Para garantir a conformidade e a proteção das informações, devem ser adotadas as seguintes medidas:

Comunicação e autenticação

A Cielo utiliza seu próprio Resource Server, que implementa o OAuth 2.0 (RFC 6749) com TLS mútuo (mTLS – RFC 8705), conforme regulamentações do Banco Central. Assim, o processo de comunicação e autenticação deve seguir os seguintes critérios:

Toda conexão com a API deve ser criptografada utilizando TLS versão 1.2 ou superior, permitindo apenas cipher suites que ofereçam forward secrecy.
A API deve suportar múltiplos níveis de autorização ou papéis, segregando as funcionalidades de acordo com perfis (escopos OAuth) dos usuários clientes.
Os escopos OAuth serão definidos na especificação Open API 3.0 da API Pix e permitirão associar diferentes perfis de autorização ao software cliente.
A API Pix exige autenticação mútua por certificados. Isso significa que tanto o cliente quanto o servidor apresentam seus certificados, que são validados pelo outro lado. Durante a requisição, o cliente envia seu certificado para validação pela Cielo. A Cielo, por sua vez, também apresenta seu certificado para validação pelo cliente. A autenticação só é concluída mediante validação bem-sucedida dos dois certificados.
Os certificados digitais dos clientes podem ser emitidos por ACs externas ou pela própria Cielo, que atua como autoridade certificadora. Certificados autoassinados não são aceitos.
Cada PSP deve possuir seu próprio Authorization Server e Resource Server associado à API Pix, e ambos devem implementar TLS mútuo.
O Resource Server do PSP deve confirmar que o thumbprint do certificado associado ao access token apresentado pelo cliente é o mesmo do utilizado na autenticação TLS (proof-of-possession).
A Cielo utiliza Client Certificate-Bound Access Tokens, vinculando o certificado do cliente ao access token emitido, conforme seção 3 da RFC 8705.
O Resource Server da Cielo valida se o thumbprint do certificado associado ao access token corresponde ao certificado utilizado na autenticação TLS (proof-of-possession).
O fluxo OAuth utilizado é o Client Credentials Flow.

👍
Recomenda-se utilizar, no canal TLS do webhook, os mesmos certificados empregados na API Pix para autenticação mútua. Entretanto, não há impedimento para o uso de certificados diferentes, desde que haja acordo prévio entre o PSP e o usuário recebedor.

Confidencialidade e integridade

O processo de cadastro dos clientes para acesso à API ocorre em ambiente autenticado da Cielo com duplo fator de autenticação conforme determinado pelo Bacen. Além disso, utilizamos um canal seguro para envio das credenciais, o que garante rastreabilidade completa de todas as ações realizadas.
A API assegura a confidencialidade e a integridade dos dados dos usuários e de suas transações, tanto em trânsito quanto em repouso.
A Cielo mantém logs de auditoria de acesso à API por, no mínimo, 1 ano.
O client_id utilizado na autenticação é vinculado ao CNPJ ou CPF do estabelecimento recebedor, e somente permite acesso aos recursos relacionados às contas transacionais de titularidade desse mesmo CNPJ ou CPF.
A API da Cielo é projetada para atender com alta disponibilidade.