Tenant ID e controle de acesso

O tenant_id é o identificador único da sua empresa dentro da nosso plataforma.

Por motivos de segurança, o tenant_id não é gerado automaticamente nem exposto publicamente.

A liberação do tenant_id ocorre exclusivamente por meio do canal oficial:

atendimento@autrapay.com.br

O tenant_id é enviado ao responsável técnico pela integração, previamente identificado, após validação do contexto da parceria.

Esse processo garante:

Identificação clara do integrador responsável
Prevenção de acessos indevidos
Rastreabilidade de uso da plataforma

Allowlist de IP

A Autra utiliza allowlist de IP como camada adicional de segurança.

Durante o processo de setup, os endereços IP autorizados devem ser informados para liberação de acesso à API.

A allowlist de IP:

Restringe o acesso apenas a origens confiáveis
Reduz superfície de ataque
Atua como camada complementar à autenticação OAuth

Recomendamos:

Utilizar IPs fixos sempre que possível
Manter ambientes de sandbox e production com allowlists distintas
Atualizar a allowlist sempre que houver mudança de infraestrutura

Verificação de assinatura (challenge)

Como parte do setup da integração, a Autra utiliza um mecanismo de verificação de assinatura criptográfica para validar a posse da private key pela aplicação integradora.

Após o upload da public key, a Autra gera um challenge temporário que deve ser assinado e validado.

Prazo de validade do challenge

O challenge possui um tempo máximo de validade de:

30 minutos

Caso a verificação não seja concluída dentro desse período:

O challenge é automaticamente expirado
Um novo processo de verificação deve ser iniciado

Esse controle reduz riscos associados a:

Reutilização indevida de challenges
Exposição prolongada de dados sensíveis
Ataques de replay

Responsabilidade do integrador

É responsabilidade do integrador:

Proteger a private key
Garantir que a assinatura do challenge seja realizada dentro do prazo
Armazenar credenciais de forma segura
Utilizar apenas IPs previamente autorizados
Manter os dados de contato atualizados

A Autra nunca solicita:

Private keys
Client secrets
Tokens de acesso

Camadas de segurança da Autra

A Autra combina múltiplas camadas de segurança:

Identificação por tenant
Chaves criptográficas assimétricas
Verificação de assinatura
Allowlist de IP
Autenticação OAuth
Arquitetura orientada a eventos
Logs e rastreabilidade

Essa abordagem garante segurança sem comprometer a escalabilidade e a experiência de integração.

Considerações finais

Os mecanismos de segurança da Autra foram desenhados para atender padrões de ambientes financeiros críticos, garantindo:

Confiança na origem das requisições
Isolamento entre tenants
Controle de acesso rigoroso
Rastreabilidade operacional

Em caso de dúvidas ou necessidade de ajustes de segurança, entre em contato pelo canal oficial:

atendimento@autrapay.com.br