Segurança de nível bancário, de ponta a ponta
Esta página explica, camada por camada, como a Capay Global protege cada pagamento, cada repasse e cada registro. Cada controle descrito aqui funciona hoje em produção.
Última revisão: 3 de novembro de 2026
Confiança num relance
- Encriptação TLS em trânsito
- Encriptação AES-256 em repouso
- HTTPS obrigatório com HSTS
- PCI DSS: nenhum dado de cartão nos nossos sistemas
- Quadro de controlos SOC 1 e SOC 2
- Autenticação de dois fatores
- Isolamento de dados ao nível da linha
- Registo de auditoria imutável
- Transferências com aprovação a quatro olhos
- KYB, AML e triagem de sanções
- Revisão de segurança completa, outubro de 2026
A segurança em números
- 0
- números de cartão alguma vez guardados nos nossos sistemas
- 100%
- das tabelas da base de dados sob segurança ao nível da linha
- 7
- anos de conservação de auditoria só de acrescento
- 2
- aprovadores em cada transferência acima do seu limite
- 300
- segundos até uma ligação de documento expirar
- 400
- dias de registos de acesso na borda guardados para análise forense
Como o comprovamos: auditar, corrigir, testar, auditar novamente
Não começamos com um teste de intrusão. Primeiro auditamos toda a plataforma de produção, corrigimos o que a auditoria encontra, convidamos uma equipa independente a tentar entrar e depois auditamos novamente para confirmar que as correções se mantêm.
- 01
Auditoria de produção em 13 camadas
Uma revisão completa da plataforma em produção: autenticação, base de dados, API, fluxos de dinheiro, alojamento, implementação, monitorização, recuperação e mais. Concluída em outubro de 2026.
- 02
Corrigir o que a auditoria encontrou
As constatações críticas e altas foram corrigidas e verificadas na mesma noite. Cada item restante tem um responsável e está a ser encerrado, a começar pelos que protegem o dinheiro e os acessos.
- 03
Teste de intrusão externo
Uma empresa de segurança independente vai atacar a plataforma com a nossa autorização, para encontrar o que as nossas correções possam ter deixado escapar. Os clientes podem pedir o relatório de síntese sob NDA.
- 04
Segunda auditoria
Repetimos a auditoria de 13 camadas para confirmar que cada correção se mantém e depois atualizamos o quadro de avaliação desta página.
Quadro de avaliação de produção: 13 camadas
O que protege hoje cada camada da plataforma, revisado em nossa auditoria de produção de outubro de 2026.
- 01
Autenticação e acesso
Autenticação de dois fatores para comerciantes e equipe, permissões por função e controles de acesso que bloqueiam por padrão.
- 02
Base de dados e isolamento de dados
Segurança ao nível da linha em cada tabela, para que uma empresa só possa ler os seus próprios dados, e cada função privilegiada verifica primeiro a função de quem a chama.
- 03
API e webhooks
Chaves API com hash, limites de taxa por chave e por IP, listas de IP permitidos e webhooks assinados e protegidos contra repetição.
- 04
Integridade do dinheiro
Livro-razão de partidas dobradas, lançamentos que têm de fechar, idempotência em cada operação de dinheiro e aprovação por duas pessoas nos repasses.
- 05
Encriptação e segredos
TLS em trânsito, AES-256 em repouso e segredos em tabelas bloqueadas que nenhuma aplicação consegue ler e que nenhum log jamais exibe.
- 06
Alojamento e edge
AWS CloudFront atrás da Cloudflare, apenas armazenamento privado, HTTPS obrigatório com HSTS e cabeçalhos de navegador rigorosos.
- 07
Implementação e controlo de alterações
Lançamentos automatizados com verificações de segurança integradas, verificações ao vivo após cada lançamento e migrações que podem ser reexecutadas com segurança.
- 08
Monitorização e alertas
Verificações de saúde dos provedores, alertas de saldo das carteiras, verificações do razão, disjuntores e uma página de status pública.
- 09
Registos e trilho de auditoria
Um registo de auditoria só de acréscimo guardado durante sete anos, um identificador de pedido em cada chamada à API e registos de acesso no edge guardados durante 400 dias.
- 10
Escalabilidade e resiliência
Limites de taxa, interruptores de emergência e disjuntores que param um canal de pagamento com falhas sem parar os restantes.
- 11
Recuperação e conciliação
Uma verificação noturna do razão, reverificações automáticas de status para que nenhum pagamento fique pendente e novas tentativas seguras que nunca cobram duas vezes.
- 12
Resposta a incidentes
Um plano escrito de resposta a incidentes com níveis de gravidade, funções designadas, chaves de emergência que interrompem um canal em segundos e notificação aos clientes.
