CoDi no México: como funcionam os cobros por QR e os cuidados

No CoDi, a plataforma de cobro digital do Banco de México, o comércio gera uma mensagem de cobro (em QR, por NFC ou enviada ao celular do cliente) e o pagador a aceita no app do banco, o que dispara uma transferência imediata. Como o pagador aprova cada operação e o CoDi não prevê contestação, quem vende online precisa garantir que o QR e os dados exibidos na página sejam exatamente os que emitiu: um cobro adulterado é pago na hora e para a conta errada.

Como funciona um cobro CoDi

O CoDi foi desenvolvido pelo Banco de México (Banxico) e começou a operar em 30 de setembro de 2019. Ele funciona sobre o SPEI, o sistema de pagamentos interbancários do país, 24 horas por dia, todos os dias, e o Banxico informa que as operações não geram comissões adicionais. Quando pagador e recebedor estão em bancos diferentes, a transferência corre pelo SPEI; quando estão no mesmo banco, vira uma transferência interna.

O fluxo de um cobro tem quatro passos, segundo os guias oficiais do Banxico:

1. O comércio gera um CoDi com os dados da venda (valor e conceito do pagamento) pelo app do seu banco, por um aplicativo de terceiros ou pelo app CoDi Banxico.
2. O cobro chega ao cliente: por um QR, que pode ser fixo no estabelecimento ou gerado a cada transação; por NFC, aproximando os aparelhos; ou, nas vendas a distância, como notificação no celular.
3. O cliente confere os dados do cobro no app do banco (entre eles o nome de quem recebe, o valor e o conceito) e autoriza com NIP, digital, reconhecimento facial ou token.
4. Os dois lados recebem uma notificação confirmando que o dinheiro já está disponível na conta do vendedor.

Para o lojista, as vantagens são claras: o dinheiro cai em segundos e, como o comprador aceita expressamente cada operação, o Banxico destaca que não há contracargos.

Onde o comércio online fica exposto

A segurança do CoDi está na infraestrutura e na autorização do pagador. O ponto fraco está antes: na tela em que o cobro é apresentado. Em uma loja virtual, o QR do CoDi é exibido em uma página que carrega plugins, scripts de terceiros e integrações. Se um desses componentes for comprometido, ele pode trocar o QR legítimo por outro, gerado para a conta de um criminoso, com o mesmo valor e um conceito plausível.

O cliente escaneia, vê um valor que bate com o carrinho e autoriza. O passo 3 do fluxo (conferir o nome de quem recebe) é a única barreira, e depende de o cliente reparar em um nome diferente, num momento em que ele só quer concluir a compra. Depois da autorização, a transferência é imediata, e a mesma característica que protege o lojista do contracargo deixa o cliente sem caminho simples para reaver o valor. Para a loja, o resultado é um pedido pago que nunca chegou à sua conta e um cliente convencido de que o problema foi dela.

Confirme pelo banco, não pelo cliente

Como os dois lados recebem a confirmação do banco, a regra para liberar pedidos é simples: só considere pago o que aparece como crédito na sua conta ou na notificação da sua instituição. Comprovantes enviados pelo cliente, capturas de tela ou mensagens de “já paguei” não substituem essa conferência, e um aumento de pedidos “pagos” que não aparecem no extrato é um sinal de alerta de que algo pode estar trocando o cobro no caminho.

E o DiMo?

O Banxico também oferece o DiMo (Dinero Móvil), que permite receber transferências usando apenas o número de celular vinculado à conta. O vínculo é feito no app do banco, com o consentimento do titular, e cada número fica ligado a uma única conta por instituição. Para quem vende online, vale o mesmo cuidado do CoDi: se a página exibe um número de celular para pagamento, esse dado também precisa ser exatamente o seu.

Checklist para aceitar CoDi no e-commerce

• Gere um cobro por pedido, com valor fechado e conceito que identifique a compra, em vez de um QR fixo para todos.
• Exiba o nome do recebedor que o cliente verá no app, para que ele possa comparar antes de autorizar.
• Oriente o cliente a conferir nome, valor e conceito no app do banco antes de confirmar.
• Libere pedidos só com a confirmação da sua instituição, nunca com prints.
• Reduza os scripts de terceiros na página de pagamento e mantenha plataforma e plugins atualizados.
• Verifique, no navegador do cliente, se o QR e os dados exibidos são os que você emitiu, e bloqueie qualquer divergência antes da leitura.

Como o Proteside protege o cobro CoDi

O Proteside roda na sua página de pagamento e confere, no navegador do comprador, se o QR do CoDi, o recebedor e o valor exibidos são exatamente os que sua loja emitiu, bloqueando qualquer troca antes que o cliente autorize no app. Conheça a proteção para pagamentos com CoDi e teste grátis por 14 dias.