Como Criar Seu Próprio Gateway de Pagamentos (Passo a Passo)

Resumo: Um caminho realista, do enquadramento regulatório ao primeiro teste em sandbox, para empresas que querem oferecer pagamentos como produto. Sem promessas mágicas e com os pontos onde é obrigatório confirmar a norma vigente.

Introdução

"Vamos criar nosso próprio gateway" é uma frase que esconde decisões de peso: regulatórias, técnicas, de investimento e de prazo. A boa notícia é que existe um caminho estruturado, e ele não começa com código: começa com o enquadramento. A má notícia é que atalhos aqui custam caro, seja em multa, em retrabalho ou em vazamento de dados.

Este guia organiza o processo em etapas objetivas. Qual figura regulatória você precisa ser (e quando dá para começar sem autorização do Banco Central), o que é obrigatório do ponto de vista técnico, como decidir entre construir do zero ou usar white label, um cronograma realista e como validar tudo em ambiente de testes antes de tocar dinheiro real.

Aviso importante: este texto é informativo, não é aconselhamento jurídico. Valores, limites e prazos regulatórios mudam. Antes de decidir, confirme sempre o texto vigente das normas citadas no site do Banco Central e consulte assessoria jurídica especializada.

Contexto: o terreno regulatório

No Brasil, arranjos de pagamento e instituições de pagamento (IPs) foram incorporados ao Sistema de Pagamentos Brasileiro pela Lei nº 12.865, de 9 de outubro de 2013. É essa lei que define, no artigo 6º, o que são arranjo de pagamento, instituição de pagamento, moeda eletrônica e conta de pagamento. Toda a discussão sobre "criar um gateway" acontece dentro dessa moldura.

A regra prática que muda tudo: nem toda empresa que processa pagamentos precisa, desde o primeiro dia, de autorização do Banco Central. Existe um caminho de entrada, a subadquirência, e existem gatilhos que, uma vez cruzados, tornam a autorização obrigatória. Entender onde você se encaixa é o Passo 1.

Passo 1. Defina seu enquadramento regulatório

Há, essencialmente, dois pontos de partida.

Opção A. Começar como subadquirente (subcredenciador). O subcredenciador habilita o recebedor a aceitar um instrumento de pagamento sem participar da liquidação como credor perante o emissor. É a porta de entrada clássica: você se conecta a um ou mais credenciadores já autorizados e distribui volume, sem precisar, de início, de autorização própria do Banco Central. Foi assim que muitos facilitadores começaram. Atenção: ao ultrapassar os limites de volumetria e/ou passar a gerir recursos de terceiros de forma que exija enquadramento, surge a obrigação de pedir autorização como instituição de pagamento (na modalidade credenciador).

Opção B. Constituir-se como Instituição de Pagamento autorizada. A constituição e a autorização de IPs estão na Resolução BCB nº 80, de 25 de março de 2021 (com requisitos prudenciais na Resolução BCB nº 81/2021). As modalidades de IP são:

• Emissor de moeda eletrônica (contas pré-pagas);
• Emissor de instrumento de pagamento pós-pago (o "cartão de crédito" clássico);
• Credenciador (adquirente);
• Iniciador de transação de pagamento (ITP).

Sobre capital e gatilhos, confirme os valores vigentes na Res. BCB nº 80/2021 antes de decidir, pois há regras escalonadas e atualizações:

• Capital social mínimo: cerca de R$ 1 milhão para ITP e R$ 2 milhões para as demais modalidades.
• Gatilho do credenciador / emissor pós-pago: a autorização passa a ser obrigatória ao ultrapassar R$ 500 milhões movimentados em 12 meses (há um prazo, da ordem de 90 dias após atingir o limite, para protocolar o pedido).
• Emissor de moeda eletrônica: limites escalonados e decrescentes ao longo dos anos (por exemplo, em 2024, faixas na casa de R$ 300 milhões em transações ou R$ 30 milhões em recursos mantidos em contas pré-pagas), com redução programada até 2029.
• ITP: sempre exige autorização, independentemente de volume.
• Abaixo dos limites (exceto ITP), há dispensa de autorização prévia, o que viabiliza operar e crescer antes de formalizar.

A leitura de negócio: se o seu plano é validar rápido e crescer, começar via subadquirência (Opção A) reduz barreira de entrada; conforme o volume escala e você cruza os gatilhos, migra para IP autorizada (Opção B). Planeje a transição desde já para não ser pego de surpresa.

Passo 2. Cumpra os requisitos técnicos

Independentemente do enquadramento, três blocos técnicos são inegociáveis.

Segurança e PCI DSS. Se você toca dados de cartão, o padrão PCI DSS se aplica. A versão vigente é a v4.0.1, publicada em junho de 2024 (esclarecimentos sobre a v4.0, sem novos requisitos). A v3.2.1 foi aposentada em 31/03/2024 e os requisitos "future-dated" da v4.0 passaram a ser obrigatórios após 31/03/2025. Na prática: minimize o escopo usando tokenização e um cofre de cartões, para que a maior parte da sua aplicação nunca veja o número real.

