PCI DSS Level 1 · Implantado na sua conta AWS

LinkPCI Proxy

Software de tokenização e forward proxy para dados de cartão em conformidade com PCI DSS Level 1, implantado dentro da sua infraestrutura AWS em ambiente isolado. A aplicação principal não recebe nem armazena PAN ou CVV, esses dados existem apenas dentro do proxy, que concentra toda a CDE em um componente já adequado ao nível mais rigoroso de PCI.

Por que isto existe

Toda empresa que processa cartão precisa atender ao PCI DSS. O caminho tradicional consiste em tornar toda a aplicação compatível com o padrão, o que envolve hardening de servidores, gestão de chaves, segmentação de rede, monitoramento intrusivo, políticas formais e demais controles, aplicados sobre código originalmente escrito para outro propósito.

Para muitos negócios, esse caminho é caro, lento e desnecessariamente amplo. O escopo PCI deve cobrir apenas os componentes que efetivamente manipulam dados de cartão: e não o restante da aplicação.

A solução

O LinkPCI Proxy é um software pronto, implantado na sua conta AWS dentro de uma VPC isolada. Ele expõe três operações por API HTTPS:

  • Tokenização de PAN: recebe o número do cartão e devolve um token persistente, vinculado ao PAN armazenado no vault.
  • Tokenização de CVV: recebe o código de segurança e devolve um token de curta duração, válido apenas para a transação em curso.
  • Encaminhamento autenticado: recebe uma requisição HTTP completa com tokens nos campos onde apareceriam PAN e CVV, substitui os tokens pelos valores reais e encaminha para o destino indicado pela aplicação (Pagar.me, MercadoPago, PagBank, Stone, Cielo, Adyen ou qualquer adquirente/PSP compatível).

A documentação técnica completa, com contratos de API, exemplos de integração e schemas, é fornecida durante a implantação.

Fluxo de tokenização

┌─────────────────────────────────────────────────────────────────────┐ FLUXO DE TOKENIZAÇÃO └─────────────────────────────────────────────────────────────────────┘ [ Browser do cliente ] │ PAN, validade, nome │ CVV ▼ [ LinkPCI Proxy ] // dentro da sua AWS, VPC isolada │ tokeniza PAN → retorna token_card │ tokeniza CVV → retorna token_cvv │ ▼ [ Browser ] envia tokens para o [ Seu backend ] // nunca toca em PAN/CVV reais │ │ monta a requisição para o adquirente (ex: Pagar.me) │ com os tokens no lugar do PAN/CVV ▼ [ LinkPCI Proxy, encaminhamento ] │ substitui tokens por valores reais │ encaminha para o destino indicado no header ▼ [ Adquirente / PSP ] // ex: api.pagar.me, api.mercadopago.com │ ▼ resposta retorna pelo mesmo caminho, sem alterações
O ponto-chave

O seu backend nunca recebe nem armazena PAN ou CVV. Ele só lida com tokens, que são inúteis fora do contexto do proxy. O escopo PCI da sua aplicação fica muito menor, em muitos casos, suficiente para um SAQ A ou A-EP em vez de SAQ D.

Compliance PCI DSS Level 1

O LinkPCI Proxy é construído em conformidade com PCI DSS Level 1, o nível mais rigoroso do padrão, exigido para operações de alto volume. Toda a CDE necessária à transação fica concentrada no software, já com hardening, criptografia, monitoramento e controles de acesso implementados. Ao adotá-lo, sua operação herda um componente CDE pronto para auditoria Level 1.

Construído sobre AWS managed services.

🔐

Armazenamento seguro

O PAN é armazenado criptografado em PostgreSQL (AWS Aurora) usando AES-256. Chaves gerenciadas pelo AWS KMS, com rotação automática anual.

CVV nunca é armazenado

O CVV recebe um token de curta duração (até 1h ou até a transação ser autorizada) e é descartado. Em conformidade com PCI DSS. CVV nunca pode ser persistido.

🔒

TLS forte ponta-a-ponta

Toda comunicação usa HTTPS com TLS 1.2+ e RSA-2048. Sem fallback para protocolos legados.

AWS-native

Lambda, API Gateway, CloudFront, RDS Aurora, KMS, WAF, GuardDuty, CloudTrail, Security Hub. Reduz superfície de manutenção.

Isolamento total

Rodando em uma VPC própria com acesso restrito. Bastion via AWS Session Manager, sem SSH aberto. Acesso administrativo MFA-only.

