LinkPCI Proxy
Software de tokenização e forward proxy para dados de cartão em conformidade com PCI DSS Level 1, implantado dentro da sua infraestrutura AWS em ambiente isolado. A aplicação principal não recebe nem armazena PAN ou CVV, esses dados existem apenas dentro do proxy, que concentra toda a CDE em um componente já adequado ao nível mais rigoroso de PCI.
Por que isto existe
Toda empresa que processa cartão precisa atender ao PCI DSS. O caminho tradicional consiste em tornar toda a aplicação compatível com o padrão, o que envolve hardening de servidores, gestão de chaves, segmentação de rede, monitoramento intrusivo, políticas formais e demais controles, aplicados sobre código originalmente escrito para outro propósito.
Para muitos negócios, esse caminho é caro, lento e desnecessariamente amplo. O escopo PCI deve cobrir apenas os componentes que efetivamente manipulam dados de cartão: e não o restante da aplicação.
A solução
O LinkPCI Proxy é um software pronto, implantado na sua conta AWS dentro de uma VPC isolada. Ele expõe três operações por API HTTPS:
- Tokenização de PAN: recebe o número do cartão e devolve um token persistente, vinculado ao PAN armazenado no vault.
- Tokenização de CVV: recebe o código de segurança e devolve um token de curta duração, válido apenas para a transação em curso.
- Encaminhamento autenticado: recebe uma requisição HTTP completa com tokens nos campos onde apareceriam PAN e CVV, substitui os tokens pelos valores reais e encaminha para o destino indicado pela aplicação (Pagar.me, MercadoPago, PagBank, Stone, Cielo, Adyen ou qualquer adquirente/PSP compatível).
A documentação técnica completa, com contratos de API, exemplos de integração e schemas, é fornecida durante a implantação.
Fluxo de tokenização
O seu backend nunca recebe nem armazena PAN ou CVV. Ele só lida com tokens, que são inúteis fora do contexto do proxy. O escopo PCI da sua aplicação fica muito menor, em muitos casos, suficiente para um SAQ A ou A-EP em vez de SAQ D.
O LinkPCI Proxy é construído em conformidade com PCI DSS Level 1, o nível mais rigoroso do padrão, exigido para operações de alto volume. Toda a CDE necessária à transação fica concentrada no software, já com hardening, criptografia, monitoramento e controles de acesso implementados. Ao adotá-lo, sua operação herda um componente CDE pronto para auditoria Level 1.
Construído sobre AWS managed services.
Armazenamento seguro
O PAN é armazenado criptografado em PostgreSQL (AWS Aurora) usando AES-256. Chaves gerenciadas pelo AWS KMS, com rotação automática anual.
CVV nunca é armazenado
O CVV recebe um token de curta duração (até 1h ou até a transação ser autorizada) e é descartado. Em conformidade com PCI DSS. CVV nunca pode ser persistido.
TLS forte ponta-a-ponta
Toda comunicação usa HTTPS com TLS 1.2+ e RSA-2048. Sem fallback para protocolos legados.
AWS-native
Lambda, API Gateway, CloudFront, RDS Aurora, KMS, WAF, GuardDuty, CloudTrail, Security Hub. Reduz superfície de manutenção.
Isolamento total
Rodando em uma VPC própria com acesso restrito. Bastion via AWS Session Manager, sem SSH aberto. Acesso administrativo MFA-only.
Monitoramento contínuo
Logs em CloudTrail, monitoramento comportamental via CloudWatch e detecção de ameaças via GuardDuty. Alertas direto no Slack do seu time.
Implantação na sua conta AWS, software sob seu controle.
O LinkPCI Proxy é implantado na sua conta AWS, não em uma conta gerenciada pela LinkPCI. Os dados, a infraestrutura e o controle operacional permanecem com seu time.
O que você paga
- Licença e instalação: pagamento sob consulta, ajustado ao porte da operação.
- Custo de infraestrutura AWS: pago diretamente à AWS pelos serviços consumidos (Lambda, RDS, etc.). Para volumes pequenos a médios, o custo típico fica na faixa de US$ 30 a US$ 200 por mês.
- Manutenção mensal opcional: sem obrigatoriedade de contrato recorrente. Inclui atualizações, monitoramento de alertas e manutenção da conformidade ao longo do tempo. O contrato é facultativo: o cliente pode optar por gerir o ambiente internamente.
O que NÃO tem
- Mensalidade obrigatória.
- Lock-in tecnológico.
- Custos por transação cobrados pela LinkPCI.
- Dados saindo da sua infraestrutura.
Quando o LinkPCI Proxy é indicado
O LinkPCI Proxy é adequado quando:
- A operação precisa receber dados de cartão diretamente no produto (não apenas via checkout hospedado pelo PSP).
- Há objetivo de minimizar o escopo PCI da aplicação principal.
- A infraestrutura está em AWS, ou há viabilidade de usar AWS especificamente para este componente.
- A integração com adquirente ou PSP utiliza API que recebe PAN e CVV no corpo da requisição (Pagar.me, MercadoPago, PagBank, Stone, Cielo, Adyen, entre outros).
Não é indicado quando:
- A operação utiliza exclusivamente checkout transparente ou hosted fields do PSP, nesse caso o próprio PSP já mantém a aplicação fora do escopo PCI.
- A infraestrutura é exclusivamente on-premise e não há viabilidade de uso de cloud.
Stack técnica
Tudo sobre AWS managed services:
Perguntas frequentes
Solicitar uma avaliação técnica
A avaliação inicial não tem custo nem compromisso.