[bemony-example] ready', {
+            state: pixel.getState(),
+            initialized: pixel.isInitialized(),
+            scenario: pixel.getScenario(),
+            sid: pixel.getPublicSessionId(),
+            identity: pixel.getConfig().identity,
+            transport: pixel.getConfig().modules.transport,
+            endpoint: pixel.getConfig().transport.apiEndpoint,
+            urlContext: pixel.getDebugSnapshot().urlContext,
+          });
+        })
+        .catch(function (error) {
+          console.error('[bemony-example] bootstrap error', error);
+        });
+    </script>
+  </body>
+</html>

package/examples/checkout-price-code.html

@@ -0,0 +1,37 @@
+<!doctype html>
+<html lang="pt-BR">
+  <head>
+    <meta charset="UTF-8" />
+    <title>Bemony Checkout — priceCode</title>
+  </head>
+  <body>
+    <h1>Checkout</h1>
+    <p>
+      Checkout inicia sem catálogo. bumps usam
+      <code>selectOrderBump({ priceCode })</code>.
+    </p>
+    <button type="button" id="bump">Adicionar bump</button>
+    <script type="module">
+      import { createBemonyPixel } from '../dist/index.js';
+
+      const pixel = await createBemonyPixel({
+        environment: 'development',
+        scenario: 'checkout',
+        platform: {
+          pixelId: 'pix_demo',
+          allowedDomains: ['security.bemony.com'],
+        },
+        page: {
+          public: {
+            funnelId: 'funnel_123',
+            funnelStepId: 'step_checkout',
+          },
+        },
+      });
+
+      document.getElementById('bump').onclick = () => {
+        pixel.selectOrderBump({ priceCode: 'pri_bump_123' });
+      };
+    </script>
+  </body>
+</html>

package/examples/funnel/donsell/downsell_1.html

@@ -0,0 +1,130 @@
+<!doctype html>
+<html lang="pt-BR">
+  <head>
+    <meta charset="utf-8" />
+    <title>Funnel · Downsell 1</title>
+    <meta name="viewport" content="width=device-width, initial-scale=1" />
+    <style>
+      body {
+        font-family: Georgia, 'Times New Roman', serif;
+        max-width: 36rem;
+        margin: 0 auto;
+        padding: 2rem 1rem;
+        color: #162018;
+        line-height: 1.5;
+      }
+      .offer-card {
+        margin: 1.25rem 0;
+        padding: 1.1rem 1rem 1rem;
+        border: 1px solid #c5d0c8;
+        border-radius: 6px;
+        background: rgba(255, 255, 255, 0.55);
+      }
+      .offer-card h2 {
+        margin: 0 0 0.35rem;
+        font-size: 1.15rem;
+      }
+      .offer-card p {
+        margin: 0 0 0.85rem;
+        font-size: 0.95rem;
+        color: #3a4a40;
+      }
+      .offer-card .price {
+        font-weight: 700;
+        margin-bottom: 0.75rem;
+      }
+      a.accept,
+      a.decline {
+        display: block;
+        margin: 0.5rem 0 0;
+        padding: 0.85rem 1rem;
+        text-decoration: none;
+        text-align: center;
+        border-radius: 4px;
+      }
+      .accept {
+        background: #122019;
+        color: #fff;
+      }
+      .decline {
+        border: 1px solid #9aa89f;
+        color: #243028;
+        margin-top: 1.25rem;
+      }
+      pre {
+        background: #142019;
+        color: #dceee6;
+        padding: 0.85rem;
+        font-size: 0.72rem;
+        overflow: auto;
+      }
+
+      body {
+        background: linear-gradient(180deg, #f3efe6, #e7f0ea);
+      }
+    </style>
+  </head>
+  <body>
+    <p>Bemony · página externa</p>
+    <h1>Downsell 1</h1>
+    <p>
+      Buy links: <code>href</code> com <code>/pri*</code> (identidade na URL).
+      Recusa: <code>data-no-thanks</code> no <strong>script</strong> (mesmo
+      <code>href</code> no link de decline). O Pixel decora buy + esse href
+      (<code>sid</code>/<code>oid</code>…) e trackeia o aceite.
+    </p>
+
+    <article class="offer-card">
+      <h2>Oferta light</h2>
+      <p>Versão reduzida com o essencial.</p>
+      <div class="price">R$ 27</div>
+      <a class="accept" href="../../security/one-click/pri_downsell_1a.html"
+        >Quero esta oferta</a
+      >
+    </article>
+
+    <article class="offer-card">
+      <h2>Oferta parcelada</h2>
+      <p>Mesmo conteúdo em 3x.</p>
+      <div class="price">3x R$ 19</div>
+      <a class="accept" href="../../security/one-click/pri_downsell_1b.html"
+        >Quero esta oferta</a
+      >
+    </article>
+    <a class="decline" href="../upsell/upsell_2.html">Não, obrigado</a>
+    <pre id="funnel-debug">aguardando…</pre>
+    <script
+      src="../../../dist/browser/pixel-bemony.global.js"
+      data-scenario="upsell-offer"
+      data-funnel-id="funnel_1"
+      data-funnel-step-id="step_downsell_1"
+      data-no-thanks="../upsell/upsell_2.html"
+      data-debug="true"
+    ></script>
+    <script>
+      // Debug only — não altera hrefs nem resolve click.
+      (window.BemonyPixel && window.BemonyPixel.whenReady
+        ? window.BemonyPixel.whenReady()
+        : Promise.reject()
+      )
+        .then(function (pixel) {
+          var el = document.getElementById('funnel-debug');
+          if (!el) return;
+          el.textContent = JSON.stringify(
+            {
+              scenario: pixel.getScenario(),
+              sid: pixel.getPublicSessionId(),
+              oid: pixel.getPublicOrderId && pixel.getPublicOrderId(),
+              note: 'buy=/pri* ; no-thanks=script data-no-thanks → mesmo href',
+            },
+            null,
+            2
+          );
+        })
+        .catch(function () {
+          var el = document.getElementById('funnel-debug');
+          if (el) el.textContent = 'pixel não pronto';
+        });
+    </script>
+  </body>
+</html>

