API de Emissão de Cartões Cripto: Um Guia Prático de Como Ela Funciona na Prática

Construir um programa de cartões da maneira tradicional significa ter um banco patrocinador, um processador de pagamentos, uma empresa de personalização e uma equipe de compliance, tudo isso contratado por contrato. O prazo estimado para esse processo é de dezoito meses.

Uma API de emissão de cartões é o argumento de que você não precisa mais se preocupar com isso. Ela não elimina completamente o trabalho, mas transfere a maior parte dele para os cuidados de outra pessoa, e o que sobra vale a pena entender antes de assinar o contrato.

Principais lições

• Uma API de emissão de cartões criptográficos permite que uma empresa crie e gerencie cartões de pagamento vinculados a saldos em criptomoedas, geralmente sem precisar de uma licença própria para emissão de cartões, patrocínio bancário ou infraestrutura de processamento.
• A UPay Business oferece emissão de cartões Visa físicos e virtuais por meio de uma única API, taxas de pagamento em criptomoedas inferiores a 1%, em comparação com os 3% a 5% cobrados em pagamentos internacionais tradicionais, e aceitação de BTC, ETH, USDT e mais de 50 outros ativos nos padrões TRC20, ERC20 e BSC.
• A UPay Business publica um prazo de cerca de cinco minutos para a liquidação em criptomoedas e T+0 ou T+1 para o pagamento em moeda fiduciária, dependendo do canal, com liquidação bancária em T+1. São etapas diferentes, não uma contradição, portanto, pergunte em qual etapa o seu canal de pagamento termina.
• A própria documentação para desenvolvedores da UPay publica um ambiente de teste, um período de validade de assinatura de 60 segundos por solicitação e a obrigatoriedade de inclusão de IPs em uma lista de permissões, além de listar seu URL base de produção como não divulgado publicamente.
• A conformidade que você herda é real: verificação de identidade, monitoramento de transações, triagem de sanções, a Regra de Viagem de 3,000 dólares americanos nos Estados Unidos e o PCI DSS v4.0.1, atualmente a única versão ativa, cujos 51 requisitos futuros entraram em vigor em 31 de março de 2025.
• Em relação aos registros, considere o que a própria UPay lista: uma licença de operador de serviços monetários de Hong Kong, uma aprovação preliminar como provedor de serviços de ativos virtuais da Lituânia e registros de empresas de serviços monetários nos Estados Unidos e no Canadá.

O que é uma API de emissão de cartões criptográficos?

Uma API de emissão de cartões criptográficos é um conjunto de endpoints programáveis ​​que permite a uma empresa criar, financiar, congelar e cancelar cartões de pagamento vinculados ao saldo de criptomoedas de um cliente, sem precisar possuir a infraestrutura subjacente.

O fornecedor detém os relacionamentos mais difíceis de obter: afiliação à rede, acordo de emissão, processamento e conversão. Você mantém o cliente, a marca e as regras de gastos.

A etapa de conversão é onde a parte criptográfica entra em jogo. O cartão é um cartão comum em uma rede comum; o que o provedor adiciona transforma o saldo em criptomoedas em moeda de liquidação no momento da autorização, de modo que o comerciante vê uma transação normal e o cliente um débito em criptomoedas.

Como o fluxo funciona, passo a passo

Integração e verificação de identidade. Seu aplicativo coleta os dados do cliente e os envia pelos endpoints de verificação do provedor. O resultado é retornado de forma assíncrona, portanto, crie um sistema que permita um estado pendente, em vez de um estado de "sim" ou "não".

Abastecendo o saldo. O cliente transfere criptomoedas para a conta da qual o cartão é utilizado. No UPay, isso é uma recarga da carteira UPay, e não um débito direto, portanto, o saldo é algo que o cliente mantém sempre atualizado.

Emissão e provisionamento. Um cartão virtual é emitido rapidamente. Um cartão físico precisa ser produzido e enviado, e é por isso que os terminais de cartão da UPay incluem ativação e rastreamento logístico, além do registro.