- 13
Conformidade e privacidade
Verificação KYB, AML e triagem de sanções antes de qualquer empresa entrar em operação, monitoramento contínuo e nenhum dado de cartão em nossos sistemas.
Cada passo de um pagamento, protegido
Siga um pagamento desde o telemóvel do seu cliente até ao seu saldo e veja que controlo guarda cada etapa.
- 1
O seu cliente paga
Num checkout alojado ou numa ligação de pagamento servidos sobre TLS. Os números de cartão nunca chegam à Capay Global; as aprovações de mobile money acontecem no próprio telemóvel do cliente.
- 2
A sua integração chama a API
Autenticada com uma chave com hash e âmbito limitado; com limite de pedidos por chave e por IP; cada pedido leva uma chave de idempotência e um identificador de pedido, e os dados com formato de cartão são rejeitados na borda.
- 3
O livro-razão regista
Uma linha de intenção existe antes de qualquer fornecedor ser chamado, e o crédito deriva dessa intenção, nunca do cliente. Cada lançamento tem de estar equilibrado ou a base de dados recusa-o.
- 4
O fornecedor confirma
Os callbacks são verificados por assinatura sobre o corpo em bruto, com comparação em tempo constante, desduplicados contra replay, e o registo do próprio fornecedor é reobtido antes de qualquer coisa ser aplicada.
- 5
Envia os fundos
Os beneficiários são triados, as transferências acima do seu limite esperam por um segundo aprovador com um passo adicional de dois fatores, os destinos ficam congelados após a aprovação, e os circuit breakers travam uma rede em falha.
- 6
Vê tudo
Acesso ao painel atrás de autenticação de dois fatores, dados isolados por negócio com segurança ao nível da linha, webhooks assinados para os seus sistemas, e um registo de auditoria que não pode ser editado.
Defesa em profundidade, quatro camadas
Cada camada assume que a camada acima pode falhar. Um pedido tem de passar as quatro antes de poder tocar no dinheiro.
- 01Borda
- Cloudflare e AWS CloudFront
- TLS em todas as ligações
- HTTPS obrigatório com HSTS
- Controlo de acesso à origem, sem buckets públicos
- Cabeçalhos de navegador rigorosos
- Registos de acesso guardados 400 dias
- 02Aplicação
- Chaves de API com hash SHA-256
- Limites de pedidos por chave e por IP
- Idempotência em cada chamada monetária
- Guarda contra dados de cartão à entrada
- Webhooks assinados e protegidos contra replay
- Sandbox isolada dos fornecedores reais
- 03Dados
- Segurança ao nível da linha em todas as tabelas
- Encriptação AES-256 em repouso
- Tabelas de segredos de acesso zero
- Registo de auditoria só de acrescento
- Conservação durante sete anos
- Repositório privado de documentos, ligações de 300 segundos
- 04Dinheiro
- Livro-razão de partidas dobradas em unidades mínimas
- Lançamentos equilibrados obrigatórios
- Aprovação a quatro olhos com passo adicional de dois fatores
- Interruptores de emergência e circuit breakers
- Monitorização de float em todas as carteiras
- Sentinela de reconciliação noturna
Encriptação em trânsito e em repouso
- TLS em todas as ligações: navegadores, APIs, webhooks e ligações a fornecedores. O HTTPS é obrigatório em todos os domínios da Capay Global com HTTP Strict Transport Security.
- Encriptação AES-256 em repouso para bases de dados e armazenamento de objetos, gerida pela gestão de chaves com suporte em hardware dos nossos fornecedores de infraestrutura.
- Os segredos (credenciais de fornecedores, segredos de webhooks, chaves de idempotência) vivem em tabelas de acesso zero que nenhuma função da aplicação consegue ler; são ocultados em todos os registos e linhas de auditoria.
- Os documentos de verificação são guardados num bucket privado, limitado à pasta do próprio negócio, e abertos apenas através de ligações assinadas de 300 segundos.
PCI DSS: uma plataforma sem dados de titulares de cartão
- Nunca recebemos, armazenamos, processamos ou transmitimos um número de cartão ou um CVV. A guarda de entrada rejeita dados com formato de cartão em todos os corpos da API e um trigger da base de dados recusa-os em cobranças, transferências e reembolsos.
- Os pagamentos com cartão, onde disponíveis, correm em páginas alojadas operadas dentro do âmbito PCI DSS dos nossos parceiros; a Capay Global só lida com referências mascaradas.
- Os cartões virtuais são emitidos através de um parceiro licenciado; o número completo do cartão nunca é guardado nos nossos sistemas.
