Segurança ao conectar API de gateway de pagamento

Conectar um gateway significa conceder à aplicação permissões de integração. Não é apenas preencher uma preferência visual. Identifique a conta recebedora, o ambiente e os poderes da credencial antes de cadastrar uma chave. Nunca substitua uma integração autorizada pelo compartilhamento da senha pessoal do banco ou do painel financeiro.

A credencial dá poder sobre a conta

No escopo da eencia, cada corretor conecta sua própria conta de Asaas, Mercado Pago, iugu ou Pagar.me. A separação entre empresas precisa continuar válida no armazenamento dos segredos, na emissão de cobranças e no processamento dos eventos, não apenas na tela de configuração.

Configure produção e teste separadamente

Uma credencial de teste não comprova recebimento real. Uma credencial de produção não deve ser usada em demonstrações indiscriminadas. Identifique o ambiente de forma inequívoca e mantenha os segredos fora de repositórios, imagens, mensagens de suporte e arquivos exportados.

O navegador não deve receber uma chave secreta para executar operações administrativas. Quando o provedor oferece elementos públicos de integração, como identificadores ou chaves específicas de frontend, trate-os de acordo com a documentação; não confunda essa exceção com autorização para expor o segredo da conta.

Confirme a identidade antes da primeira cobrança

O teste de conexão deve mostrar a conta vinculada e as operações efetivamente disponíveis. Conexão aceita não prova que todos os meios de pagamento foram habilitados. Verifique também a necessidade de aprovação cadastral e as condições contratuais do provedor.

Exemplo: uma imobiliária troca o administrador financeiro e cadastra outra credencial. Antes de emitir novos aluguéis, confira o recebedor e mantenha a associação das cobranças antigas ao provedor e à conta que as originaram. A troca não deve redirecionar silenciosamente recebimentos já emitidos.

Eventos e permissões também precisam de proteção

Valide a autenticidade dos eventos conforme o mecanismo documentado pelo gateway, registre identificadores e trate repetição sem duplicar efeitos. Uma confirmação enviada pelo navegador do pagador não é prova suficiente. As regras de autorização precisam ser verificadas no servidor. ^[OWASP_AUTH]

Na gestão das chaves, restrinja leitura, substituição e revogação. Proteja o armazenamento e não mostre o valor completo após o cadastro. Registre quem alterou a configuração sem registrar o próprio segredo no histórico.

Prepare a saída e a resposta a incidente

Tenha um procedimento para revogar a credencial, interromper novas operações quando necessário e preservar a consulta das obrigações existentes. Se houver suspeita de exposição, investigue quais contas e operações podem ter sido afetadas, em vez de apenas trocar o texto exibido no painel.

O critério de aceite é uma ligação auditável entre empresa, conta externa, cobrança e confirmação. Nenhum gateway deve receber automaticamente credenciais de outro, e nenhum usuário de uma empresa deve conseguir testar ou usar a integração de outra. ^[OWASP]

Perguntas frequentes

Devo fornecer a senha do painel do gateway?

Não. Utilize o mecanismo de integração autorizado pelo provedor e as permissões necessárias à aplicação.

Posso trocar a chave e esquecer as cobranças antigas?

Não. Preserve a relação de cada cobrança com sua conta e provedor originais, além do caminho de consulta e conciliação.