Como criar um gateway de pagamento: caminhos, requisitos e passo a passo

Para criar um gateway de pagamento, existem três caminhos: construir a tecnologia do zero, usar uma estrutura white label com a sua marca ou revender o gateway de outra empresa. Qualquer que seja a escolha, o gateway precisa de integrações com adquirentes, bancos e Pix, segurança certificada no padrão PCI DSS, antifraude, conciliação, controle de cadastro (KYC) e, conforme o modelo, enquadramento nas regras do Banco Central. O que muda entre os caminhos é quanto disso você constrói e quanto você contrata.

Três caminhos para criar um gateway de pagamento

Antes de qualquer decisão técnica, vale entender o que um gateway de pagamento faz: ele leva os dados do checkout até quem processa a transação e devolve a resposta, com segurança. A pergunta é quanto dessa engrenagem a sua empresa quer construir e manter.

1. Construir do zero

Sua equipe desenvolve API, checkout, cofre de cartões, antifraude, conectores com cada adquirente e o sistema financeiro por trás. Você tem controle total sobre produto e roadmap. Em troca, assume todo o custo de desenvolvimento, a certificação PCI DSS, a negociação com adquirentes e a operação 24 horas.

2. White label

Você contrata uma plataforma já pronta e certificada e a opera com sua marca, seu domínio e sua tabela de preços. A tecnologia, as integrações e boa parte da segurança vêm do fornecedor. Sua empresa foca em vender, atender e criar diferenciais para o seu nicho.

3. Revenda ou afiliação

Você indica lojistas para o gateway de outra empresa e recebe comissão. Não há desenvolvimento nem marca própria. É rápido e barato, mas o cliente pertence ao fornecedor, e você não controla preço nem produto.

O que é preciso para criar um gateway de pagamento

Independentemente do caminho, estas peças precisam existir. A diferença é quem as constrói e mantém.

Tecnologia

Uma API estável e bem documentada, checkout pronto para web e aplicativo, ambiente de testes e webhooks (avisos automáticos ao sistema do lojista). Por trás, infraestrutura com alta disponibilidade, monitoramento e proteção contra cobranças duplicadas. Um gateway fora do ar significa lojista sem vender, e esse lojista vai embora rápido.

Segurança e PCI DSS

O PCI DSS é o padrão de segurança definido pelo conselho criado pelas bandeiras de cartão. Ele vale para quem armazena, processa ou transmite dados de cartão, e um gateway está exatamente nesse caminho. Desde 31 de março de 2025, os requisitos da versão 4 que estavam marcados como "futuros" passaram a ser obrigatórios, incluindo controles sobre os scripts das páginas de pagamento. Prestadores de serviço com volume relevante passam por avaliação anual feita por auditor qualificado. O artigo sobre PCI DSS e tokenização detalha o tema.

Integrações com adquirentes, bancos e Pix

Cada adquirente tem sua própria API, seus códigos de resposta e seus arquivos de agenda financeira. Cada integração exige desenvolvimento, homologação e contrato. Para o Pix, é preciso uma instituição participante do arranjo como parceira, ou se tornar participante, o que pressupõe autorização do Banco Central. Para boleto, um banco emissor.

Antifraude

Regras e modelos que analisam cada pedido antes de enviá-lo para autorização. Pode ser próprio ou contratado. O ponto é calibrar: barrar fraude sem recusar cliente legítimo. Fraude que passa vira chargeback e prejuízo.

Ledger e conciliação

Ledger é o livro-razão: o registro contábil de cada movimento, centavo por centavo. Sem ele, ninguém sabe quanto cada lojista tem a receber, quanto já foi antecipado ou quanto foi estornado. A conciliação confere esse registro com o que as adquirentes, os bancos e o Pix de fato pagaram. Esse costuma ser o componente mais subestimado em projetos feitos do zero.

KYC, PLD e proteção de dados

KYC (do inglês, "conheça seu cliente") é a verificação de quem é cada lojista antes de liberar vendas. PLD é a prevenção à lavagem de dinheiro, com base na Lei nº 9.613/1998: monitorar operações suspeitas e comunicá-las quando necessário. E, como o gateway trata dados pessoais de compradores e lojistas, a LGPD (Lei nº 13.709/2018) também se aplica.

Contratos

Contratos com adquirentes e bancos, termos de uso para lojistas, política de chargeback, acordos de nível de serviço e regras claras sobre prazos de repasse. São eles que definem quem paga a conta quando algo dá errado.

Regulação do Banco Central: quando se aplica

O enquadramento depende do que o gateway faz com o dinheiro.

• Só tecnologia. Se a empresa apenas transmite dados e o dinheiro vai da adquirente direto para o lojista, ela atua como prestadora de tecnologia. Em geral, não é instituição de pagamento, mas segue obrigações contratuais, PCI DSS e LGPD.
• Recebe e repassa valores. Se a empresa recebe da adquirente e paga os lojistas, atua como subcredenciador (subadquirente). Desde a Resolução BCB nº 522, de novembro de 2025, os subcredenciadores precisam participar da liquidação centralizada nos arranjos sujeitos a ela. Entenda o modelo no artigo sobre subadquirente.
• Conta de pagamento ou credenciamento. Guardar saldo de lojistas em conta de pagamento ou credenciar lojistas diretamente nas bandeiras são atividades de instituição de pagamento. Com a Resolução BCB nº 494, de setembro de 2025, a instituição de pagamento precisa de autorização do Banco Central antes de começar a operar, sem a antiga tolerância por volume. Veja a diferença entre banco e instituição de pagamento.