Integridade do dinheiro
- Livro-razão de partidas dobradas em unidades mínimas: cada movimento é um lançamento equilibrado com referência única, e um trigger da base de dados rejeita qualquer lançamento que não esteja equilibrado.
- Idempotência em cada chamada monetária: linhas de reserva prévia, referências de lançamento únicas e a mesma chave enviada ao fornecedor, para que uma nova tentativa nunca possa cobrar ou pagar duas vezes.
- Aprovação a quatro olhos em transferências, ajustes e câmbio, com um passo adicional de dois fatores para o aprovador.
- Interruptores de emergência em cada ponto de entrada, circuit breakers nas falhas de desembolso, monitorização de float em todas as carteiras e uma sentinela noturna do livro-razão que reconcilia as contas.
- A sandbox é fisicamente incapaz de chegar a um fornecedor real.
Identidade e acesso
- Autenticação de dois fatores (TOTP) para comerciantes e pessoal; as portas fecham em caso de falha, nunca abrem.
- Segurança ao nível da linha em todas as tabelas: um negócio só consegue ler as suas próprias linhas, imposto pela base de dados e não pelo código da aplicação.
- Permissões por função para a sua equipa (proprietário, finanças, programador, apoio) e para a nossa; cada ação privilegiada verifica primeiro a permissão.
- Política de palavras-passe com verificação de palavras-passe comprometidas, códigos de utilização única de curta duração, início de sessão com limite de tentativas, e sessões que terminam ao terminar sessão com as caches limpas.
- Os convites de administradores, as mudanças de função e as desativações são auditados e entram em vigor de imediato.
Segurança da API e dos webhooks
- Chaves de API com hash SHA-256; só um prefixo é guardado e a chave é mostrada uma única vez, na criação.
- Limites de pedidos por chave e por IP, listas de IPs autorizados opcionais, tetos de gasto diários, restrições por país e por método, e rotação com um clique.
- A capacidade de mover dinheiro real nas chaves de agente é armada separadamente e apenas atrás de autenticação de dois fatores.
- Os webhooks de saída são assinados com HMAC, com carimbos temporais e proteção contra replay; os callbacks de fornecedores recebidos são verificados sobre o corpo em bruto com comparação em tempo constante, e a verdade do fornecedor é reobtida antes de qualquer mudança de estado.
Programa de conformidade
- KYB antes da entrada em produção: documentos de registo, beneficiários efetivos, triagem de sanções e aprovação por duas pessoas.
- Monitorização AML contínua com fluxos de resolução claros, renovação periódica do KYB e uma classificação de risco por negócio.
- Registos financeiros e registos de auditoria conservados durante sete anos em tabelas só de acrescento que bloqueiam edições e eliminações ao nível da base de dados.
- Controlos alinhados com os critérios SOC 1 e SOC 2 (Trust Services Criteria: segurança, disponibilidade, confidencialidade, integridade do processamento) e com a postura PCI DSS sem dados de titulares de cartão.
- Uma revisão de segurança completa da plataforma em produção (base de dados, autenticação, entrega web, API, fluxos monetários, navegador) foi concluída em outubro de 2026, com cada constatação corrigida ou atribuída a um responsável.
Infraestrutura e operações
- Sites e aplicações servidos a partir do AWS CloudFront atrás do Cloudflare, com controlo de acesso à origem e todos os buckets de armazenamento privados.
- Cabeçalhos de navegador rigorosos: enquadramento proibido, Content-Security-Policy frame-ancestors none, Permissions-Policy e isolamento do opener entre origens.
- Registos de acesso na borda conservados 400 dias para análise forense; identificadores de pedido, IPs e agentes de utilizador em cada chamada à API.
- Auditorias de dependências em cada build, uma página de estado pública, sondas de saúde em cada fornecedor e alertas de incidente para a equipa de operações.
Onde ficam os seus dados
Respostas claras às perguntas sobre residência de dados presentes em todas as revisões de segurança.
Base de dados e documentos da plataforma
Alojados na Amazon Web Services através do nosso fornecedor de base de dados, e encriptados em repouso com AES-256.
Sites, painel e checkout
Servidos em todo o mundo a partir da rede edge da Amazon CloudFront atrás da Cloudflare, para que as páginas carreguem perto dos seus clientes. Nenhum dado de clientes é armazenado no edge.
Parceiros de pagamento
Os dados necessários para concluir um pagamento são partilhados apenas com os parceiros licenciados de mobile money, bancários e de cartões que o processam.
Acesso pela nossa equipa
Apenas a equipa autorizada pode abrir registos de clientes, através de permissões por função, e cada ação privilegiada é escrita num registo de auditoria que não pode ser editado.
Se algo correr mal
Como gerimos um incidente de segurança, do primeiro alerta à revisão final.
