Segurança em pagamentos tem quatro camadas: onde o dinheiro fica, quem consegue mexer na sua conta, como cada venda é verificada e como a sua integração fala com a plataforma. Este post mostra o que a AbacatePay faz em cada uma, só com o que está nos Termos de Uso, na documentação e nas páginas do produto. Para a resposta curta, veja a AbacatePay é segura?; para outras perguntas, a seção de dúvidas.
Onde o seu dinheiro fica
A AbacatePay é uma plataforma de tecnologia que intermedeia pagamentos e não é instituição financeira nem de pagamento. O processamento, a liquidação e a custódia dos valores são feitos por instituições parceiras autorizadas pelo Banco Central do Brasil.
Na prática, ao usar a plataforma, a sua empresa tem subconta em nome dela nessas instituições. O valor de cada venda, já sem a taxa, aparece no seu saldo na AbacatePay, e é desse saldo que sai o saque.
Proteções da sua conta
2FA para sacar e para criar chaves
Sacar exige a verificação em duas etapas (2FA) ativa: o código do autenticador é pedido no fim do fluxo, no momento em que a saída do dinheiro é confirmada, como explicamos nas atualizações de segurança dos saques. Criar uma chave de API também exige 2FA. E o reembolso por Pix de uma venda de cartão já liquidada é confirmado com o mesmo código, como no saque.
Saque só para a sua titularidade
O saque vai apenas para uma conta bancária no mesmo CPF ou CNPJ da sua conta AbacatePay. Para pagar um fornecedor, um sócio ou outra pessoa, existe uma função separada, o Enviar Pix, que também pede o código do autenticador (2FA).
Limites diário e noturno
| Limite | Valor padrão |
|---|---|
| Saques e pagamentos no horário diurno | R$ 5.000 |
| Saques e pagamentos das 20h às 8h (horário de Brasília) | R$ 1.000 |
| Saque mínimo | R$ 3,50 |
| Intervalo entre saques ou envios | 30 segundos |
Toda conta nova começa com esses limites. O aumento é pedido ao time, passa por análise interna e validação bancária, com prazo médio de até 7 dias úteis, e não é automático. Os detalhes estão em “Limites operacionais”, no /pricing.
Verificação da empresa (KYC)
Antes de receber dinheiro de verdade, a AbacatePay verifica a empresa: CNPJ, site com contato, termos, política de privacidade e CNPJ no rodapé, e os dados do sócio administrador. O processo inclui a validação da identidade, do CNPJ e da titularidade da conta bancária usada nos saques. Cadastros com indícios ligados a lavagem de dinheiro, a listas de sanções ou a atividades não permitidas podem ser recusados. Veja como funciona a aprovação de conta.
Proteções nas suas vendas
Antifraude em toda venda no cartão
Cada compra no cartão é analisada antes de ser cobrada. O antifraude olha o dispositivo, o navegador e o IP, a localização comparada com a entrega e a cobrança, as tentativas em sequência, o CPF e o titular, o histórico na loja e o valor do pedido. A análise tem três saídas: aprova na hora, pede a confirmação do banco do cliente ou bloqueia antes de cobrar. Toda compra barrada volta com a mesma mensagem, para quem testa cartão roubado não aprender o que mudar.
Vale no checkout, no link de pagamento, no checkout transparente e nas assinaturas, sem SDK de antifraude. O antifraude e o 3DS já estão na taxa do cartão, que é ativado sob consulta e cobra a partir de 3,5% + R$ 0,60 (à vista, recebendo em D+30), sem custo a mais. Para entender o conceito, leia o que é antifraude.
3DS: o banco confirma quem compra
Na compra com o cliente presente, a AbacatePay consulta o banco emissor pelo 3DS. Quando o banco reconhece a compra, ele autentica sozinho; quando não, pede ao cliente uma confirmação no app ou um código por SMS, numa janela que abre e fecha sozinha. O 3DS reduz o risco de chargeback por fraude.
Dados do cartão longe do seu servidor
No checkout transparente, o abacatepay.js desenha os campos do cartão num iframe seguro: o número e o CVV nunca passam pelo seu código. O script devolve um token de uso único, válido por 60 segundos, que o seu backend usa para criar a cobrança. A chave pública do script pode ficar no navegador; a chave de API, não.
Chargeback com evidência pronta
Quando um cliente contesta uma compra no banco, você recebe o aviso por e-mail e no webhook (checkout.disputed ou transparent.disputed), vê o prazo e o motivo no painel e tem as evidências sugeridas para cada motivo, com um PDF dos dados da compra gerado em um clique.
