PCI Vault

O PCI Vault é um serviço de API que valida, tokeniza e guarda dados de cartão de pagamento em um cofre que a fornecedora descreve como compatível com o PCI DSS.

A documentação oferece três caminhos. Os endpoints básicos do cofre, como POST /vault/, recebem o dado pelos servidores do cliente, e a própria documentação avisa que esses sistemas podem continuar no escopo do PCI DSS. Os endpoints de captura e os formulários hospedados em iframe recebem o dado enviado por um terceiro ou pelo usuário final. O proxy, por POST /proxy/post, decifra o dado guardado e o envia a um terceiro, como um provedor de pagamentos (PSP), e a resposta volta por webhook. Para produção, a documentação recomenda captura ou proxy.

A fornecedora se descreve como provedora de serviços PCI DSS Nível 1, neutra em relação a fornecedores. É uma afirmação dela. Os termos de uso, que trazem a data de 31 de julho de 2026, dizem que o cliente também deve cumprir o PCI DSS e usar só provedores compatíveis para guardar ou transmitir dados de cartão.

O PCI Vault é indicado para empresas com equipe técnica que precisam guardar dados de cartão ou de conta bancária e enviá-los a terceiros, como um provedor de pagamentos, sem manter esses dados em banco próprio.

Casos de uso que a documentação descreve:

• Coletar dados de cartão ou de conta bancária (ACH) em formulários hospedados em iframe, com campos ocultáveis, e atualizar só o CVV de um cartão guardado.
• Receber dados de um terceiro por um endpoint de captura que só grava e não serve para ler dados nem acessar a conta.
• Enviar o dado guardado a um PSP pelo proxy, inclusive quando o destino exige conexão com certificado mútuo (mTLS): o PCI Vault pode gerar o par de chaves e a solicitação de certificado.

O que ter antes de começar:

• Desenvolvedores para integrar a API REST.
• Uma chave do cofre, com usuário e senha guardados pela própria empresa: a arquitetura é de conhecimento zero, e o PCI Vault não armazena a senha.
• Destinos HTTPS com certificado SSL válido, exigidos nas chamadas do proxy.
• Um avaliador de segurança (QSA) para definir o escopo, porque a documentação marca cada endpoint com um nível de questionário (SAQ) e os termos de uso mantêm a conformidade com o cliente.

Pela Nexforce Marketplace, o PCI Vault pode ser contratado em reais, com nota fiscal brasileira.

Os principais recursos do PCI Vault são o cofre com tokenização por API, os endpoints de captura, os formulários hospedados, o proxy de saída e a chave com senha guardada pela própria empresa.

• Cofre: os endpoints sob /vault/ validam, tokenizam e guardam os dados. A documentação os marca com o nível SAQ-EP e avisa que os sistemas do cliente podem continuar no escopo do PCI DSS.
• Captura: POST /capture/ cria um endpoint único que só grava dados e não serve para ler nem para operar o cofre. O envio usa um segredo no cabeçalho X-PCIVault-Capture-Secret, e a chamada que recebe o dado, POST /capture/{unique_id}, aparece na documentação como SAQ-EP.
• Formulários hospedados: formulários padrão de cartão e de conta bancária (ACH), carregados por uma URL com o identificador e o segredo do endpoint. Dá para ocultar campos e atualizar só o CVV de um cartão guardado.
• Proxy: POST /proxy/post decifra o dado guardado e o envia a um terceiro, como um PSP, com a resposta por webhook. A documentação o marca como SAQ-A/D, e o endpoint de tokens de rede aparece como alfa.
• Chaves: criadas por endpoint próprio, com usuário e senha que o PCI Vault não armazena.
• mTLS: o PCI Vault pode gerar o par de chaves e a solicitação de certificado e usar o certificado nas chamadas do proxy.

Os níveis SAQ são rótulos da fornecedora, e vale confirmá-los com o seu avaliador.

O PCI Vault vale a pena para equipes técnicas que querem tirar o dado de cartão do próprio banco de dados com uma API de cofre, desde que aceitem validar o escopo de conformidade com um avaliador.

Prós:

• O endpoint de captura só grava dados: a documentação diz que ele não serve para ler dados, operar o cofre nem acessar a conta.
• Os formulários hospedados já existem para cartão e conta bancária, com campos ocultáveis e atualização só do CVV.
• O proxy envia o dado guardado a um terceiro e devolve a resposta por webhook, e o PCI Vault gera o par de chaves para conexões com mTLS.
• A arquitetura é de conhecimento zero: o PCI Vault não armazena a senha da chave.

Contras:

• A guarda da senha é da empresa: o dado cifrado com uma senha só é decifrado por essa mesma senha.
• Os endpoints básicos de /vault/ deixam os sistemas do cliente no escopo do PCI DSS, e a documentação recomenda captura ou proxy em produção.
• Os níveis SAQ variam por endpoint e são rótulos da fornecedora: o proxy aparece como SAQ-A/D e a chamada que recebe o dado na captura, como SAQ-EP, então a elegibilidade ao SAQ-A precisa de confirmação.
• O status PCI DSS Nível 1 é afirmação da fornecedora, e as fontes consultadas não incluem o atestado de conformidade.

Antes de contratar, peça o atestado vigente e valide o escopo com o seu avaliador.

As alternativas ao PCI Vault são serviços de tokenização e cofre de dados como o Very Good Security (VGS), o Basis Theory e o Skyflow, e a escolha depende de o dado de cartão ser o único sensível ou de haver outros dados a proteger.

• Very Good Security (VGS): posiciona-se como provedor de tokens independente de processador. O produto Transmit reinsere o dado original em tempo real nas requisições de saída, e a empresa também trata tokenização de rede.
• Basis Theory: cofre de pagamentos programável e independente, em vez do cofre embutido de um processador. Oferece um iframe que coleta dados do portador direto dos campos do checkout, fora do ambiente de dados de cartão do cliente.
• Skyflow: cofre de privacidade de dados para vários tipos de dado, não só cartão, com criptografia e tokenização adaptadas a cada tipo.

O PCI Vault concentra-se em dados de cartão e de conta bancária, com endpoints de cofre, captura e proxy. Para comparar de forma justa, peça a cada fornecedora os tipos de dado aceitos, o atestado PCI DSS vigente e o fluxo de saída para o provedor de pagamentos que a sua empresa usa. Todas as descrições acima vêm de sites das próprias fornecedoras.