Segurança

Práticas vigentes em 28 de outubro de 2026.

O cartão

A tela de confirmação nunca recebe o número completo do cartão em claro. Ela trabalha com o que o emissor envia: bandeira, quatro últimos dígitos, titular, valor e moeda. O código de confirmação é repassado ao emissor e não fica visível depois do uso.

Transporte

• HTTPS obrigatório em todas as páginas, com HSTS de dois anos e includeSubDomains.
• Redirecionamento de HTTP para HTTPS e versão única de host por página.
• Content Security Policy restritiva, sem script de terceiro fora das exceções declaradas.
• A tela roda em iframe do estabelecimento com frame-ancestors explícito, e não aceita ser embutida em domínio estranho.

Domínio e e-mail

Registro travado contra transferência, DNSSEC habilitado e CAA restringindo a emissão de certificado às autoridades usadas. O e-mail publica SPF, DKIM e DMARC em quarentena, além de MTA-STS, de modo que mensagem em nome do domínio sem assinatura válida é recusada.

Essas quatro coisas — registro travado, DNSSEC, CAA e DMARC — são justamente o que a maioria dos clones de tela de banco não tem. Elas podem ser conferidas por qualquer pessoa com ferramenta pública de DNS.

Identidade verificável

• Identificação da mantenedora em página própria, com CNPJ conferível.
• security.txt com contato e prazo de resposta.
• Política de privacidade com controlador, base legal e retenção declarados.
• Página de status e histórico de mudanças do serviço.

Reportar um problema

Escreva para [email protected] com URL, horário e descrição. Confirmamos recebimento em até dois dias úteis. Se você recebeu um e-mail suspeito em nome do domínio, encaminhe para o mesmo endereço sem clicar em links.

Escopo

Esta página cobre a camada de autenticação. Questões de cobrança, entrega e reembolso competem ao estabelecimento — veja os termos.