PCI DSS e tokenização: como proteger os dados de cartão

PCI DSS é o padrão de segurança que toda empresa que armazena, processa ou transmite dados de cartão precisa cumprir. Tokenização é a técnica que troca o número do cartão por um código sem valor para quem o roubar. Juntas, elas formam a base da segurança em pagamentos: o PCI DSS diz o que proteger, e a tokenização reduz a quantidade de dado sensível que você precisa proteger. Em 2026, a versão vigente do padrão é a 4.0.1, e todos os seus requisitos já são obrigatórios.

O que é PCI DSS

PCI DSS é a sigla de Payment Card Industry Data Security Standard, o padrão de segurança de dados da indústria de cartões. Ele é mantido pelo PCI Security Standards Council (PCI SSC), conselho criado pelas grandes bandeiras internacionais. O conselho escreve o padrão, mas quem exige o cumprimento são as bandeiras, por meio dos adquirentes, que repassam a obrigação aos lojistas e prestadores de serviço.

O padrão se aplica a qualquer empresa que armazena, processa ou transmite dados do portador do cartão, como o número do cartão (chamado de PAN), o nome e a validade. Também protege os dados de autenticação, como o código de segurança (CVV), que não podem ser guardados depois da autorização. Se você ainda não sabe por onde esses dados passam, comece pelo artigo sobre como funciona uma transação com cartão.

O PCI DSS se organiza em 12 requisitos principais, agrupados em seis objetivos: rede segura, proteção dos dados da conta, gestão de vulnerabilidades, controle de acesso, monitoramento e testes, e política de segurança da informação.

PCI DSS 4.0.1: o que vale em 2026

O PCI SSC publicou a versão 4.0 em março de 2022 e a revisão 4.0.1 em junho de 2024. A 4.0.1 foi uma revisão limitada: corrigiu textos e esclareceu a intenção de alguns requisitos, sem criar nem remover nenhum. A versão 4.0 deixou de valer no fim de 2024, e desde então a 4.0.1 é a única ativa.

A grande virada veio em 31 de março de 2025. A versão 4 trouxe 64 requisitos novos, e 51 deles tinham data futura: até ali eram boas práticas. A partir dessa data passaram a ser obrigatórios em qualquer avaliação. Entre os que mais mudaram a rotina das empresas:

• Scripts da página de pagamento (6.4.3 e 11.6.1). Todo script carregado na página de pagamento precisa ser autorizado, ter a integridade verificada e ser monitorado contra alterações. O objetivo é barrar o e-skimming, ataque que injeta código para copiar os dados digitados pelo cliente.
• Autenticação multifator (8.4.2). Todo acesso ao ambiente de dados de cartão passou a exigir mais de um fator, e não só o acesso administrativo.
• Senhas mais longas (8.3.6). O mínimo passou de 7 para 12 caracteres, na maioria dos casos.
• Análise de risco direcionada (12.3.1). Quando o padrão deixa a frequência de um controle a critério da empresa, ela precisa justificar a escolha com uma análise de risco documentada.

Em 2026, o PCI SSC abriu uma consulta pública, de 3 de junho a 20 de julho, para colher opiniões sobre a 4.0.1 e decidir se e como revisá-la. Até a data deste artigo, não há nova versão publicada.

Níveis de conformidade e SAQ

Todas as empresas que aceitam cartão precisam cumprir o PCI DSS. O que muda é a forma de comprovar. Cada bandeira classifica lojistas e prestadores de serviço em níveis, conforme o volume anual de transações. Os critérios abaixo são os da Mastercard; a Visa usa faixas parecidas, e o seu adquirente informa em qual nível você está.

Prestador de serviço é quem processa, armazena ou transmite dados de cartão em nome de terceiros, como gateways, subadquirentes e processadores. A bandeira pode subir o nível de uma empresa por outros motivos, como um vazamento anterior.

Qual SAQ usar

O SAQ é um questionário de autoavaliação, e existem modelos diferentes para cada forma de aceitar cartão. A escolha certa depende de por onde o dado passa:

• SAQ A: e-commerce que terceiriza toda a captura do cartão, com página ou campos hospedados por um provedor certificado. É o mais curto. Na 4.0.1, o lojista precisa confirmar que o site não está sujeito a ataques por script que afetem o pagamento.
• SAQ A-EP: e-commerce em que o site do lojista controla parte da página de pagamento, mesmo sem receber o cartão.
• SAQ B, B-IP, C, C-VT e P2PE: lojas físicas com maquininhas discadas, conectadas por IP, sistemas de pagamento ligados à internet, terminais virtuais ou soluções certificadas de criptografia ponto a ponto.
• SAQ SPoC: aceitação em celular comum com leitor certificado (software-based PIN entry on COTS).
• SAQ D: para quem não se encaixa nos anteriores, incluindo quem armazena dados de cartão. É o mais extenso.

O que é tokenização

Tokenização é a troca do número do cartão por um código substituto, o token, que não tem relação matemática com o número original. Quem rouba um token não consegue reverter o cálculo para descobrir o cartão. O dado real fica guardado em um cofre, protegido pelo provedor do token. Existem dois tipos principais.

Token de gateway

É criado pelo seu gateway de pagamento. O cliente digita o cartão em um campo seguro, o gateway guarda o número no cofre e devolve ao seu sistema um token. Nas próximas cobranças, como em assinaturas ou compra com um clique, você envia o token e o gateway faz o resto. O token só vale dentro daquele provedor: se você trocar de gateway, precisa migrar os cartões com cuidado.