Autorização. Quando o cliente paga, a rede envia uma solicitação de autorização, o provedor verifica o saldo e suas regras de gastos, converte e aprova ou rejeita a transação. Tudo o que você deseja controlar precisa ser configurado com antecedência.

Liquidação e reconciliação. As transações compensadas são liquidadas para o comerciante através da rede, enquanto o seu sistema reconcilia os valores com base nos webhooks. O feed de webhooks representa o registro e o painel de controle, o resumo.

Nossa nota sobre como funcionam os pagamentos em USDT aborda o que uma confirmação de cadeia realmente informa, que é a entrada para essa reconciliação.

O que a documentação da API da UPay realmente publica

Eis o que a própria documentação para desenvolvedores e as páginas comerciais da UPay afirmam.

O que um comprador pergunta	O que o próprio material da UPay publica	Onde está escrito
Que cartões posso emitir?	Cartões Visa físicos e virtuais através de uma única API	Site da UPay Business
Existe um ambiente de teste (sandbox)?	Um ambiente de teste foi publicado; o ambiente de homologação está listado como indisponível e a URL base de produção não foi divulgada publicamente.	Referência da API UPay
Como é feita a autenticação de uma solicitação?	Cada solicitação é assinada, e uma assinatura é válida por 60 segundos antes de precisar ser regenerada.	Referência da API UPay
Existem restrições de rede?	Os endereços IP de chamada devem estar na lista de permissões e as respostas devem vir apenas de endereços designados.	Referência da API UPay
O que posso fazer com um cartão?	Cadastre-se, ative, recarregue, bloqueie e desbloqueie, cancele, consulte faturas, defina uma senha comercial, rastreie a logística, confirme a segurança 3-D Secure, autorize um valor de gasto.	Referência da API UPay
Que outros aspectos a API abrange?	Comerciante, Conta, Grupo de Clientes, Cliente, Endereço, Cartão, Carteira, Adquirente, Desembolso, IFrame, upload de arquivo, lista de regiões, lista de códigos e grupos de webhook	Referência da API UPay
A documentação está em inglês?	A referência principal está em chinês simplificado; uma versão completa em inglês está publicada em upay-api-en.readme.io (https://upay-api-en.readme.io/)	Referência da API UPay, ambas as edições
Como posso saber se algo aconteceu?	Notificações via webhook para eventos de cartão, carteira, aquisição e pagamento.	Referência da API UPay
Qual o custo do processamento?	Menos de 1% em pagamentos com criptomoedas, contra 3% a 5% para pagamentos transfronteiriços tradicionais.	Site da UPay Business
Com que rapidez o dinheiro é liquidado?	Aproximadamente 5 minutos na blockchain (“~ 5 minutos”); pagamento em moeda fiduciária em T+0 ou T+1, dependendo do canal; liquidação bancária em T+1.	Site da UPay Business e sua página de pagamentos em criptomoedas.

Vale a pena ler ambos antes de definir o escopo do trabalho: a lista de permissões restringe onde seu código é executado e uma janela de assinatura de 60 segundos restringe como ele tenta novamente.

A UPay Business anuncia cerca de cinco minutos para a liquidação de criptomoedas, indicando "aproximadamente 5 minutos" em comparação com 1 a 5 dias úteis para os sistemas tradicionais, enquanto sua página de pagamentos em criptomoedas afirma que a liquidação on-chain "pode ​​ser concluída em tempo real, enquanto a liquidação em moeda fiduciária geralmente leva T+0 ou T+1, dependendo do canal de pagamento", com a liquidação bancária listada como T+1.

O cálculo rápido se refere à etapa on-chain, e T+0 ou T+1 à etapa de pagamento em moeda fiduciária. Portanto, pergunte em qual etapa seu fluxo de caixa termina. A UPay também publica o único dado de ROI (retorno sobre o investimento) nessa categoria: uma economia de 20,000 a 50,000 dólares americanos por milhão processado em comparação com os sistemas bancários tradicionais.

A conformidade que você herda

A tecnologia funciona em ritmo acelerado. O arquivo de conformidade leva um trimestre e define a data de lançamento.