- 01
Detetar
Alertas automáticos sobre falhas de fornecedores, saldo das carteiras, discrepâncias no livro-razão e atividade invulgar chegam à nossa equipa de operações.
- 02
Conter
Os interruptores de emergência e os disjuntores param um canal de pagamento afetado em segundos, e as chaves ou sessões expostas podem ser revogadas de imediato.
- 03
Notificar
Os clientes afetados ficam a saber o que aconteceu, o que significa para eles e o que estamos a fazer, sem demora injustificada e dentro do prazo exigido por lei.
- 04
Aprender
Cada incidente grave termina com uma revisão escrita e as correções que impedem que volte a acontecer.
Nosso plano escrito de resposta a incidentes define níveis de gravidade, funções, tempos de resposta e notificação aos clientes. Parceiros e clientes corporativos podem solicitar uma cópia sob NDA.
O que pedimos de si
A segurança é partilhada. Três hábitos mantêm a sua conta tão forte como a plataforma por baixo dela.
- 1Ative a autenticação de dois fatores para todos os membros da equipa, a começar pelos proprietários e pelas finanças.
- 2Guarde as chaves de API num gestor de segredos, nunca no código, e faça a sua rotação quando a equipa mudar.
- 3Defina um limite de aprovação de transferências e uma lista de IPs autorizados nas suas chaves de produção.
Políticas e documentos
A documentação por trás dos controlos, publicada e mantida atualizada.
Perguntas de segurança, respondidas
Os meus dados são encriptados?
Sim. Todas as ligações à Capay Global usam TLS, e os dados são encriptados em repouso com AES-256. Os segredos são guardados em tabelas bloqueadas e nunca aparecem nos registos.
Guardam números de cartão?
Não. A Capay Global nunca recebe, armazena, processa ou transmite um número de cartão ou um CVV. Os dados de cartão são rejeitados na borda da API e dentro da base de dados, e os pagamentos com cartão correm apenas em páginas alojadas dentro do âmbito PCI DSS dos nossos parceiros.
São conformes com SOC 2 e PCI DSS?
O nosso quadro de controlos está alinhado com os critérios SOC 1 e SOC 2 (Trust Services Criteria), e a plataforma opera na postura PCI DSS sem dados de titulares de cartão. Parceiros e clientes empresariais podem pedir a visão geral da segurança, a matriz de controlos e as atestações dos nossos fornecedores.
Alguém na Capay Global pode mover o meu dinheiro?
Nenhuma pessoa sozinha pode. As transferências acima do seu limite precisam de um segundo aprovador do seu lado, as ações privilegiadas do nosso lado exigem uma permissão e um motivo escrito e deixam uma entrada de auditoria que nunca pode ser editada, e o livro-razão recusa qualquer movimento desequilibrado.
Como comunico uma vulnerabilidade?
Escreva à nossa equipa de apoio com os detalhes; todos os relatos são confirmados e tratados com rapidez. Pedimos divulgação responsável e nunca perseguimos investigadores de boa-fé.
Já fizeram um teste de intrusão?
Seguimos uma ordem rigorosa: primeiro uma auditoria completa da produção (concluída em outubro de 2026), depois as correções, depois um teste de intrusão independente e, por fim, uma segunda auditoria para confirmar que as correções se mantêm. Parceiros e clientes corporativos podem solicitar sob NDA o resumo da nossa auditoria e, quando emitido, o resumo do teste de intrusão.
Onde são armazenados os meus dados?
A base de dados e os documentos da plataforma estão alojados na Amazon Web Services, encriptados em repouso com AES-256. Os sites e as páginas de checkout são servidos a partir de uma rede edge global que não armazena dados de clientes.
Divulgação responsável
Os investigadores de segurança são bem-vindos. Se acredita ter encontrado uma vulnerabilidade na Capay Global, comunique-a em privado e dê-nos um prazo razoável para a corrigir. Acusamos a receção de todos os relatos e nunca perseguimos investigação de boa-fé.
- 1Envie os detalhes à nossa equipa: o que encontrou, onde e como reproduzir.
- 2Confirmamos a receção e mantemo-lo informado até estar corrigido.
- 3Dê-nos um prazo razoável para corrigir antes de o tornar público.
Vai enviar-nos um questionário de segurança?
Envie-o antes do contrato, não depois. Respondemos com esta página e o quadro de avaliação e, sob NDA, com a nossa visão detalhada da segurança, a matriz de controlos e as atestações dos nossos fornecedores.
Comece hoje a receber pagamentos em toda a África
Crie uma conta gratuita, desenvolva na sandbox e entre em produção após a verificação.
Fale-nos dos seus corredores e volumes a qualquer momento.