Checklist de segurança do Pix para lojas virtuais

Uma loja virtual protege o Pix em quatro frentes: configura a cobrança para que cada pedido tenha um código único, com prazo e fácil de conciliar; vigia a página onde esse código aparece; ensina o cliente a conferir o recebedor; e tem um roteiro pronto para o dia em que algo der errado. A lista abaixo organiza essas frentes em itens que dá para verificar um a um.

1. Configuração da cobrança

• Use QR dinâmico, um por pedido. Gere a cobrança pela API Pix da sua instituição de pagamento ou gateway. O manual do Banco Central prevê identificador da transação, prazo de validade e dados assinados pela instituição do recebedor.
• Defina o prazo de validade. Se nada for informado, a cobrança vale 24 horas. Escolha um prazo coerente com a sua jornada de compra.
• Concilie pelo identificador. Libere o pedido só quando o crédito daquele identificador, no valor certo, for confirmado pela instituição, de preferência por notificação automática (webhook).
• Nunca aceite comprovante como prova. O CERT.br alerta para comprovantes falsos e recomenda conferir se o valor realmente caiu na conta antes de entregar o produto.
• Sem chave fixa no checkout. Uma chave Pix ou um QR estático exibido como alternativa é fácil de imitar e impossível de conciliar por pedido.
• Saiba como sua empresa aparece. Faça um pagamento real de baixo valor para a loja e veja qual nome e CNPJ o app do banco mostra. É esse nome que o cliente deve reconhecer.

2. Proteção e monitoramento da página

• Checkout enxuto. Mantenha na página de pagamento só os scripts indispensáveis autorize cada um e registre por que ele está ali, na linha dos requisitos 6.4.3 e 11.6.1 do PCI DSS para scripts da página de pagamento.
• Painel protegido. Verificação em duas etapas para todos os administradores, senhas únicas e revisão periódica de quem tem acesso.
• Atualizações em dia. Plataforma, tema e plugins atualizados; o que não é usado sai.
• Vigie a página entregue ao cliente. Monitore o checkout como ele chega ao navegador, com alerta para scripts novos ou alterados, e confira se o QR e o Copia e Cola exibidos são os que a loja gerou.
• Acompanhe os números. Compare todos os dias os Pix gerados, os pagos e os pedidos. Um salto em cobranças não pagas ou em mensagens do tipo “paguei e não aprovou” merece investigação imediata.

3. Comunicação com o cliente

• Diga quem vai receber. Ao lado do QR e no e-mail do pedido, informe o nome e o CNPJ que aparecerão no app do banco e peça que o cliente confira antes de confirmar.
• Deixe claro o que a loja não faz. A loja não pede Pix por mensagem, não troca de chave e não envia códigos fora do site. O CERT.br orienta ignorar QR Codes recebidos por mensagens.
• Tenha um canal oficial e rápido para o cliente tirar dúvidas antes de pagar e avisar se algo parecer estranho.
• Faça reembolsos pela função de devolução. Devolva sempre para a conta de origem, pelo recurso de devolução do app ou do sistema da instituição, nunca para outra chave indicada por alguém. Pelo guia do Banco Central, o recebedor pode devolver por iniciativa própria em até 90 dias da transação.

4. Se acontecer um incidente

1. Contenha. Tire o Pix do ar ou coloque o checkout em manutenção e desative o componente suspeito.
2. Preserve evidências. Guarde cópias da página, dos scripts e dos registros, e liste os pedidos afetados com data, hora e valor.
3. Ache a porta de entrada. Revise plugins, temas e scripts alterados recentemente, contas de administrador desconhecidas e acessos ao painel. Troque todas as senhas e chaves de acesso.
4. Avise os parceiros. Comunique a sua instituição de pagamento ou gateway e, se dados de cartão podem ter sido expostos, o adquirente.
5. Oriente os clientes afetados. Peça que contestem o Pix no app ou nos canais oficiais do banco o quanto antes, para acionar o Mecanismo Especial de Devolução (MED). Pelo guia do Banco Central, a recuperação pode ser aberta para transações de até 80 dias, e a devolução depende de haver saldo nas contas rastreadas. Recomende guardar comprovantes e registrar boletim de ocorrência, como sugere o CERT.br.
6. Comunique com transparência o que aconteceu, quem foi afetado e o que foi corrigido.
7. Revise este checklist e corrija a falha que permitiu o ataque.

O que a loja precisa saber sobre o MED

O MED não é um estorno de cartão. O guia do Banco Central deixa claro que desacordos comerciais, como atraso na entrega ou produto que não agradou, não justificam devolução por fraude, e que vendedores de boa-fé não podem ter a conta debitada por causa do mecanismo. Se a loja receber um Pix legítimo e ele for devolvido por uma contestação fraudulenta, ela pode contestar essa devolução por meio da sua instituição, em até 30 dias, pelas regras do guia em vigor neste mês.

Para entender a camada que protege o momento do pagamento, veja a página de proteção do Pix.

Boa parte deste checklist depende de processo; um item depende de enxergar o navegador do comprador. O Proteside cuida dele: confere, na hora do pagamento, se o QR e o Copia e Cola exibidos são exatamente os que a sua loja emitiu, bloqueia a troca e avisa você na hora. Teste por 14 dias grátis.