Pagamento seguro: padrões e certificações de e-commerce

Em matéria de pagamento online, a questão não é saber se um incidente vai ocorrer, mas sim quem vai suportar o custo. A resposta depende de dois elementos: a conformidade com a norma aplicável aos dados de cartão, e o uso efetivo da autenticação forte. Um comerciante em conformidade com esses dois pontos assume pouco risco; um comerciante que dispensou a autenticação para agilizar seu funil de vendas assume a totalidade dos inadimplentes fraudulentos.

A autenticação forte, e quem paga em caso de fraude

A diretiva europeia sobre serviços de pagamento exige uma autenticação forte do cliente para a maioria das operações online. Ela se baseia em pelo menos dois elementos independentes entre três categorias: algo que o cliente sabe (senha, código), algo que ele possui (telefone, cartão), algo que ele é (impressão digital, reconhecimento facial).

A regra de responsabilidade que decorre disso é simples e frequentemente mal compreendida:

• Quando a autenticação forte foi aplicada, o ônus de uma operação fraudulenta contestada não recai sobre o comerciante.
• Quando ela foi dispensada — por uma isenção invocada pelo comerciante ou por seu prestador — o risco passa para quem solicitou a isenção.

Existem isenções: operações de baixo valor, beneficiários de confiança cadastrados pelo cliente, análise de risco em tempo real sob certas condições. Elas agilizam o percurso, ao custo de uma transferência de responsabilidade que deve ser assumida com plena consciência.

O cliente dispõe, além disso, de um direito ao reembolso em caso de operação não autorizada, que seu banco deve executar sem demora, salvo suspeita de fraude de sua parte. A disputa é então resolvida entre as instituições e o comerciante.

A norma aplicável aos dados de cartão

Toda entidade que armazena, processa ou transmite dados de cartão está sujeita à norma de segurança do setor, independentemente de seu volume de atividade. O nível de exigência varia conforme o número de transações anuais, mas o princípio não é negociável.

A forma mais eficaz de reduzir esse ônus é reduzir o escopo. Um comerciante que nunca tem acesso aos dados de cartão — porque a inserção ocorre em um campo hospedado pelo prestador de pagamento, ou em uma página redirecionada — tem suas obrigações consideravelmente reduzidas.

Duas práticas anulam esse benefício e são encontradas regularmente: receber um número de cartão por e-mail ou por telefone e digitá-lo pessoalmente, e manter números em um arquivo "para facilitar os próximos pedidos". Em ambos os casos, o escopo se estende a toda a infraestrutura que teve contato com o dado.

A tokenização é a resposta para a necessidade de pagamento recorrente: o comerciante mantém um token inutilizável fora de seu contexto, nunca o número em si.

O que se refere à proteção de dados

Os dados de pagamento são dados pessoais, e seu tratamento se soma às obrigações setoriais sem substituí-las.

Três pontos estruturam a conformidade: uma base legal para cada tratamento, um período de retenção limitado ao que é necessário, e um enquadramento contratual do prestador de pagamento na qualidade de operador de dados.

A retenção dos dados bancários para facilitar uma compra posterior pressupõe o consentimento específico do cliente, distinto da aceitação dos termos gerais. Uma única caixa de marcação que abranja tanto os termos gerais quanto a retenção do cartão não atende a essa exigência — o mesmo raciocínio exposto para os rastreadores e cookies, em que o consentimento deve ser obtido por finalidade.

Os inadimplentes e o combate à fraude

Dois riscos distintos pesam sobre um comerciante, e eles exigem respostas diferentes.

O inadimplente fraudulento resulta de um cartão roubado ou de uma usurpação de identidade. A autenticação forte o neutraliza ao transferir o ônus. É o único dispositivo que protege de fato.

O chargeback abusivo ocorre quando um cliente contesta uma operação que ele mesmo realizou. Aqui, a autenticação não basta: é preciso conseguir demonstrar a entrega e a conformidade da prestação. As provas úteis são a rastreabilidade do envio, a prova de entrega e o histórico das trocas — assunto desenvolvido em nosso artigo sobre as obrigações de entrega e devoluções.

Um terceiro dispositivo limita ambos os riscos: o teto e a filtragem de operações atípicas, por valor, por frequência ou por área geográfica.

Cenários de uso

Loja online padrão. Utilizar um campo de inserção hospedado pelo prestador, nunca ter acesso aos dados de cartão, manter a autenticação forte ativada por padrão. É a configuração que minimiza tanto o ônus de conformidade quanto o risco financeiro.

Assinatura recorrente. Utilizar a tokenização, com um consentimento específico do cliente para a retenção do meio de pagamento, distinto da aceitação dos termos gerais.

Venda por telefone. É a situação mais arriscada: sem autenticação forte, dados ditados oralmente. Prefira o envio de um link de pagamento, que traz a operação de volta ao ambiente seguro e deixa um registro.

Perguntas frequentes

A autenticação forte é obrigatória? Sim, para a maioria das operações online, salvo isenções regulamentadas. Invocar uma isenção transfere o ônus da fraude para quem a solicita.

Quem paga em caso de fraude com cartão? Se a autenticação forte foi aplicada, o ônus não recai sobre o comerciante. Se ela foi dispensada por uma isenção, o ônus passa para quem a solicitou.

É preciso ter certificação para vender online? A norma se aplica desde que dados de cartão sejam armazenados, processados ou transmitidos. O nível de exigência depende do volume, mas o escopo se reduz fortemente quando o comerciante nunca acessa os dados.

É possível reter um número de cartão? Não em texto claro, e não sem consentimento específico. A tokenização permite o pagamento recorrente sem reter o número em si.

Um número recebido por e-mail pode ser digitado? Isso deve ser evitado a todo custo: o dado passa então a fazer parte do escopo de conformidade de toda a infraestrutura que o tratou, incluindo o serviço de e-mail.

Como se defender de uma contestação abusiva? Por meio da prova de entrega e conformidade: rastreabilidade do envio, prova de entrega, histórico das trocas. A autenticação por si só não responde a esse tipo de reclamação.

Para lembrar

Duas decisões determinam a exposição de um comerciante online, e ambas são tomadas no momento de escolher seu funil de pagamento.

A primeira é nunca acessar os dados de cartão, deixando a inserção ocorrer no prestador. Ela reduz o ônus de conformidade em proporções consideráveis e elimina o risco de vazamento.

A segunda é manter a autenticação forte em vez de invocar isenções para agilizar o percurso. Cada isenção ganha alguns pontos de conversão e transfere o custo da fraude. O cálculo merece ser feito explicitamente, com a taxa real de inadimplência frente ao ganho de conversão — é uma das decisões estruturantes do arcabouço legal de uma loja online.