Verificação de identidade. A emissão de cartões é uma atividade regulamentada em todos os mercados relevantes para um programa de cartões, portanto, cada titular do cartão é verificado antes mesmo de o cartão existir. A UPay disponibiliza endpoints de envio, consulta e acompanhamento para esse processo, sendo necessário que seu produto mostre um estado entre "solicitado" e "aprovado".

Nosso guia sobre conformidade com a regra "conheça seu cliente" (KYC) em criptomoedas explica o que essas verificações fazem.

Monitoramento de transações e sanções. A verificação é feita com base em nomes e, no caso das criptomoedas, em endereços de carteiras. O Escritório de Controle de Ativos Estrangeiros (OFAC) do Departamento do Tesouro dos EUA inclui endereços de moedas virtuais em sua lista de sanções desde 2018; portanto, um endereço é um identificador passível de verificação, da mesma forma que um nome.

A UPay divulga os nomes de seus parceiros de infraestrutura, algo que a maioria dos provedores não faz: verificação de identidade com a Sumsub, anunciada pela UPay em maio de 2024 , liquidação de stablecoins com a StraitsX e infraestrutura em nuvem com a Tencent Cloud. Os três estão listados no UPay Business sob o título “Construído com base em parcerias globais confiáveis”. Os nomes dos parceiros podem ser verificados; a informação sobre “infraestrutura de nível empresarial” não.

A Regra de Viagem. Nos Estados Unidos, o artigo 31 CFR 1010.410(f) exige que as informações do remetente e do beneficiário acompanhem transferências de 3,000 dólares americanos ou mais. Essa regra é anterior às criptomoedas e se aplica a elas.

PCI DSS. A segurança dos dados do cartão é baseada no Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS). O Conselho de Padrões de Segurança da Indústria de Cartões de Pagamento descontinuou a versão 4.0 em 31 de dezembro de 2024, portanto, a versão 4.0.1 é agora a única versão ativa.

Dos 64 requisitos introduzidos na versão 4.x, 51 tinham data futura e entraram em vigor em 31 de março de 2025 , portanto, uma avaliação hoje é feita com base no conjunto completo, e não no conjunto transitório.

Utilizar os campos de cartão hospedados por um provedor restringe o seu escopo. Não o elimina completamente, e a pergunta que o seu auditor fará é quais campos o seu próprio código realmente acessa.

Licenciamento. Solicite a lista e compare-a com os registros oficiais, em vez de consultar a página de marketing. A UPay lista uma licença de operadora de serviços monetários em Hong Kong, uma aprovação em princípio como provedora de serviços de ativos virtuais na Lituânia e registros de empresas de serviços monetários nos Estados Unidos e no Canadá.

A UPay publicou identificadores para essas duas entidades: 31000257909666 para o registro nos EUA e M24993747 para o registro canadense. Pesquise você mesmo no banco de dados de registro de empresas de serviços monetários (MSB) da FinCEN e no registro de MSBs da FINTRAC. Se nenhum dos dois retornar a entidade com a qual você está negociando, questione o motivo antes de prosseguir.

As duas páginas da própria UPay não estão alinhadas nesse ponto. Sua página inicial lista as quatro licenças como detidas; sua página "Sobre nós" ainda as apresenta em uma linha do tempo de "Metas e Planos" como licenças a serem obtidas, datadas do 3º trimestre de 2023 e do 1º trimestre de 2024, juntamente com uma licença fiduciária que não consta na página inicial.

Esse é o estado comum do marketing de fornecedores, e a razão pela qual o caixa, em vez da página, é a solução.

Desafios no uso de APIs de emissão de cartões criptográficos

As regras variam de acordo com o mercado e a nacionalidade. Uma única API não garante um único produto. Listas de sanções, regras de rede e a própria lista de países do provedor restringem o público-alvo que você pode atender.

O risco de conversão não desaparece, ele se desloca. A conversão no momento da autorização concentra a exposição do cliente nos segundos que antecedem e sucedem cada compra. Em um ativo de financiamento volátil, uma redução em um saldo que parecia suficiente uma hora antes é um problema que exige suporte técnico, não um erro.

