QR Code Pix estático ou dinâmico: o que muda no checkout

O QR Code Pix estático guarda todos os dados do pagamento dentro da própria imagem. O dinâmico guarda um endereço que leva a uma cobrança criada e assinada pela instituição do recebedor. No e-commerce, o dinâmico é o formato mais adequado: permite uma cobrança por pedido, com prazo de validade e conciliação automática. Mas nenhum dos dois impede, sozinho, que um código malicioso na página troque o QR por outro. Essa proteção precisa existir no próprio checkout.

Como funciona o QR Code estático

Segundo o manual de iniciação do Pix do Banco Central, o QR estático tem um conjunto restrito de funções e todas as informações já estão no código. São só cinco configurações: a chave Pix, obrigatória, e quatro opcionais, que são um identificador da transação, um texto livre, o valor e o dado usado no Pix Saque.

A criação do QR estático não faz parte da API Pix. Ele pode ser montado pelo próprio sistema do recebedor ou por qualquer gerador. É o código da plaquinha no balcão, com ou sem valor, e também o que algumas lojas geram na hora da compra com um identificador único, para conseguir conciliar o recebimento.

Como funciona o QR Code dinâmico

O QR dinâmico leva apenas os dados básicos do recebedor e um endereço. Ao ler o código, o app do pagador acessa esse endereço e recebe os detalhes da cobrança diretamente da instituição do recebedor: valor, identificador, prazo e informações adicionais.

Três características importam para a segurança:

• Os dados são assinados. O manual prevê que o app só siga adiante se o domínio for autorizado e a assinatura digital da instituição do recebedor for válida.
• A cobrança vence. Quando a loja não define um prazo, a validade padrão é de 24 horas. Cobranças pagas, vencidas ou removidas podem ser recusadas.
• Vale o que vem do endereço. Valor e identificador eventualmente gravados na imagem devem ser ignorados pelo pagador; prevalecem os dados obtidos na consulta.

O manual cita comércios online entre as aplicações típicas do QR dinâmico, gerado pela API Pix por meio da instituição de pagamento ou do gateway da loja. Existe ainda o QR composto, usado para pagamentos recorrentes no Pix Automático.

O Copia e Cola funciona com qualquer um deles: o texto copiado é exatamente o mesmo conteúdo que o leitor extrairia do QR.

Onde cada um aparece no e-commerce

• Dinâmico: checkouts integrados a uma instituição de pagamento ou gateway, que criam uma cobrança para cada pedido.
• Estático: lojas sem integração, vendas fechadas por mensagem, links de pagamento montados à mão e a chave Pix exibida no rodapé do site.
• Composto: assinaturas e cobranças recorrentes que usam o Pix Automático.

O que muda na segurança do checkout

No estático, não há segredo nenhum. Qualquer pessoa pode gerar um QR estático com qualquer chave e qualquer valor. Um código falso não tem prazo de validade e pode ser reaproveitado. Quando o mesmo QR serve a vários clientes, o próprio manual reconhece que a conciliação fica limitada, porque todos os pagamentos chegam com o mesmo identificador.

No dinâmico, a cobrança é rastreável. Cada pedido tem o seu identificador, a cobrança expira e a instituição pode avisar a loja quando o Pix daquele identificador for creditado. Isso fecha portas importantes: um print antigo não serve para pagar, e a loja sabe com precisão o que foi ou não recebido.

O limite do dinâmico. A assinatura prova que os dados vieram da instituição indicada no código e não foram alterados no caminho. Ela não prova que o recebedor é a sua loja. Um criminoso com conta em qualquer instituição consegue gerar um QR dinâmico legítimo, no mesmo valor da compra. Se um script malicioso trocar o QR na página antes de o cliente ler, o app do banco mostrará uma cobrança válida, só que de outro recebedor.

Por isso o dinâmico precisa de duas camadas complementares: o cliente conferindo o nome do recebedor, como recomendam o CERT.br e a Febraban, e a loja garantindo que o QR exibido é o que ela emitiu.

Checklist para o checkout

1. Use QR dinâmico gerado pela API Pix da sua instituição ou gateway, com uma cobrança por pedido.
2. Defina um prazo de validade compatível com a compra, em vez de deixar o padrão de 24 horas sem pensar.
3. Concilie pelo identificador da cobrança e só libere o pedido quando o crédito for confirmado.
4. Não ofereça uma chave Pix fixa ou um QR estático como alternativa no checkout.
5. Mostre ao lado do QR o nome e o CNPJ que o cliente verá no app do banco.
6. Mantenha a página de pagamento com o mínimo de scripts de terceiros.
7. Confirme, no navegador do comprador, que o QR e o Copia e Cola exibidos são os que a loja gerou.

Entenda como funciona a proteção do Pix no checkout.

QR dinâmico resolve a conciliação, mas não resolve a troca na tela. O Proteside registra cada cobrança Pix que a sua página gera e confere, no navegador do comprador, se o QR e o código copiado são exatamente esses, bloqueando qualquer troca antes da confirmação. Experimente por 14 dias grátis.