O que é um gateway de pagamento? Como os pagamentos online funcionam, explicado
Um gateway de pagamento é o serviço que captura com segurança os dados de pagamento do cliente no checkout, os repassa aos bancos e às bandeiras de cartão para aprovação, e devolve “aprovado” ou “recusado” — normalmente em alguns segundos. É a ponte entre o seu app e o sistema financeiro. Stripe, PayPal, Adyen, Square e Braintree são exemplos conhecidos.
Hoje, a maioria dessas empresas reúne o gateway com tudo o mais que você precisa para receber pagamentos, por isso “gateway de pagamento”, “processador de pagamentos” e “provedor de pagamento” costumam significar a mesma coisa.
Por que os gateways de pagamento importam ao construir com IA
“Adicionar pagamentos” é um dos pedidos mais comuns feitos a construtores de IA, e um dos mais fáceis de errar de forma sutil. O código em si costuma ser curto. As partes importantes são as decisões ao redor dele:
- Qual provedor combina com o seu negócio, o seu país e o que você vende.
- Onde o código roda. Chaves secretas de pagamento devem ficar no servidor, nunca no navegador.
- Como o seu app fica sabendo que um pagamento foi aprovado. A forma confiável é um webhook do provedor — e não o cliente chegar a uma página de “obrigado”.
- Suas responsabilidades legais e fiscais, que dependem de quem é o merchant of record.
Entender o que um gateway faz ajuda a dar instruções claras e a verificar se o resultado é seguro.
Uma analogia do dia a dia
Pense em pagar com cartão em uma loja.
A maquininha no balcão é o gateway: ela lê o seu cartão com segurança e envia o pedido. Ela não decide nada — passa a pergunta “esta pessoa pode pagar R$ 40?” por uma cadeia até o banco e recebe a resposta de volta. O banco da loja (adquirente) e o seu banco (emissor) é que decidem, por meio da bandeira (Visa, Mastercard) que os conecta.
Um gateway de pagamento online é essa maquininha, refeita para a web — com a segurança necessária para lidar com dados de cartão que chegam pela internet.
Como um pagamento online com cartão funciona
Veja o que acontece nos poucos segundos depois que o cliente clica em “Pagar”:
| Etapa | O que acontece | Quem faz |
|---|---|---|
| 1. Checkout | O cliente digita os dados do cartão em um formulário de pagamento seguro | O formulário ou a página do provedor de pagamento |
| 2. Criptografia | Os dados são criptografados e enviados ao gateway | Gateway |
| 3. Solicitação de autorização | O pedido segue até a bandeira e o banco do cliente | Processador, bandeira |
| 4. Verificações | O banco emissor verifica saldo e sinais de fraude, e pode pedir uma verificação extra, como o 3D Secure | Banco emissor |
| 5. Resposta | A resposta de aprovado ou recusado volta ao seu app | Gateway |
| 6. Captura e liquidação | O dinheiro é capturado e, conforme o cronograma de repasse do provedor, depositado na sua conta descontadas as taxas | Processador, adquirente |
Dois pontos merecem atenção:
- Autorização não é o mesmo que receber. Primeiro o valor é reservado, depois capturado, depois liquidado na sua conta — muitas vezes dias depois.
- O seu app não deveria ver o número do cartão. Os provedores modernos oferecem uma página de checkout hospedada ou campos incorporados que eles controlam, e o seu app recebe apenas uma referência ao pagamento.
As principais peças e quem cuida de cada uma
| Peça | O que é |
|---|---|
| Gateway de pagamento | Captura com segurança os dados de pagamento e os repassa. |
| Processador de pagamentos | Movimenta os dados da transação entre os bancos. |
| Conta de comerciante (merchant account) | A conta que recebe os pagamentos com cartão em seu nome. Incluída em provedores como a Stripe. |
| Adquirente | O banco do lado do comerciante. |
| Emissor | O banco do cliente, que aprova ou recusa. |
| Bandeira | Visa, Mastercard e outras, que conectam adquirentes e emissores. |
| Merchant of record | O negócio que vende legalmente ao cliente e é responsável por impostos, reembolsos e contestações. |
Alguns provedores (Paddle, Lemon Squeezy) atuam eles mesmos como merchant of record, cuidando de impostos sobre vendas e IVA por você, em troca de taxas mais altas. Outros (Stripe, PayPal) deixam você como merchant of record, com ferramentas fiscais opcionais. Para uma comparação justa das opções, veja Stripe vs. Paddle vs. Lemon Squeezy e Stripe vs. PayPal.
Um exemplo prático: vender um curso
Você vende um curso online por €99 e pede ao seu construtor de IA que adicione um botão “Comprar”.
- O cliente clica em Comprar. O seu servidor usa a chave secreta para pedir ao provedor que crie uma sessão de checkout de €99 e recebe de volta um link.
- O cliente é enviado para a página de checkout hospedada do provedor, digita o cartão e conclui qualquer verificação 3D Secure com o banco dele.
- O pagamento é aprovado, e o cliente é redirecionado para a sua página de “sucesso”.
- Em separado, o provedor envia um webhook ao seu servidor: “pagamento da sessão X foi aprovado”. O seu servidor verifica a assinatura do webhook, localiza o pedido, marca-o como pago e libera o curso.
- Dias depois, o dinheiro, descontadas as taxas, cai na sua conta bancária.
A etapa 4 é a mais importante. Se você liberasse o curso na página de sucesso, qualquer pessoa que encontrasse aquela URL poderia obtê-lo de graça, e os clientes cujo navegador fechasse antes do fim pagariam e não receberiam nada.
