HTTPS/TLS

Todo o tráfego é criptografado em trânsito, em todos os domínios da plataforma.

Criptografia em repouso

Credenciais de gateway e chaves Pix de repasse são armazenadas criptografadas (AES-256-GCM).

Isolamento por conta

Cada empresa opera em um espaço isolado, com verificação em todas as camadas da API.

Ledger imutável

Movimentações financeiras são registradas em um ledger append-only — nada é apagado ou reescrito.

API Keys

Chaves com escopos, exibidas uma única vez, com rotação e revogação imediatas.

Webhooks

Eventos assinados com HMAC e tokens validados em tempo constante.

Trilha de auditoria

Ações relevantes geram logs de auditoria append-only.

Backups

Backups automáticos diários do banco de dados com retenção controlada.

Repasse controlado

Todo repasse passa por análise antes do Pix ser executado, com estado terminal imutável.