Acesso por pessoa e sessão
Sessões verificadas no servidor, senhas protegidas por hash e segundo fator disponível. A autorização de uma tela não substitui a conferência de permissão da API.
Segurança em cada
etapa da operação.
A proteção envolve o acesso das pessoas, as fronteiras entre contas e a confirmação do dinheiro. Conheça as responsabilidades de cada lado.
Contas com fronteiras próprias
A conta da credencial determina o contexto da integração. Clientes, cobranças e acessos devem permanecer vinculados àquela operação.
Confirmação no backend
Uma cobrança só deve liberar o pedido depois de o pagamento ser confirmado. Um QR Code ou comprovante mostrado pelo navegador não basta.
Segredos no servidor
Chaves de API com escopos e credenciais do provedor fora do navegador. A equipe deve usar o mínimo de acesso necessário para cada tarefa.
Eventos verificáveis
Webhooks assinados e reentregas observáveis. O integrador valida o corpo cru e impede que o mesmo evento produza efeitos duplicados.
Operações com registro
Ações administrativas e decisões financeiras têm trilha de auditoria. Alterações sensíveis exigem as verificações correspondentes da operação.
O que você pode fazer
- Use senha única e configure o aplicativo autenticador.
- Revise convites, sessões e chaves sem uso.
- Não compartilhe códigos ou credenciais com atendentes.
- Valide assinaturas e deduplique eventos no seu backend.
Encontrou uma vulnerabilidade?
Escreva para suporte@pagueo.com.br com o endereço afetado, passos de reprodução e o impacto observado. Use dados de teste e evite incluir segredos ou informações de terceiros.
Relatar uma falha não exige explorar dados alheios, interromper serviços ou realizar testes em contas sem autorização.
Enviar relato ↗