Checkout transparente: o que é e as diferenças para o checkout redirecionado

Checkout transparente é o modelo em que o cliente paga sem sair do site ou do aplicativo da loja. O formulário de pagamento aparece na própria página, com a identidade visual da marca, enquanto os dados do cartão são capturados e protegidos pelo gateway por trás. No checkout redirecionado, ao contrário, o comprador é levado para a página de outra empresa para concluir a compra. A escolha entre os dois mexe com conversão, segurança, esforço de integração e com o quanto a loja controla a própria jornada.

O que é checkout transparente

O checkout é a última etapa da compra online: o momento em que o cliente escolhe como pagar, informa os dados e confirma o pedido. Ele é chamado de "transparente" porque o intermediador de pagamento fica invisível para o comprador. O cliente vê só a loja, do carrinho ao "pedido confirmado".

Por trás da tela, quem trabalha é um gateway de pagamento. A loja integra a API (interface que permite a sistemas conversarem) ou o SDK (kit de desenvolvimento) do gateway, que fornece os campos de cartão, gera cobranças Pix, roda o antifraude e devolve a resposta de aprovado ou negado.

O tema ganhou peso com o crescimento das compras a distância. Segundo a Abecs, as compras não presenciais com cartão movimentaram R$ 1,1 trilhão em 2025, alta de 18,3%. O débito online também avança: cresceu 323,4% entre 2019 e 2025, de acordo com a entidade.

Como funciona o checkout redirecionado

No checkout redirecionado, a loja envia o cliente para uma página hospedada pelo intermediador, com o endereço e, muitas vezes, a marca dessa empresa. Lá ele escolhe o meio de pagamento, informa os dados e paga. Depois, é mandado de volta para a loja, que recebe a confirmação.

A grande vantagem é a simplicidade: a loja quase não toca em dados de pagamento, a integração é curta e muitas plataformas de e-commerce oferecem o modelo pronto. As desvantagens aparecem na jornada. A troca de endereço pode gerar desconfiança, a página tem pouco espaço para personalização e, no celular, o vai e volta entre telas aumenta a chance de o cliente desistir no caminho.

Existe ainda um meio-termo, o checkout em modal ou lightbox: uma janela do intermediador abre sobre a página da loja. O cliente não troca de endereço, mas a tela de pagamento continua sendo do provedor.

Checkout transparente x redirecionado: as diferenças

Para vendas por conversa, como WhatsApp e Instagram, nenhum dos dois é obrigatório: o link de pagamento resolve sem loja virtual.

Segurança: PCI DSS, campos seguros e tokenização

O PCI DSS é o padrão de segurança de dados exigido pelas bandeiras de cartão de quem armazena, processa ou transmite dados de cartão. Uma dúvida comum é se o checkout transparente obriga a loja a lidar com o número do cartão. Não obriga, desde que seja montado do jeito certo.

A forma recomendada são os campos seguros (também chamados de campos hospedados): os campos de número, validade e código de segurança parecem fazer parte da página, mas são servidos pelo gateway, em geral dentro de um iframe, um quadro de outra origem embutido na tela. O que o cliente digita vai direto ao gateway, que devolve um token. O servidor da loja só recebe esse token e o envia junto com o pedido.

Essa arquitetura define o tamanho da obrigação de conformidade. Para lojas que terceirizam totalmente a captura de dados, o PCI DSS prevê um questionário de autoavaliação mais enxuto, o SAQ A. Quando o JavaScript da própria loja captura os dados e envia ao processador, o questionário costuma ser o SAQ A-EP, mais extenso. E se o número do cartão passa pelos servidores da loja, o escopo cresce bastante.

Há um ponto de atenção recente. Desde 31 de março de 2025 valem os requisitos 6.4.3 e 11.6.1 do PCI DSS 4.0.1, que tratam dos scripts da página de pagamento: eles precisam ser autorizados, ter a integridade verificada e ser monitorados contra alterações, para evitar o chamado e-skimming, quando um código malicioso copia o que o cliente digita. O PCI SSC retirou esses dois requisitos do SAQ A, mas, em troca, passou a exigir que a loja confirme que seu site não está suscetível a ataques por scripts que afetem o e-commerce. A confirmação pode vir de proteções próprias ou do provedor que fornece o iframe. O tema completo está no guia de PCI DSS e tokenização.

3DS: autenticação sem atrito para o cartão

O EMV 3-D Secure (3DS) é o protocolo que permite à loja e ao banco emissor trocarem informações sobre a transação, o meio de pagamento e o dispositivo antes da aprovação, para confirmar que quem compra é o titular do cartão. Segundo a EMVCo, entidade que mantém a especificação, a maioria das compras de baixo risco é aprovada sem nenhum passo extra: o cliente só clica em "comprar". É o fluxo sem atrito (frictionless). Quando o risco é maior, o emissor pede uma confirmação adicional, como senha de uso único, biometria ou aprovação no app do banco.

No checkout transparente, o 3DS roda dentro da tela da loja, sem redirecionamento. Isso importa por dois motivos. Primeiro, emissores tendem a aprovar com mais confiança transações autenticadas. Segundo, nas regras de várias bandeiras, a responsabilidade por contestações de fraude em compras autenticadas pode passar ao emissor, o que reduz o prejuízo com chargeback. As condições variam por bandeira e por tipo de transação, por isso vale confirmar com o provedor. A EMVCo recomenda a versão 2.2 ou superior do protocolo.