Network token

É emitido pela própria bandeira, seguindo a especificação de tokenização da EMVCo, entidade técnica mantida pelas bandeiras. O network token substitui o número do cartão em toda a cadeia, do lojista ao emissor, e fica restrito a um uso específico, como um lojista ou um dispositivo. Duas vantagens se destacam: quando o banco emite um cartão novo, o token pode ser atualizado sem o cliente redigitar nada, e cada compra leva um criptograma único, o que tende a aumentar a aprovação.

Criptografia ponta a ponta e a diferença para o token

Criptografia é o embaralhamento do dado com uma chave. Quem tem a chave consegue voltar ao dado original. Na criptografia ponta a ponta, o cartão é cifrado no ponto de captura, como a maquininha ou o navegador, e só é decifrado no ambiente seguro do processador. No caminho, ninguém consegue ler. Para maquininhas, o PCI SSC tem um padrão específico, o P2PE (Point-to-Point Encryption), e soluções certificadas nele reduzem o escopo do lojista.

As duas técnicas não competem: elas se completam. A criptografia protege o dado enquanto ele viaja. A tokenização evita que ele fique guardado onde não precisa.

3-D Secure 2 e biometria: autenticar sem atrapalhar

Tokenização e criptografia protegem o dado. Elas não provam que quem está comprando é o dono do cartão. Para isso existe o 3-D Secure, protocolo de autenticação de compras online padronizado pela EMVCo. Na primeira versão, o cliente era levado a uma página do banco para digitar senha, e muita gente desistia da compra.

O 3DS 2 mudou a lógica. O lojista envia ao emissor dados da compra, do meio de pagamento e do dispositivo. Com isso, o emissor avalia o risco e decide entre dois caminhos:

• Fluxo sem atrito: o risco é baixo e a compra é autenticada nos bastidores. O cliente só clica em comprar.
• Desafio: o risco é maior e o emissor pede uma confirmação, como código de uso único, biometria no app do banco ou outro método.

A EMVCo recomenda usar a versão 2.2 ou superior, e o protocolo funciona tanto no navegador quanto dentro de aplicativos. A biometria entra como fator de autenticação, em geral no celular do cliente, e combina segurança com rapidez. Além de reduzir fraude, uma compra autenticada costuma transferir ao emissor a responsabilidade por contestações de fraude, um ponto central para quem quer evitar chargeback.

Boas práticas para quem vende online

1. Não guarde o que não precisa. Nunca armazene CVV depois da autorização. Se precisa cobrar de novo, guarde o token, não o cartão.
2. Use checkout hospedado ou campos seguros. Assim o número do cartão vai direto do navegador do cliente para o provedor certificado, e seu escopo cai.
3. Controle os scripts da página de pagamento. Mantenha uma lista dos scripts autorizados e monitore alterações. É exatamente o que pedem os requisitos 6.4.3 e 11.6.1.
4. Ative o 3DS 2 com regras de risco. Use autenticação nas compras de maior risco e deixe as de baixo risco seguirem sem atrito.
5. Proteja os acessos. Autenticação multifator para toda a equipe que acessa painéis de pagamento, senhas longas e revisão periódica de permissões.
6. Exija comprovação dos fornecedores. Peça o atestado de conformidade (AOC) do seu gateway e dos prestadores que tocam dados de cartão, e renove todo ano.
7. Faça seu SAQ todo ano. Mesmo com escopo reduzido, a comprovação anual continua sendo sua responsabilidade.

Se você está avaliando ter um gateway próprio ou white label, lembre que a conformidade PCI DSS de prestador de serviço é um dos itens mais caros e demorados de construir do zero. O mesmo vale para quem opera como subadquirente e responde pela segurança dos lojistas abaixo dele.

O TKI Gateway é a opção white label da TKI para API de Pix e cartão, checkout e split, e opera com selo PCI DSS. Para quem monta a própria operação de pagamentos, isso significa partir de uma base já avaliada em vez de carregar sozinho a captura e a guarda dos dados de cartão.

Perguntas frequentes

O que é PCI DSS?

É o padrão de segurança de dados da indústria de cartões, mantido pelo PCI Security Standards Council. Ele define os controles que qualquer empresa que armazena, processa ou transmite dados de cartão precisa cumprir.

Qual é a versão atual do PCI DSS?

A versão vigente é a 4.0.1, publicada em junho de 2024. Os requisitos que eram apenas recomendados na versão 4.0 passaram a ser obrigatórios em 31 de março de 2025.

Minha loja virtual precisa ser certificada PCI DSS?

Toda empresa que aceita cartão precisa cumprir o PCI DSS, mas a forma de comprovar varia. Lojas menores costumam responder um questionário de autoavaliação (SAQ). Usar um checkout hospedado pelo gateway reduz bastante o escopo.

Qual a diferença entre tokenização e criptografia?

A criptografia embaralha o dado com uma chave e permite recuperá-lo com essa chave. A tokenização troca o número do cartão por um código sem relação matemática com ele, e o dado original fica guardado em um cofre separado.

O que é network token?

É um token emitido pela própria bandeira, e não pelo gateway. Ele substitui o número do cartão em toda a cadeia de pagamento, pode ser atualizado automaticamente quando o cartão é reemitido e fica restrito a um lojista ou dispositivo.

O 3-D Secure 2 atrapalha a conversão?

Menos que a versão antiga. O 3DS 2 envia ao emissor dados do dispositivo e da compra, e na maioria dos casos de baixo risco a autenticação acontece sem nenhuma etapa extra para o cliente.