Golpes mais comuns
Comprovante de Pix falsoO cliente manda um print editado e pede acesso. Libere só quando o pedido estiver aprovado no painel.
Boleto adulteradoO código de barras é trocado para outro beneficiário. Confira nome e valor no app do banco antes de pagar.
Página de login falsaUm link imita a tela de entrada para roubar a senha. Entre sempre digitando kyverapay.com.
Pedido de códigoNinguém da KyveraPay pede seu código de verificação ou sua secret key. Quem pede é golpista.
Sobre boleto, o Banco Central orienta comparar o beneficiário e o valor que o aplicativo do banco mostra com o que está impresso, antes de confirmar.
Proteja sua conta
- Use uma senha só sua. Longa, diferente das outras contas e guardada num gerenciador de senhas.
- Ligue a verificação em duas etapas. Em Configurações, com um app autenticador. Mesmo com a senha vazada, ninguém entra sem o código.
- Saia de computadores compartilhados. Use “Sair deste dispositivo” depois de acessar de uma máquina que não é sua.
- Mantenha o e-mail seguro. Quem controla seu e-mail consegue redefinir sua senha. Proteja-o também com duas etapas.
Essas práticas seguem as recomendações do guia de autenticação da OWASP, referência internacional em segurança de aplicações.
Integrações seguras
Se o seu sistema usa a API ou recebe webhooks, três cuidados evitam a maioria dos problemas:
- Secret key só no servidor. Nunca coloque a chave em código de navegador, app mobile ou repositório público.
- Valide a assinatura do webhook. Calcule o HMAC-SHA256 com o secret e compare com o header
X-Kyverapay-Signature. Recuse eventos com mais de 5 minutos. - Troque chaves que vazaram. Gere uma nova secret em API Keys e revogue a antiga. A troca vale na hora.
O que a KyveraPay faz por trás
Preço decidido no servidorO comprador não consegue alterar o valor do checkout pelo navegador.
Status confirmado no backendNenhum pedido vira pago porque uma tela disse que foi pago.
Cada conta vê só os próprios dadosRegras no banco de dados isolam vendas, saques e chaves de cada vendedor.
Console interno com duas etapasA equipe só acessa a administração com verificação em duas etapas obrigatória.
Seguimos o princípio de menor privilégio descrito no guia de autorização da OWASP: acesso negado por padrão e permissão conferida em toda requisição. Nenhuma dessas camadas elimina todo risco, e por isso os cuidados do seu lado continuam importantes.
Se algo der errado
- Pagou um boleto falso: registre boletim de ocorrência e fale com seu banco o quanto antes.
- Caiu num golpe com Pix: peça ao seu banco a abertura do Mecanismo Especial de Devolução (MED).
- Comprou de um vendedor da KyveraPay e teve problema: use a Central de Ajuda.
- Suspeita de acesso indevido à sua conta: troque a senha, ligue as duas etapas e chame o suporte no painel.