Quando usar um forward proxy PCI
Um forward proxy PCI é um componente que recebe requisições HTTP da aplicação com tokens no lugar de dados de cartão, substitui pelos valores reais e encaminha para o destino. Quando vale a pena adotar.
O problema que ele resolve
Considere o fluxo tradicional de pagamento "tokenizado":
- O cliente preenche o cartão no checkout do seu site.
- Seu JavaScript envia o cartão para um vault de tokenização e recebe um token.
- O token vai para seu backend.
- Seu backend faz a chamada para o adquirente (Pagar.me, Stone, etc.).
O problema está no passo 4: a maioria das APIs de adquirentes ainda exige PAN e CVV no corpo da requisição. Em algum momento ocorre a destokenização. Se acontecer no backend da aplicação, ele retorna ao escopo PCI. Se ocorrer no vault do PSP, a operação fica vinculada a esse fornecedor.
O forward proxy resolve essa questão: o backend monta a requisição final com os tokens nos campos de PAN e CVV, envia essa requisição ao proxy, e o proxy se encarrega de substituir e encaminhar.
Quando vale a pena
- Independência de PSP é prioridade. A possibilidade de trocar de adquirente sem migrar tokens representa uma vantagem competitiva relevante.
- Há necessidade de roteamento de pagamentos (transações distribuídas entre múltiplos adquirentes por estratégia, custo ou disponibilidade).
- Há objetivo de minimizar o escopo PCI da aplicação principal sem abrir mão de aceitar dados de cartão diretamente.
- O volume é suficiente para que os custos por transação de vaults SaaS se tornem expressivos.
- A operação está em LATAM e os PSPs disponíveis não oferecem hosted fields com a granularidade exigida pela UX do produto.
Quando NÃO vale a pena
- A operação utiliza um único PSP e a dependência dele é aceitável.
- Volume baixo de transações, o esforço de implantação não se justifica frente ao ganho.
- O fluxo utiliza apenas hosted checkout ou redirecionamento, nesse caso o cartão não chega à aplicação e o escopo já é mínimo.
- Não há viabilidade de executar workloads em cloud por motivos regulatórios específicos.
Comparação rápida
| Abordagem | Escopo PCI da app | Lock-in | Custo | Flexibilidade |
|---|---|---|---|---|
| Hosted checkout do PSP | Mínimo (SAQ A) | Alto | Por transação | Baixa |
| Hosted fields / iframe do PSP | Baixo (SAQ A-EP) | Alto | Por transação | Média |
| Vault SaaS (Spreedly, etc.) | Baixo | Médio | Por transação + setup | Alta |
| Vault próprio + forward proxy | Baixo (SAQ A-EP típico) | Mínimo | Infra + manutenção | Máxima |
| Sua app é PCI completa | Alto (SAQ D) | Mínimo | Auditoria pesada | Máxima |
Como o LinkPCI Proxy se encaixa
O LinkPCI Proxy é exatamente esta opção, vault próprio combinado com forward proxy, implantado na sua AWS. A operação fica com vault próprio (sem custo por transação), independência de PSP e o escopo PCI da aplicação principal é reduzido bastante. O ambiente PCI fica concentrado em uma VPC isolada que pode ser adequada e mantida com escopo enxuto.
Para operações que precisam receber PAN e CVV diretamente no produto, lidam com volume relevante e buscam independência do PSP, um forward proxy PCI é a arquitetura mais robusta atualmente disponível.