Termos-chave
| Termo | Significado |
|---|---|
| Sessão de checkout | Uma página ou fluxo de pagamento único, criado pelo seu servidor para uma compra específica. |
| Modo de teste | Um ambiente de simulação em que você usa chaves de teste e números de cartão de teste — nenhum dinheiro real é movimentado. |
| Chave publicável / chave secreta | A chave publicável pode aparecer no código do navegador; a chave secreta deve ficar no servidor. |
| 3D Secure | Uma etapa extra em que o cliente confirma o pagamento com o banco dele, comum na Europa por causa das regras de Strong Customer Authentication (SCA). |
| PCI DSS | O padrão de segurança do setor de cartões para quem lida com dados de cartão. |
| Chargeback | Quando um cliente contesta um pagamento junto ao banco dele e o valor é devolvido à força. |
| Reembolso | Dinheiro devolvido por você, de forma voluntária. |
| Repasse (payout) | O provedor transferindo para a sua conta bancária o dinheiro cobrado. |
Ideias erradas comuns
- “Preciso guardar números de cartão para cobrar de novo.” Não. Os provedores guardam o cartão e entregam um token de referência para cobranças recorrentes e assinaturas. Você nunca deve guardar números de cartão.
- “A página de sucesso significa que o pagamento funcionou.” Confirme pagamentos com webhooks no servidor. Redirecionamentos podem ser pulados, forjados ou nunca acontecer.
- “Todos os provedores de pagamento custam mais ou menos o mesmo.” As taxas variam conforme o provedor, o país, o tipo de cartão e se o tratamento de impostos está incluído. Confira a página de preços atual de cada provedor para o seu país.
- “Usar a Stripe me torna compatível com a PCI.” Isso simplifica muito, porque os dados do cartão ficam com o provedor — mas você ainda tem uma autoavaliação (normalmente curta) para preencher.
- “O modo de teste e o modo real se comportam de forma idêntica.” Eles são parecidos, mas o modo real exige uma conta totalmente verificada, endpoints de webhook configurados para o ambiente real e dados bancários reais.
- “Um gateway de pagamento cuida dos meus impostos.” Só se ele for o merchant of record ou se você ativar e configurar os recursos fiscais dele. Confira as regras locais ou consulte um contador.
O que pedir ao seu construtor de IA
- “Adicione o Checkout da [Stripe] para [produto]. Crie a sessão no servidor usando a chave secreta de uma variável de ambiente.”
- “Marque pedidos como pagos somente a partir de um webhook verificado, e confira a assinatura do webhook.”
- “Trate o caso de o webhook ser enviado duas vezes sem criar pedidos duplicados.”
- “Use as chaves do modo de teste e me mostre como testar com os cartões de teste do provedor, incluindo um cartão recusado.”
- “O que acontece se o cliente fechar a aba depois de pagar?”
- “Mostre cada lugar onde uma chave de pagamento é usada e confirme que a chave secreta nunca chega ao navegador.”
Gateways de pagamento no Mythex
O Mythex não inclui pagamentos prontos para os apps que você constrói, e não existe um “Conectar Stripe” com um clique. Você cria uma conta no provedor escolhido, adiciona as chaves de teste dele como secrets do projeto e pede ao agente que construa o checkout do lado do servidor. Teste na Prévia com os cartões de teste do provedor e depois publique. A documentação detalha isso em Aceitar pagamentos com a Stripe, e Webhooks cobre a etapa de confirmação.
Para um passo a passo de construção, veja como adicionar pagamentos ao seu app e, para cobrança recorrente, como adicionar assinaturas com a Stripe.
Perguntas
O que é um gateway de pagamento, em termos simples?
Um gateway de pagamento é o serviço que pega com segurança os dados de pagamento do cliente no seu checkout, envia-os aos bancos e às bandeiras de cartão para aprovação, e devolve ao seu app uma resposta de aprovado ou recusado — geralmente em poucos segundos.
Qual é a diferença entre um gateway de pagamento e um processador de pagamentos?
Estritamente, o gateway é a porta de entrada segura que captura e repassa os dados de pagamento, e o processador movimenta a transação entre os bancos. Na prática, provedores modernos como Stripe, PayPal e Adyen reúnem os dois, além da conta de comerciante, em um único serviço, por isso os termos costumam ser usados como sinônimos.
Preciso estar em conformidade com a PCI para aceitar pagamentos com cartão?
Qualquer negócio que aceite cartões precisa atender de alguma forma ao padrão de segurança PCI DSS. Usar uma página de checkout hospedada pelo provedor ou os campos de pagamento incorporados dele significa que os números de cartão nunca passam pelos seus servidores, o que reduz muito a sua responsabilidade. Seu provedor vai informar qual autoavaliação se aplica.
O que é um merchant of record?
Um merchant of record é o negócio que vende legalmente ao cliente e é responsável por coisas como cobrar e recolher impostos sobre vendas, e por lidar com reembolsos e contestações (chargebacks). Serviços como Paddle e Lemon Squeezy atuam como merchant of record por você; com Stripe ou PayPal, normalmente é você quem assume esse papel.
Posso adicionar pagamentos a um app construído com IA?
Sim. Um construtor de IA pode escrever o código que conecta o seu app a um provedor como a Stripe: criar sessões de checkout no servidor, tratar webhooks e atualizar os pedidos. Você ainda precisa de uma conta própria no provedor e deve testar tudo no modo de teste dele antes de entrar no ar.