Integração com adquirentes e com o PIX. Para cartões, você integra às APIs de um ou mais credenciadores (e, se quiser resiliência e melhor aprovação, considere multi-acquiring desde o desenho). Para PIX, a conexão ao arranjo instantâneo se dá por meio de uma instituição participante do SPI, de forma direta ou indireta. Padronize a captura de forma que o meio de pagamento (cartão, PIX) seja um detalhe do roteamento, não do checkout.

Checkout e experiência. O checkout é onde a conversão acontece ou morre: tokenização no lado do cliente, suporte a bandeiras e parcelamento, tratamento claro de erros, retentativa idempotente (para nunca cobrar duas vezes) e conciliação confiável. Observabilidade, ou seja, medir aprovação, custo e latência, é parte do produto, não um extra.

Passo 3. Decida: build ou white label

Este é o ponto de inflexão do projeto.

• Build (construir do zero): máximo controle e customização, mas exige time especializado, escopo PCI amplo, integrações individuais com cada adquirente e manutenção contínua. Faz sentido quando pagamento é o core do negócio e há escala para amortizar o investimento.
• White label: você usa uma infraestrutura pronta (orquestração, conexões com adquirentes, cofre PCI, PIX) sob a sua marca. Reduz drasticamente tempo de lançamento e escopo de conformidade, ao custo de menor controle sobre a camada mais baixa. É o caminho mais rápido para colocar um gateway de pé e validar o modelo.

Um meio-termo comum: começar white label para lançar rápido e internalizar componentes conforme o volume justificar.

Passo 4. Trabalhe com um cronograma realista

Prazos variam com o enquadramento e o modelo escolhido, mas uma ordem de grandeza honesta ajuda a planejar:

• White label + subadquirência: a operação pode ir ao ar em semanas a poucos meses, concentrando esforço em integração e checkout.
• Build próprio (subadquirência): normalmente vários meses, incluindo escopo PCI, conectores por adquirente e conciliação.
• Autorização como IP no Banco Central: processo formal que costuma levar de meses a mais de um ano, somando preparação documental, requisitos prudenciais e análise do regulador.

Trate a autorização como um projeto paralelo, iniciado antes de você chegar perto dos gatilhos de volumetria, e não depois.

Passo 5. Valide em sandbox antes do dinheiro real

Nada vai para produção sem passar por ambiente de testes:

• Integre ao sandbox de cada adquirente e do PIX; simule aprovações, negativas, estornos e timeouts.
• Teste a cascata/fallback entre adquirentes e a idempotência (garantir que uma retentativa nunca gere cobrança dupla).
• Rode a conciliação ponta a ponta com dados de teste antes de conciliar dinheiro real.
• Faça uma avaliação de conformidade PCI DSS compatível com o seu escopo.
• Só então habilite um piloto controlado com volume limitado, monitorando aprovação, custo e latência.

Aplicação prática: checklist de largada

• Enquadramento definido (subadquirência agora, IP no horizonte)?
• Valores/limites confirmados no texto vigente da Res. BCB nº 80/2021?
• Escopo PCI DSS minimizado por tokenização e cofre?
• Integrações com adquirente(s) e PIX mapeadas?
• Decisão build vs. white label tomada com base em escala real?
• Plano de sandbox, idempotência e conciliação escrito?
• Assessoria jurídica especializada envolvida?

Próximos Passos

Você reparou que "segurança" apareceu em quase todos os passos. Não é acaso: conformidade não é uma etapa final, é um pré-requisito que atravessa todo o projeto. Para entender o que o PCI DSS realmente exige, e como tratar compliance desde o início em vez de deixar para depois, siga para PCI DSS e Compliance: não deixe a segurança para depois.

Conclusão / CTA

Criar um gateway é viável para empresas que planejam o enquadramento, respeitam os requisitos técnicos e escolhem o modelo certo para o próprio estágio. A Plutech oferece a infraestrutura white label (orquestração, conexões com adquirentes, cofre PCI e PIX) para você lançar sob a sua marca e crescer sem reconstruir tudo. Fale com nosso time para uma demonstração e um diagnóstico do seu enquadramento.

Fontes

• Lei nº 12.865, de 9 de outubro de 2013 (Planalto: arranjos e instituições de pagamento no SPB).
• Resolução BCB nº 80, de 25 de março de 2021 (Banco Central: constituição, autorização e modalidades de IP; confirmar valores vigentes).
• Resolução BCB nº 150, de 6 de outubro de 2021 (Banco Central: arranjos de pagamento; subcredenciador).
• PCI DSS: Document Library (PCI Security Standards Council: versão vigente v4.0.1, junho/2024).
• Countdown to PCI DSS v4.0 (PCI SSC, marcos de transição: v3.2.1 aposentada em 31/03/2024 e requisitos future-dated obrigatórios após 31/03/2025).