Simula uma autorização para verificar se o cartão está válido no momento.
| Ambiente | Método | Endpoint |
|---|---|---|
| Sandbox | post | https://apisandbox.cieloecommerce.cielo.com.br/1/zeroauth/ |
| Produção | post | https://api.cieloecommerce.cielo.com.br/1/zeroauth/ |
Saiba mais sobre essa funcionalidade na documentação.
O exemplo desta página é valido para envio do cartão com os dados abertos (não tokenizados).
Importante
- Habilite o Zero Auth pelo site Cielo ou com o suporte Cielo. Se a API retornar o código de erro 322, entre em contato com o Atendimento para habilitar a funcionalidade;
- Caso a API retorne o erro 389 – Restrição Cadastral, procure o gestor comercial para validar se o serviço está habilitado corretamente; se estiver, o retorno indica que essa tentativa não pode ser validada por critérios internos da Cielo, recomendamos tentar outro cartão para concluir a validação;
- Para simular cenários de autorização, confira a documentação Zero Auth em sandbox.
Bandeiras disponíveis no Zero Auth
O Zero Auth está disponível para as bandeiras Visa, Master, Elo e Diners*.
*Disponível a partir de outubro de 2026.
Se a resposta for negativa, não submeta o cartão para autorização.Envie o cartão para autorização apenas se o código de resposta da verificação Zero Auth for positivo.
Transações de Zero Auth de cartão Visa tokenizadoA partir de 17/04/2026, será necessário enviar o criptograma em transações de verificação de cartão com tokenização externa na bandeira Visa:
- Envie o DPAN (token) no campo
Card.CardNumber;- Envie o criptograma no campo
Card.SecurityCode.
TLID Mastercard
O Transaction Link Identifier (TLID), enviado e retornado no campo TransactionLinkId, é um identificador único gerado pela bandeira Mastercard durante uma transação CIT, usado para vincular as transações MIT relacionadas. O TLID vale para a resposta do Zero Auth (apenas resposta) e para as transações de crédito, débito e recorrência própria.
Na Mastercard, envie IssuerTransactionId e TransactionLinkId juntos nas transações MIT: os dois parâmetros são obrigatórios.
| Fase | Descrição |
|---|---|
| Fase 1 | Vigente. O campo TransactionLinkId está disponível na resposta da validação de cartão por Zero Auth, criação de pagamento com cartão de crédito, criação de pagamento com cartão de débito e na consulta por PaymentId. |
| Fase 2 | Envio obrigatório do TransactionLinkId no request (MIT) a partir de 23/10/2026. |
Recorrência programada: nas transações seguintes, os campos
IssuerTransactionIdeTransactionLinkIdsão enviados automaticamente.
O TransactionLinkId enviado no request deve ter exatamente 22 caracteres (A-Z, a-z, 0-9, hífen e sublinhado). Se o valor estiver fora desse formato, a Cielo o ignora, sem retornar erro. Quando a Cielo envia o TLID à bandeira, a resposta traz também o SentTransactionLinkId, com o valor enviado. O request do Zero Auth não aceita o campo.
Saiba mais em Identificadores de bandeira.
Resposta da validação no Zero Auth
A resposta sempre retorna se o cartão pode ser autorizado no momento. Essa informação apenas significa que o cartão está válido para transacionar, mas não indica que um determinado valor será autorizado.
Os campos retornados na resposta dependem do resultado da validação. A tabela a seguir apresenta todos os campos possíveis.
| Parâmetro | Descrição | Tipo | Tamanho |
|---|---|---|---|
Valid | Situação do cartão:
| Boolean | |
ReturnCode | Código de retorno. Consulte os Códigos de retorno Zero Auth. | String | 2 |
ReturnMessage | Mensagem de retorno. Consulte os Códigos de retorno Zero Auth. | String | 255 |
IssuerTransactionId | Identificador da transação gerado pela bandeira, retornado na resposta do Zero Auth. O Zero Auth não recebe esse campo no request. Armazene o valor para enviá-lo, obrigatoriamente, nas transações recorrentes seguintes de crédito e débito. Na recorrência programada, o campo é enviado automaticamente nas transações seguintes. Consulte mais informações em Identificadores de bandeira. | String | 30 |
Payment.TransactionLinkId | Identificador único (TLID) gerado pela Mastercard e retornado na resposta do Zero Auth. O Zero Auth não recebe esse campo no request. Armazene o valor original para enviá-lo, junto com o Formato: 22 caracteres alfanuméricos (A-Z, a-z), com diferenciação entre maiúsculas e minúsculas e podem incluir hífens (-) e sublinhados (_). | string | 22 |