Segurança

Cada venda é registrada na subconta do lojista, em instituição de pagamento parceira autorizada pelo Banco Central. A LastroPay não recebe o valor da venda em conta própria.

Todo movimento soma zero, verificado pelo próprio banco de dados no momento da gravação. Lançamentos não podem ser alterados nem apagados.

Cada transação é conferida com o extrato da instituição parceira. Divergências viram alerta para o time de operações.

Saque só para conta de mesma titularidade, carência de 48 horas após troca de conta bancária, limite diário por perfil e bloqueio cautelar quando a taxa de contestação passa do limite.

Avisos de pagamento recebidos dos parceiros são conferidos com uma consulta ao próprio parceiro antes de qualquer crédito. Aviso que não confere não move dinheiro.

O número do cartão e o código de segurança vão do navegador do comprador direto para o ambiente certificado PCI DSS do processador. Os servidores da LastroPay recebem um token de uso único.

O checkout não carrega bibliotecas, fontes ou rastreadores de terceiros. A política de segurança de conteúdo autoriza só o script e o estilo cujo hash criptográfico confere, em linha com o requisito 6.4.3 do PCI DSS 4.0.

O checkout só pode ser exibido dentro do painel da própria LastroPay, para a prévia de personalização. Nenhum outro site consegue embuti-lo.

Campos livres enviados pelo lojista são verificados, e qualquer sequência que pareça um número de cartão é recusada.

Administrador principal, Gerente, Risco e Compliance, e Gerente de contas. A permissão é conferida no servidor em cada requisição, e não só escondida na tela.

Faturamento, receita e gestão da equipe não podem ser concedidos a outros perfis. A regra também é imposta pelo banco de dados.

Chaves de API e tokens da equipe são exibidos uma única vez e armazenados apenas como SHA-256. Comparação em tempo constante.

Acesso administrativo atrás de provedor de identidade com 2FA, exigindo que o e-mail do login seja o mesmo da pessoa titular do token.

Alterações geram registro de antes e depois, com autor. Ações sem alteração de dado, como abrir um documento, exportar uma planilha ou acessar a conta de um lojista como suporte, ficam na trilha de auditoria. Os dois registros são só de inserção.

Revisão trimestral das pessoas e permissões ativas, com remoção de acessos sem uso.

HTTPS obrigatório com HSTS e pré-carregamento. Comunicação com parceiros e bancos de dados por canais cifrados.

Celular do comprador, IP real e segredos de webhook cifrados com AES-GCM, com chave fora do banco de dados. CPF e IP usados em consultas ficam só como HMAC com chave secreta.

Guardados em armazenamento privado, com links de leitura assinados que expiram em 5 minutos. Nada de documento em ferramentas de gestão de tarefas.

Entradas públicas aceitam apenas campos e formatos conhecidos. Campo desconhecido ou fora da faixa é recusado.

Criação de pedidos e saques exige chave de idempotência. Repetir a chamada devolve o mesmo resultado e nunca cobra duas vezes.

Avisos ao lojista assinados com HMAC-SHA256 e carimbo de tempo contra repetição. Só para endereços HTTPS públicos, sem seguir redirecionamentos, para evitar ataques a redes internas.

Limite por IP nas rotas públicas, bloqueio após recusas seguidas de cartão e desafio anti-robô no checkout e no cadastro.

Código de confirmação no WhatsApp para compras de valor alto, CPF com contestação anterior na rede ou muitos pedidos em pouco tempo.

Pico de recusa, chargeback, MED, estorno, volume fora do perfil e pagamentos repetidos do mesmo CPF geram alerta. Casos críticos bloqueiam saques de forma cautelar.

Cada venda guarda as provas: confirmação do comprador, verificação do celular, acesso ao produto e Código LST, prontas para a defesa de MED e chargeback.

Papéis, escalonamento, comunicação e pós-incidente documentados.

Violação de política de conteúdo no checkout, falha de assinatura de webhook e divergência de conciliação geram alerta.

Avisos e e-mails passam por uma fila gravada na mesma transação da venda. Se um parceiro cair, o envio é refeito. Pagamentos sem confirmação são recuperados por consulta ativa.

Backup automático do banco de dados da operação, com recuperação a um ponto no tempo e teste periódico de restauração.

Roteamento por método, com troca para a rota reserva quando a principal está degradada.

Fluxos de dinheiro, permissões, antifraude e segurança cobertos por testes que rodam contra um Postgres real antes de cada publicação.

Chaves e tokens só em variáveis de ambiente do provedor de nuvem.

Teste interno em outubro de 2026, com as correções aplicadas. Teste anual por empresa independente, com resumo disponível sob acordo de confidencialidade.