Pix Automático: o que conferir na tela de autorização

No Pix Automático, disponível desde 16 de junho de 2025, o cliente dá uma única autorização no aplicativo do banco e, a partir dela, a empresa passa a cobrar de forma recorrente, sem nova confirmação a cada débito. Por isso, tudo depende da tela de autorização: quem vai receber, o valor máximo por cobrança, a periodicidade, a data do primeiro pagamento, a vigência e o uso de crédito. O cliente deve conferir cada item antes de aceitar, e o lojista deve garantir que a tela mostre exatamente o que foi vendido.

Como o Pix Automático funciona pelas regras do Banco Central

As regras estão no regulamento do Pix, alterado pela Resolução BCB nº 402, de julho de 2024. Os pontos principais:

• Autorização prévia e única. O pagador autoriza o próprio banco uma vez, antes da primeira cobrança, e não precisa se autenticar a cada débito.
• Controle do pagador. A autorização pode ser cancelada a qualquer momento pelo pagador e, quando permitido, alterada por ele.
• Finalidade específica. Cada autorização vale para uma relação de cobrança definida, que pode reunir vários produtos ou serviços do mesmo recebedor se forem cobrados de forma única.
• Quem pode cobrar. Só empresas com CNPJ ativo podem receber pelo Pix Automático. A oferta para o recebedor é opcional; já os bancos e instituições que mantêm contas devem oferecer o produto aos pagadores.
• Quatro jornadas de autorização. O pedido pode chegar ao banco do pagador a partir da relação direta com a empresa; pela leitura de um QR com o pedido de autorização; por um QR que autoriza e já paga a primeira cobrança; ou por uma proposta exibida depois de um pagamento feito com QR.
• Parâmetros mínimos. A autorização registra a identificação do recebedor, o valor máximo por transação, escolhido pelo pagador acima de um piso que o recebedor pode definir, a possibilidade de usar crédito pré-aprovado quando faltar saldo, a vigência, quando houver, a periodicidade e a data prevista do primeiro pagamento.
• Devolução em caso de erro. O Mecanismo Especial de Devolução (MED) cobre débitos que não respeitam os parâmetros autorizados, débitos sem autorização vigente e falhas do banco do pagador. Quem oferece o Pix Automático aceita devolver com recursos próprios, mesmo sem saldo na conta do recebedor.

Onde está a superfície de ataque

Uma autorização recorrente vale mais para um golpista do que um pagamento isolado: enquanto ninguém perceber, ela continua debitando. Os pontos sensíveis estão em volta da tela de autorização.

• QR trocado no checkout. Três das quatro jornadas começam com a leitura de um QR exibido pela empresa. Se um código malicioso trocar esse QR na página, o pedido que chega ao banco pode ser de outro recebedor. Na jornada que autoriza e paga a primeira cobrança de uma vez, o cliente perde o primeiro valor e ainda deixa um débito recorrente configurado.
• Pedidos de autorização indesejados. Uma empresa pode enviar pedidos de autorização ao banco do pagador. Por isso o regulamento obriga as instituições a monitorar e agir contra recebedores que mandem cobranças indevidas ou ofertas em excesso, como para quem não tem relação com eles ou insistindo com quem já recusou.
• Valor máximo e crédito. Se o cliente aceita sem olhar, pode deixar um teto alto demais ou habilitar o uso de crédito pré-aprovado sem perceber.
• Nome que o cliente não reconhece. Quando a razão social que aparece no banco é muito diferente do nome da loja, o cliente se acostuma a aprovar nomes estranhos, e esse hábito é o que um golpista explora.

Boas práticas para o lojista

• Antes de mostrar o QR, explique em uma frase o que o cliente verá no banco: nome do recebedor, valor, periodicidade e data do primeiro débito.
• Exiba a razão social e o CNPJ ao lado do QR, exatamente como aparecem no aplicativo do banco.
• Defina um piso de valor máximo coerente com o plano vendido; não induza o cliente a autorizar valores muito acima do preço.
• Envie pedidos de autorização só para quem tem relação ativa com a loja e não insista com quem recusou.
• Deixe claro como cancelar, tanto na loja quanto no aplicativo do banco.
• Proteja a página que exibe o QR de autorização com o mesmo cuidado da página de pagamento, e acompanhe o que ela exibe em produção.
• Concilie com frequência as autorizações ativas com os contratos e assinaturas reais.

Checklist do cliente na tela de autorização

1. O recebedor é a empresa com quem contratei, com o CNPJ que ela informou?
2. O valor máximo por cobrança é compatível com o preço do serviço?
3. A periodicidade e a data do primeiro pagamento estão corretas?
4. Existe prazo de vigência e ele faz sentido?
5. O uso de crédito pré-aprovado está desligado, se eu não quero usá-lo?
6. Esta tela também vai pagar a primeira cobrança agora?
7. Revisei a lista de autorizações do Pix Automático no aplicativo e cancelei as que não reconheço?

Para ver como a troca de QR acontece no checkout e como impedir, leia proteção do Pix no checkout.

O Proteside protege o momento em que o QR aparece na sua página, seja de um pagamento avulso ou de uma autorização de cobrança recorrente: confere, na tela do cliente, se o código exibido é o que a sua loja emitiu e bloqueia a troca antes da confirmação, com alerta e evidência. Teste por 14 dias grátis e veja como funciona.