Segurança e o modelo sem custódia

• Consegue derivar endereços de recebimento a partir de uma chave pública que você fornece e exibi-los numa página de checkout.
• Consegue ler dados públicos da blockchain e determinar que uma cobrança foi paga.
• Consegue avisar o seu servidor com um webhook assinado e registrar o estado do pedido no próprio banco de dados.

• Não consegue mover, congelar, reverter ou estornar um pagamento, porque não guarda nenhuma chave capaz de assinar uma transação de blockchain. Isso é uma propriedade de arquitetura, não uma política que prometemos cumprir.

Um processador de pagamentos só consegue mover fundos se guardar uma chave capaz de assinar transações. Não guardamos nenhuma. Ao configurar uma carteira, você nos dá um endereço de recebimento ou uma chave pública estendida (xpub). Ambos são dados públicos. A xpub consegue derivar endereços de recebimento, mas matematicamente não consegue produzir as chaves privadas necessárias para gastar a partir deles. Nossos workers chamam endpoints de blockchain somente-leitura — os mesmos dados públicos por trás de Tronscan, BscScan e mempool.space — e nenhum caminho de código da plataforma monta, assina ou transmite uma transação que gaste fundos do lojista.

• O endpoint de configuração de carteira rejeita qualquer chave estendida que contenha material privado — cole uma xprv e ela é recusada, não armazenada.
• A carteira de taxas da própria plataforma segue a mesma regra em todos os ambientes: o serviço se recusa a iniciar se ela for configurada com uma chave privada em vez de uma chave pública somente-leitura.
• Em produção, a validação de inicialização ainda aborta o processo se qualquer variável de ambiente contiver chave privada, mnemônico ou frase semente.
• Os workers on-chain usam apenas adaptadores de dados somente-leitura. Não existe na plataforma código de assinatura ou de transmissão de transações.
• Um teste automatizado garante que os dois pontos de entrada de chave rejeitam chaves privadas, então o invariante não pode ser removido silenciosamente numa versão futura. E marcar um pedido como estornado no painel altera um registro no banco — não move, nem pode mover, nenhuma moeda.

Existe exatamente um ponto em que o NextCryptoPay recebe USDT, e não é o dinheiro dos seus clientes: o saldo pré-pago que você recarrega para pagar a nossa taxa de plataforma. Essa é a nossa receita, paga por você antecipadamente, e é totalmente separada do fluxo de pagamento entre você e o seu cliente. A carteira de recolhimento de taxas também é configurada como somente-leitura na nossa infraestrutura — e é exatamente por isso que o serviço se recusa a iniciar caso uma chave privada seja informada para ela. Preferimos declarar essa exceção nós mesmos a deixar que você a descubra e fique se perguntando o que mais omitimos.

Ver a taxa vigente na página de preços →

• O que um invasor poderia obter: dados de contas de lojistas, endereços de recebimento e xpubs configuradas, metadados de pedidos, endpoints de webhook e seus segredos. Ele poderia exibir endereços de recebimento errados em futuras páginas de checkout.
• O que um invasor não poderia obter: os seus fundos, nem qualquer pagamento já ocorrido. Não existe nos nossos sistemas nenhuma chave capaz de gastar a partir de uma carteira de lojista, então não há o que roubar dos saldos em si.
• O que isso significa para você: confira o endereço de recebimento mostrado no checkout com a carteira que você configurou, e valide a assinatura de todo webhook antes de agir com base nele.

Pegue o endereço de carteira que você configurou e consulte-o num explorador de blocos público — Tronscan para TRC-20, BscScan para BEP-20, Etherscan para ERC-20, mempool.space para Bitcoin. Você verá o pagamento chegando do endereço do seu cliente direto ao seu, sem nenhum salto intermediário. Se algum endereço controlado por nós aparecesse nesse caminho, ele estaria visível ali mesmo. Não aparece.

• Não podemos reverter nem estornar um pagamento. Transações on-chain são definitivas. Um estorno é algo que você mesmo envia, da sua própria carteira; o nosso painel apenas registra que você fez isso.
• Não podemos recuperar fundos enviados para um endereço errado. Se o endereço de carteira que você configurou estiver errado, os pagamentos vão para esse endereço errado e se perdem. Confira o endereço e teste primeiro com um valor pequeno.
• Não podemos recuperar a sua carteira. Nunca tivemos as suas chaves. Se você as perder, não temos como ajudar — nenhum canal de suporte, nenhuma exceção.
• Não podemos congelar nem apreender fundos, mesmo a pedido seu ou de terceiros. Não temos essa capacidade.

O NextCryptoPay não passou por auditoria de segurança de terceiros, e não vamos insinuar o contrário. Também não divulgamos a identidade de quem o opera: neste site não há razão social, número de registro nem endereço de escritório, porque não existe pessoa jurídica a ser nomeada. Pese os dois fatos antes de direcionar receita real por qualquer serviço, inclusive este. O que oferecemos no lugar de um nome e de um certificado é um desenho em que a nossa identidade não precisa importar — nunca guardamos uma chave capaz de mover o dinheiro dos seus clientes, e cada afirmação acima é do tipo que você pode testar em vez de acreditar.

Envie suas descobertas para [email protected] ou consulte a nossa política de relato abaixo. Confirmamos o recebimento e mantemos você informado sobre a correção. Por favor, não faça testes em cobranças reais de lojistas nem em pagamentos de outras pessoas.

/.well-known/security.txt