Aceitar cartões online envolve coreografia segura multi-partes. Aqui está fluxo ponta-a-ponta.
Principais Intervenientes
- Cliente — Titular cartão.
- Comerciante (Site) — Vende bens/serviços.
- Payment Gateway — Ponte segura (Stripe, Braintree, Authorize.net, Adyen).
- Adquirente / Banco Comerciante — Instituição financeira comerciante.
- Rede Cartão — Visa, Mastercard, Amex, Discover.
- Emissor / Banco Emissor — Banco do cliente.
Transação Passo a Passo
- Cliente insere dados cartão na página checkout comerciante (hosted fields / iframe → PCI SAQ A).
- Gateway encripta e tokeniza dados (TLS 1.2+). Envia para adquirente.
- Adquirente encaminha para rede cartão → emissor.
- Emissor autoriza: Cartão válido? Fundos suficientes? Regras fraude passam? → Retorna código auth (aprovação/recusa).
- Gateway transmite resultado ao comerciante → página sucesso ou erro.
- Clearing e Settlement (T+1–3 dias úteis):
- Comerciante agrupa transações aprovadas → adquirente.
- Adquirente → rede → emissor.
- Emissor lança extrato titular; fundos movem para conta comerciante (menos taxas).
- Cumprimento encomenda acionado por comerciante no sucesso.
Conformidade Crítica
- PCI DSS — Obrigatório para qualquer entidade tocando dados cartão. Use SAQ A (hosted fields total) para minimizar scope.
- 3D Secure 2 (3DS2) — Strong Customer Authentication (SCA) EU/UK; liability shift.
- Tokenização — Guarde tokens, não PANs, para billing recorrente.
Stacks modernas (Stripe, Braintree, Square) lidam 90% complexidade. Não construa do zero.