📊

Monitoramento contínuo

Logs em CloudTrail, monitoramento comportamental via CloudWatch e detecção de ameaças via GuardDuty. Alertas direto no Slack do seu time.

Implantação na sua conta AWS, software sob seu controle.

Importante

O LinkPCI Proxy é implantado na sua conta AWS, não em uma conta gerenciada pela LinkPCI. Os dados, a infraestrutura e o controle operacional permanecem com seu time.

O que você paga

  • Licença e instalação: pagamento sob consulta, ajustado ao porte da operação.
  • Custo de infraestrutura AWS: pago diretamente à AWS pelos serviços consumidos (Lambda, RDS, etc.). Para volumes pequenos a médios, o custo típico fica na faixa de US$ 30 a US$ 200 por mês.
  • Manutenção mensal opcional: sem obrigatoriedade de contrato recorrente. Inclui atualizações, monitoramento de alertas e manutenção da conformidade ao longo do tempo. O contrato é facultativo: o cliente pode optar por gerir o ambiente internamente.

O que NÃO tem

  • Mensalidade obrigatória.
  • Lock-in tecnológico.
  • Custos por transação cobrados pela LinkPCI.
  • Dados saindo da sua infraestrutura.

Quando o LinkPCI Proxy é indicado

O LinkPCI Proxy é adequado quando:

  • A operação precisa receber dados de cartão diretamente no produto (não apenas via checkout hospedado pelo PSP).
  • Há objetivo de minimizar o escopo PCI da aplicação principal.
  • A infraestrutura está em AWS, ou há viabilidade de usar AWS especificamente para este componente.
  • A integração com adquirente ou PSP utiliza API que recebe PAN e CVV no corpo da requisição (Pagar.me, MercadoPago, PagBank, Stone, Cielo, Adyen, entre outros).

Não é indicado quando:

  • A operação utiliza exclusivamente checkout transparente ou hosted fields do PSP, nesse caso o próprio PSP já mantém a aplicação fora do escopo PCI.
  • A infraestrutura é exclusivamente on-premise e não há viabilidade de uso de cloud.

Stack técnica

Tudo sobre AWS managed services:

CDE (Cardholder Data Environment): · AWS Lambda # compute serverless · API Gateway # entrada HTTP · CloudFront + WAF # edge + filtro de ataques · RDS Aurora PostgreSQL # armazenamento criptografado do PAN · KMS # gestão de chaves de criptografia · Systems Manager (SSM) # segredos e bastion sem SSH · Route 53 # DNS · S3 # armazenamento auxiliar Monitoramento e segurança: · CloudTrail # auditoria de API calls · CloudWatch # métricas e alertas · GuardDuty # detecção de ameaças · Security Hub # central de segurança · Config # compliance contínuo · IAM Identity Center # controle de acesso

Perguntas frequentes

Quanto tempo leva para instalar?
Em uma AWS já organizada, costuma levar de 2 a 4 semanas para colocar no ar de forma adequada, isso inclui ajustes de IAM, VPCs, configuração de domínios, integração com seu adquirente e testes.
O proxy também precisa passar por avaliação PCI?
Sim. O componente proxy é a CDE da operação, é onde os dados de cartão são manipulados. A diferença é que o software já é construído em conformidade com PCI DSS Level 1: todos os controles, evidências e configurações necessárias estão prontos. O escopo é pequeno, bem delimitado e muito mais simples de manter em conformidade do que adequar a aplicação inteira.
Funciona com qual adquirente / gateway?
Em princípio, qualquer um que aceite uma requisição HTTP com PAN/CVV no body. Pagar.me, MercadoPago, PagBank, Stone, Cielo, Adyen e outros. O proxy é agnóstico ao destino.
Funciona em outros clouds (GCP, Azure)?
Hoje a stack é AWS-native. Outros clouds são possíveis sob demanda, mas exigem trabalho adicional, fale conosco se for o seu caso.
E se eu sair? Tem lock-in?
Não. O software roda na sua conta. Se você decidir parar de usar, é só desligar, os dados são seus, a infra é sua. Não há cláusulas de prazo mínimo na licença.
Tem versão de demonstração?
Não realizamos demonstrações genéricas. Em uma conversa inicial avaliamos o cenário específico e, quando aplicável, demonstramos o produto em ambiente sandbox.

Solicitar uma avaliação técnica

A avaliação inicial não tem custo nem compromisso.