Regras de segurança do Pix: o que o BC protege e o que é da loja

As regras de segurança do Pix definidas pelo Banco Central protegem contas, aparelhos, chaves e o caminho do dinheiro entre instituições. Elas não alcançam a página de pagamento da loja: se o QR Code ou o código copia e cola for trocado ali, o Pix sai válido, só que para a conta errada, e nenhuma regra do arranjo impede isso antes da confirmação. Essa parte continua sendo de quem vende.

Entender a divisão ajuda o lojista a parar de esperar do banco uma proteção que o banco não oferece, e a cuidar do que só ele controla.

O que as regras do Banco Central protegem

Limites de valor

Desde 2021, a Resolução BCB nº 142 obriga as instituições a limitar a R$ 1.000 o total de transferências entre pessoas físicas feitas das 20h às 6h, incluindo o Pix. Pedidos de aumento feitos por canal eletrônico só podem valer depois de pelo menos 24 horas. Desde 1º de novembro de 2024, um Pix acima de R$ 200 só pode partir de celular ou computador previamente cadastrado no banco; em aparelho não cadastrado, o limite diário é de R$ 1.000.

Gestão de risco nas instituições

A Resolução BCB nº 403, de 2024, exige que cada participante do Pix tenha uma solução de gestão de risco de fraude que use as informações de segurança do DICT (o diretório de chaves operado pelo Banco Central) e identifique transações atípicas para o perfil do cliente. As instituições devem consultar as marcações de fraude dos clientes pelo menos a cada seis meses, podem recusar transações com fundada suspeita de fraude e podem bloquear cautelarmente valores recebidos, com até 72 horas para analisar o caso.

Chaves e conferência do recebedor

Desde 1º de julho de 2025, os dados das chaves Pix são conferidos com a base da Receita Federal sempre que uma chave é registrada ou alterada, e chaves com nome divergente ou CPF/CNPJ irregular são excluídas. Além disso, as regras de experiência do usuário obrigam o aplicativo do pagador a mostrar, antes da confirmação, o nome do recebedor e o CPF mascarado ou o CNPJ.

Devolução pelo MED

O Mecanismo Especial de Devolução permite que a instituição do pagador peça a recuperação de valores em casos de fraude, para transações de até 80 dias. As instituições recebedoras bloqueiam o saldo disponível e têm até sete dias corridos para analisar. Pelo cronograma do Banco Central, o MED 2.0, que segue o dinheiro além da primeira conta, tem uso obrigatório desde 2 de fevereiro de 2026.

O que fica fora do alcance dessas regras

Todas essas camadas atuam do momento em que o comprador toca em “pagar” em diante: conta, aparelho, instituição, liquidação. O que a página da loja exibe antes disso não é verificado por ninguém no arranjo.

• O QR trocado aponta para uma conta real. Se um código malicioso substitui o QR na página, o destino costuma ser a conta de um laranja, com chave válida e nome que passa pela conferência da Receita.
• Os limites não disparam. O valor é o de uma compra comum, feita do aparelho de sempre, em horário normal.
• A conferência do nome depende do comprador. O app mostra o recebedor, mas o cliente precisa ler e saber qual nome esperar.
• O MED não é garantia. A devolução depende de haver saldo nas contas atingidas, e o golpe costuma ser descoberto dias depois, quando o pedido não é aprovado.

Para a loja, o prejuízo é duplo: o dinheiro não chega e o cliente atribui o golpe a ela.

O que continua sendo responsabilidade da loja

Não se trata de obrigação regulatória do Pix, e sim do que só o lojista consegue controlar. Um roteiro prático:

1. Gere cada cobrança pelo seu provedor e confirme o pagamento apenas pela notificação dele, nunca por comprovante enviado pelo cliente.
2. Mostre na página o nome e o CNPJ que aparecerão no banco. Se a razão social for diferente da marca, ou se um intermediário recebe por você, diga isso com clareza.
3. Reduza os scripts da página de pagamento e mantenha plataforma, tema e plugins atualizados.
4. Monitore a página em produção, conferindo se o QR exibido e o código copiado são exatamente os que a loja emitiu.
5. Concilie pagamentos e pedidos e crie alerta para Pix pendente além do prazo normal.
6. Prepare o atendimento para o “paguei e o pedido não foi aprovado”: orientar o cliente a acionar o banco na hora e guardar os registros.
7. Guarde notas fiscais e comprovantes de entrega, úteis se uma devolução indevida precisar ser contestada.

Onde o PCI DSS entra

O Pix não tem uma regra equivalente para a página da loja, mas o cartão tem. Para quem também aceita cartão, os requisitos 6.4.3 e 11.6.1 do PCI DSS exigem que os scripts da página de pagamento sejam autorizados e inventariados e que alterações não autorizadas na página sejam detectadas. A mesma disciplina, aplicada à tela do Pix, cobre justamente a lacuna que as regras do Banco Central deixam. Veja como isso funciona na proteção para Pix.

O Proteside cuida desse trecho: confere, no navegador do comprador, se o QR e o copia e cola são os que a loja emitiu, bloqueia a troca antes do pagamento e gera evidência para o PCI DSS, com qualquer plataforma e qualquer provedor. Dá para testar por 14 dias grátis e ver como funciona em lojas virtuais.