Pix e o MED
No Pix, o MED (Mecanismo Especial de Devolução) é o procedimento do Banco Central para fraude, golpe ou Pix não autorizado. Quem abre a disputa é o pagador, no banco dele. O valor contestado pode ficar bloqueado até a decisão, que cabe à instituição parceira e sai em até 7 dias. Você tem 48 horas para enviar a sua defesa, e a AbacatePay não cobra pela disputa. Veja chargeback no Pix e MED.
Segurança na integração (para desenvolvedores)
Chaves de API com permissão por rota
A chave de API fica só no backend. A de teste começa com abc_dev_ e a de produção, com abc_prod_. Cada rota exige uma permissão, e as permissões não podem ser editadas depois: para mudar o acesso, crie outra chave e exclua a antiga. A chave aparece uma única vez, na criação, e qualquer chave que possa ter vazado deve ser excluída na hora. Quem entra pela CLI com login, sem chave, não chama as rotas que tiram dinheiro da loja, como saque e reembolso. Veja o hub de desenvolvedores.
Webhooks com secret e assinatura HMAC
Cada webhook traz duas provas. O secret, de 32 caracteres ou mais, que você define ao criar o webhook, prova que a requisição veio da AbacatePay. A assinatura HMAC-SHA256, no header X-Webhook-Signature, prova que o corpo não foi alterado no caminho. A URL do webhook precisa ser HTTPS. Compare o secret em tempo constante, como no exemplo da documentação:
import crypto from "node:crypto";
function safeEqual(a: string, b: string): boolean {
const A = Buffer.from(a, "utf8");
const B = Buffer.from(b, "utf8");
return A.length === B.length && crypto.timingSafeEqual(A, B);
}Se algo não confere, responda 401 e não processe o evento. Para o conceito, leia o que é webhook de pagamento.
Modo Teste separado da produção
No Modo Teste, os pagamentos são simulados, nada é cobrado de verdade e os dados ficam separados dos de produção, com chaves e webhooks próprios. Saque não existe nesse ambiente. Veja como testar no Modo Teste.
Seus dados pessoais
Pelos Termos de Uso, os dados ficam em servidores com criptografia, controle de acesso, autenticação em dois fatores, registros de acesso e política de backups, e o tratamento segue a LGPD. Você pode pedir acesso, correção, exclusão de dados desnecessários e portabilidade, pelo canal do encarregado de dados (DPO) indicado nos Termos. Dados exigidos por lei, como os do cadastro e da prevenção à lavagem de dinheiro, ficam guardados pelo prazo legal.
Transparência
As taxas estão publicadas no /pricing: o Pix, por exemplo, custa R$ 0,80 por Pix pago. Os Termos são públicos, e a página de status mostra a situação dos serviços. Quando os serviços ficaram fora do ar em 16 e 17 de janeiro de 2026, a AbacatePay publicou um relatório público do incidente com a linha do tempo, as causas e o que muda. O CNPJ e como conferir estão em qual é o CNPJ da AbacatePay.
Checklist de segurança para o lojista
- Ative o 2FA da conta.
- Guarde a chave de API numa variável de ambiente ou num gerenciador de segredos, nunca no código.
- Use uma chave por integração, só com as permissões necessárias.
- Valide o secret e a assinatura de cada webhook.
- Confira o pagamento pela API ou pelo webhook antes de liberar o pedido, e desconfie de comprovante de Pix falso.
- Não passe a sua senha, o código do autenticador nem a chave de API para ninguém. A AbacatePay nunca pede a sua chave.
- Para saber quando o dinheiro cai e o que pode segurar um valor, veja quando o dinheiro cai na AbacatePay. Para receber por Pix, o valor cai no saldo na hora.
Perguntas frequentes
A AbacatePay é segura?
A AbacatePay não é instituição financeira: a custódia dos valores fica com instituições parceiras autorizadas pelo Banco Central. O saque pede 2FA e só vai para conta de mesma titularidade, a empresa é verificada antes de receber, toda venda no cartão passa pelo antifraude e os webhooks são assinados.
Quem guarda o dinheiro das vendas?
Instituições parceiras autorizadas pelo Banco Central, em subconta no nome da sua empresa. A AbacatePay é a plataforma de tecnologia que intermedeia os pagamentos.
O antifraude tem custo?
Não. O antifraude e o 3DS já estão na taxa do cartão.
Alguém com a minha senha consegue sacar o meu saldo?
O saque pede o código do autenticador (2FA) e só vai para uma conta de mesma titularidade da sua conta AbacatePay.
Como sei que um webhook veio da AbacatePay?
Confira o secret, que só você e a AbacatePay conhecem, e valide a assinatura HMAC-SHA256 do header X-Webhook-Signature sobre o corpo bruto da requisição.
O número do cartão passa pelo meu servidor?
Não, com o abacatepay.js. Os campos do cartão ficam num iframe seguro, e o seu backend recebe só um token de uso único.