Custos e tempo de cada caminho

Valores variam muito com escopo, volume e fornecedores, por isso vale olhar a estrutura de custos de cada caminho, e não um número único.

• Do zero: o maior custo é a equipe de engenharia, segurança e operações, mantida por meses antes da primeira receita. Somam-se auditoria PCI DSS, infraestrutura redundante, ferramentas de antifraude e o trabalho de homologação com cada adquirente. O tempo até a primeira venda costuma ser contado em muitos meses, e a manutenção nunca termina.
• White label: o custo principal é a contratação da plataforma, em geral com implantação e uma parte variável por transação. A equipe é menor e voltada a vendas, suporte e risco. O tempo até a primeira venda cai para semanas.
• Revenda: praticamente sem investimento. Em compensação, a receita fica limitada à comissão e o ativo construído (a carteira de clientes) não é seu.

Um ponto que pesa em todos os caminhos: a margem de um gateway vem da diferença entre o que ele cobra e o que paga às adquirentes e parceiros. Sem volume, essa margem é pequena. Planeje a aquisição de lojistas com o mesmo cuidado que a tecnologia.

Passo a passo para criar um gateway de pagamento

1. Defina o público e o problema. Gateway para quem? Lojas virtuais, plataformas de cursos, softwares de gestão, marketplaces? Cada nicho pede recursos diferentes, como split para marketplace ou recorrência para assinaturas.
2. Escolha o caminho. Compare do zero, white label e revenda com base em prazo, capital disponível e quanto controle você realmente precisa.
3. Desenhe o fluxo do dinheiro. Decida se a empresa vai tocar nos recursos dos lojistas. Isso define o enquadramento regulatório e precisa de validação jurídica.
4. Feche parceiros e contratos. Adquirentes, provedor de Pix, banco de boletos, antifraude e, no white label, o fornecedor da plataforma.
5. Monte a política de risco. Regras de KYC, segmentos aceitos e proibidos, limites por lojista, prazos de repasse e tratamento de chargeback.
6. Prepare produto e marca. Checkout, painel do lojista, documentação da API, tabela de preços e contratos com lojistas.
7. Rode um piloto. Comece com poucos lojistas, acompanhe aprovação, chargeback e conciliação diariamente, ajuste e só então acelere as vendas.

Erros comuns ao criar um gateway

• Subestimar o financeiro. A transação aprovada é a parte fácil. Conciliar repasses, estornos, antecipações e chargebacks é onde a operação trava.
• Depender de uma só adquirente. Se ela cair ou mudar condições, todos os seus lojistas param ou perdem margem ao mesmo tempo.
• Aceitar qualquer lojista. KYC frouxo atrai fraude e chargeback, e o prejuízo pode acabar no seu caixa.
• Deixar a regulação para depois. Mudar o fluxo do dinheiro com a operação rodando é caro e arriscado.
• Competir só por preço. Taxa baixa sem diferencial atrai o lojista que vai embora na próxima oferta. Nicho, suporte e recursos específicos seguram clientes.

Quando o white label faz sentido

O white label costuma ser a melhor escolha para quem já tem a carteira de clientes, como plataformas, softwares de gestão, marketplaces e consultorias de pagamento, e quer transformar pagamentos em receita sem virar uma empresa de infraestrutura. A lógica é parecida com a de criar uma fintech com white label: a base técnica vem pronta e o esforço vai para o que diferencia o negócio.

O TKI Gateway funciona nesse modelo. A empresa opera um gateway com a própria marca, com API de Pix e cartão, checkout, split de pagamento e recursos para marketplace, enquanto a TKI mantém a infraestrutura, as integrações e a segurança. Vale comparar com as outras opções usando os critérios deste guia antes de decidir.

Perguntas frequentes

Quanto tempo leva para criar um gateway de pagamento?

Depende do caminho. Construir do zero costuma levar muitos meses, por causa das integrações, da certificação PCI DSS e dos contratos com adquirentes. Com uma estrutura white label, a operação pode começar em semanas, porque a tecnologia e as integrações já existem.

Preciso de autorização do Banco Central para ter um gateway?

Um gateway que só transmite dados, sem receber nem repassar dinheiro, em geral não é instituição de pagamento. Se a empresa passar a receber das adquirentes e pagar os lojistas, atua como subcredenciador e segue as regras dos arranjos. Emitir conta de pagamento ou atuar como credenciador exige autorização prévia do Banco Central.

Gateway white label é seguro?

A segurança depende do fornecedor. Peça o atestado de conformidade PCI DSS válido, entenda como os dados de cartão são tokenizados e verifique o histórico de disponibilidade. Em um bom white label, os dados sensíveis ficam no ambiente certificado do fornecedor.

Qual a diferença entre white label e revenda de gateway?

Na revenda, você indica clientes para o gateway de outra empresa, que aparece com a própria marca e define os preços. No white label, a plataforma é sua para o cliente: sua marca, seu domínio, seus preços e seu relacionamento.

O que é PCI DSS e por que importa para quem cria um gateway?

É o padrão global de segurança para quem armazena, processa ou transmite dados de cartão. Um gateway está no centro desse fluxo, então precisa estar em conformidade e passar por avaliações periódicas para ser aceito por adquirentes e bandeiras.