Pix no checkout: QR Code, copia e cola e sem redirecionamento

O Pix chegou a quase 80 bilhões de transações em 2025, segundo o Banco Central, e virou presença obrigatória em qualquer checkout. No transparente, a loja mostra na própria tela o QR Code dinâmico, gerado para aquele pedido com valor e prazo de expiração, e o código copia e cola, mais prático para quem compra pelo celular. O gateway avisa por webhook assim que o pagamento é liquidado, e o pedido é liberado sem conferência manual.

Três recursos tornam o Pix ainda mais forte no checkout:

• Expiração e reconciliação automáticas. Cada cobrança tem identificador único, o que elimina o "fiz o Pix, mas o pedido não andou".
• Pix Automático. Para assinaturas e mensalidades, o cliente autoriza uma vez e as cobranças seguintes são debitadas sozinhas. Os detalhes estão no guia de Pix Automático.
• Jornada sem redirecionamento. Regulada pelo Banco Central dentro do Open Finance, ela permite que o cliente vincule a conta uma vez e, nas compras seguintes, confirme o Pix com biometria sem abrir o app do banco. O mercado tem chamado a solução de "Pix por biometria"; a oferta ainda depende de cada instituição e de cada provedor de pagamento.

Compra com um clique: cartão salvo com token

A compra com um clique (one-click) é o recurso que mais reduz atrito para quem volta à loja: o cartão já está salvo e o cliente só confirma. O segredo é que a loja não guarda o número do cartão, e sim um token.

Há dois níveis de token. O token do gateway representa o cartão dentro daquele provedor. O token de bandeira (network token), padronizado pela EMVCo, substitui o número do cartão por um valor alternativo restrito a um comerciante, dispositivo ou cenário de uso. Se vazar, vale muito menos do que o número original. O token de bandeira também pode ser atualizado automaticamente quando o banco emite um cartão novo, o que evita recusas por cartão vencido.

O mesmo mecanismo sustenta a cobrança recorrente com cartão, que movimentou R$ 141,9 bilhões em 2025, alta de 34%, segundo a Abecs. Para salvar o cartão, a loja precisa do consentimento claro do cliente e de uma forma simples de remover o cartão depois.

Conversão e implantação: como tirar proveito do checkout transparente

O checkout transparente não converte mais só por existir. O ganho vem do que a loja faz com o controle que ganhou:

1. Menos campos e menos passos. Peça só o necessário, preencha endereço pelo CEP e deixe o Pix e o cartão salvo visíveis logo de cara.
2. Pensado para o celular. Teclado numérico nos campos certos, botões grandes e o copia e cola do Pix a um toque.
3. Mensagens de recusa úteis. "Confira a validade" ou "tente o Pix" recuperam vendas que um "erro no pagamento" perde.
4. Antifraude calibrado. Regras duras demais recusam bons clientes; frouxas demais geram chargeback. Acompanhe a taxa de aprovação por bandeira e por emissor.
5. Retentativa inteligente. Em recusas por instabilidade, uma nova tentativa ou outra rota de adquirente pode salvar a venda.
6. Medição. Monitore abandono por etapa e por meio de pagamento para saber onde a jornada perde clientes.

Para implantar, a loja integra a API do gateway no back-end e os campos seguros ou o SDK no front-end, configura os webhooks e testa em ambiente de homologação antes de ir ao ar. O TKI Gateway oferece checkout transparente e API de Pix e cartão com tokenização, split e webhooks, em modelo white label, para quem quer o pagamento com a própria marca do começo ao fim.

Perguntas frequentes

O que é checkout transparente?

É o modelo de pagamento em que o cliente conclui a compra dentro do próprio site ou aplicativo da loja, sem ser levado para a página de outra empresa. O formulário tem a identidade visual da marca, e os dados do cartão são capturados e protegidos pelo gateway por trás.

Qual a diferença entre checkout transparente e redirecionado?

No redirecionado, o cliente sai da loja e paga numa página do intermediador, que cuida de tudo. No transparente, o pagamento acontece na tela da loja. O primeiro é mais rápido de implantar; o segundo dá mais controle sobre experiência, marca e dados da jornada.

Checkout transparente é seguro?

Sim, quando os dados do cartão são capturados por campos seguros do gateway e trocados por um token antes de chegar ao servidor da loja. Assim, o número do cartão não fica com o lojista. A loja ainda precisa proteger a página contra scripts maliciosos e seguir o PCI DSS.

Preciso ter certificação PCI para usar checkout transparente?

A loja precisa estar em conformidade com o PCI DSS, mas o esforço depende de como o checkout é montado. Com campos hospedados pelo provedor, o questionário de autoavaliação costuma ser bem mais simples do que quando o número do cartão passa pelos servidores da loja.

Dá para aceitar Pix no checkout transparente?

Sim. A página mostra o QR Code dinâmico e o código copia e cola sem sair da loja, e o gateway avisa por webhook quando o pagamento cai. Para assinaturas, dá para oferecer Pix Automático na mesma integração.

O que é checkout com um clique?

É a compra em que o cliente já tem o cartão salvo e confirma o pedido com um toque. O cartão fica guardado como token, com o consentimento do titular, e não como número aberto no banco de dados da loja.