Segurança da integração
Boas práticas de segurança para integrar com a My Gateway: guarda de credenciais, dados de cartão, PCI DSS e o que nunca registrar em logs.
Nesta página
Estas regras valem para todas as APIs da My Gateway.
Credenciais e tokens#
- Armazene
clientId,clientSecretex-api-keyem um cofre de segredos. - Faça todas as chamadas a partir do backend, sempre por HTTPS.
- Nunca exponha
clientSecret,x-api-keyouAuthorizationem frontend, aplicativo móvel, URL ou logs.
Dados de cartão#
- O número do cartão (
cardNumber) só é enviado ao endpoint de tokenização. Nas demais chamadas, use onumberToken. - A tokenização não elimina as responsabilidades de segurança e de conformidade com o PCI DSS de quem captura o cartão.
O que não registrar em logs#
| Dado | Onde aparece |
|---|---|
clientSecret, authData | Autenticação |
Authorization, x-api-key | Headers de todas as chamadas |
cardNumber, securityCode | Tokenização e pagamento no cartão |
crypt, seed | Inicialização do SDK 3DS |
code3DS, validateToken, pareq | Fluxo 3DS |
| Fingerprint completo | Pagamentos PIX e cartão |
Última atualização em