package/examples/funnel/donsell/downsell_2.html

@@ -0,0 +1,130 @@
+<!doctype html>
+<html lang="pt-BR">
+  <head>
+    <meta charset="utf-8" />
+    <title>Funnel · Downsell 2</title>
+    <meta name="viewport" content="width=device-width, initial-scale=1" />
+    <style>
+      body {
+        font-family: Georgia, 'Times New Roman', serif;
+        max-width: 36rem;
+        margin: 0 auto;
+        padding: 2rem 1rem;
+        color: #162018;
+        line-height: 1.5;
+      }
+      .offer-card {
+        margin: 1.25rem 0;
+        padding: 1.1rem 1rem 1rem;
+        border: 1px solid #c5d0c8;
+        border-radius: 6px;
+        background: rgba(255, 255, 255, 0.55);
+      }
+      .offer-card h2 {
+        margin: 0 0 0.35rem;
+        font-size: 1.15rem;
+      }
+      .offer-card p {
+        margin: 0 0 0.85rem;
+        font-size: 0.95rem;
+        color: #3a4a40;
+      }
+      .offer-card .price {
+        font-weight: 700;
+        margin-bottom: 0.75rem;
+      }
+      a.accept,
+      a.decline {
+        display: block;
+        margin: 0.5rem 0 0;
+        padding: 0.85rem 1rem;
+        text-decoration: none;
+        text-align: center;
+        border-radius: 4px;
+      }
+      .accept {
+        background: #122019;
+        color: #fff;
+      }
+      .decline {
+        border: 1px solid #9aa89f;
+        color: #243028;
+        margin-top: 1.25rem;
+      }
+      pre {
+        background: #142019;
+        color: #dceee6;
+        padding: 0.85rem;
+        font-size: 0.72rem;
+        overflow: auto;
+      }
+
+      body {
+        background: linear-gradient(180deg, #f3efe6, #e7f0ea);
+      }
+    </style>
+  </head>
+  <body>
+    <p>Bemony · página externa</p>
+    <h1>Downsell 2</h1>
+    <p>
+      Buy links: <code>href</code> com <code>/pri*</code> (identidade na URL).
+      Recusa: <code>data-no-thanks</code> no <strong>script</strong> (mesmo
+      <code>href</code> no link de decline). O Pixel decora buy + esse href
+      (<code>sid</code>/<code>oid</code>…) e trackeia o aceite.
+    </p>
+
+    <article class="offer-card">
+      <h2>Mini curso</h2>
+      <p>Módulo único introdutório.</p>
+      <div class="price">R$ 17</div>
+      <a class="accept" href="../../security/one-click/pri_downsell_2a.html"
+        >Quero esta oferta</a
+      >
+    </article>
+
+    <article class="offer-card">
+      <h2>Checklist PDF</h2>
+      <p>Material digital imediato.</p>
+      <div class="price">R$ 9</div>
+      <a class="accept" href="../../security/one-click/pri_downsell_2b.html"
+        >Quero esta oferta</a
+      >
+    </article>
+    <a class="decline" href="../upsell/upsell_3.html">Não, obrigado</a>
+    <pre id="funnel-debug">aguardando…</pre>
+    <script
+      src="../../../dist/browser/pixel-bemony.global.js"
+      data-scenario="upsell-offer"
+      data-funnel-id="funnel_1"
+      data-funnel-step-id="step_downsell_2"
+      data-no-thanks="../upsell/upsell_3.html"
+      data-debug="true"
+    ></script>
+    <script>
+      // Debug only — não altera hrefs nem resolve click.
+      (window.BemonyPixel && window.BemonyPixel.whenReady
+        ? window.BemonyPixel.whenReady()
+        : Promise.reject()
+      )
+        .then(function (pixel) {
+          var el = document.getElementById('funnel-debug');
+          if (!el) return;
+          el.textContent = JSON.stringify(
+            {
+              scenario: pixel.getScenario(),
+              sid: pixel.getPublicSessionId(),
+              oid: pixel.getPublicOrderId && pixel.getPublicOrderId(),
+              note: 'buy=/pri* ; no-thanks=script data-no-thanks → mesmo href',
+            },
+            null,
+            2
+          );
+        })
+        .catch(function () {
+          var el = document.getElementById('funnel-debug');
+          if (el) el.textContent = 'pixel não pronto';
+        });
+    </script>
+  </body>
+</html>