Você ainda constrói a metade tediosa. Os problemas com a API e os cartões de controle. Declarações, recebimento de contestações, o fluxo de desafio 3-D Secure, o lembrete de recarga e a exportação de impostos são de sua responsabilidade. As equipes definem o escopo dos endpoints e esquecem o produto em si.

Seus clientes precisam de instruções. Um cartão carregado a partir de uma carteira digital é recusado quando o saldo é insuficiente, sem limite de crédito e sem recarga automática. Informe isso durante o processo de integração, em vez de nos termos e condições.

Você herda a estabilidade do provedor. Um programa de cartões não é uma dependência que você pode trocar em um fim de semana. Pergunte o que acontece com os cartões ativos se o provedor mudar seu parceiro emissor.

O que verificar antes de assinar

Quais mercados, com base em qual critério. A elegibilidade para o cartão é definida pela nacionalidade, e não pela residência, e varia de acordo com o cartão. O cartão Premier da UPay recusa solicitações de uma longa lista de países e territórios, a maioria deles desabitados ou em disputa.

O cartão Platinum recusa solicitações de uma lista bem mais curta, mas essa lista inclui os Estados Unidos, China, Índia, Indonésia, Paquistão, Vietnã, Turquia, Arábia Saudita e Israel, entre outros. Essa lista curta é a que acaba com as ofertas, e ambos os cartões proíbem completamente a entrada de cidadãos de nacionalidades sancionadas.

A UPay revisou a lista e afirma que ela se baseia na Visa e nas principais listas globais de riscos regulatórios e sanções; portanto, obtenha a versão atualizada na Central de Ajuda.

Quem é o emissor? Os cartões UPay são emitidos por instituições parceiras, e não pela própria UPay, sendo essa entidade que define as regras do seu programa.

A UPay indicou uma empresa: JC Credit Limited, para seu cartão de crédito de Hong Kong, com base em termos que fazem referência à Mastercard. Seus cartões Premier e Platinum atuais, assim como a emissão da API Business, são operados pela Visa. Pergunte qual entidade emite o seu cartão.

Qual a taxa aplicável? Pergunte qual a taxa definida na autorização, qual o spread utilizado e quem arca com a diferença entre a autorização e a liquidação.

Como cancelar o serviço. Pergunte o que acontece com os titulares dos seus cartões se você cancelar o serviço, quem detém as credenciais tokenizadas e qual o aviso prévio necessário. A resposta raramente está na documentação.

Priorizando provedores em vez de mecanismos? Nosso guia de plataformas de emissão de cartões criptográficos para startups compara as opções disponíveis, e a infraestrutura de pagamentos criptográficos B2B aborda o lado da liquidação.

O que realmente leva tempo

Uma primeira implementação realista leva de três a quatro meses, e muito pouco desse tempo é dedicado à engenharia: a engenharia leva semanas, o dossiê de conformidade, um trimestre. Ambos são estimativas provisórias, não números publicados.

A verificação de identidade empresarial em uma entidade com estrutura societária complexa é a etapa que costuma atrasar. Tenha em mãos os documentos de constituição da empresa, o organograma e a identificação dos diretores.

Depois disso, o foco passa a ser em decisões, e não em código: quais controles de gastos você expõe, o que o suporte faz quando um cartão é recusado em uma bomba de combustível devido a uma pré-autorização e como um cliente recarrega um saldo que se esgotou.

A integração em si é a parte mais curta, e é exatamente essa a parte que nosso guia de integração da API do gateway de pagamento explica detalhadamente.

Perguntas Frequentes

É difícil integrar uma API de emissão de cartões criptográficos?

A integração não é a parte difícil. Documentação, um ambiente de teste e webhooks tornam a engenharia uma questão de semanas. A verificação da sua própria empresa, a aprovação de conformidade e os termos comerciais definem a data.

Preciso de uma licença própria para emitir cartões através de uma API?

Normalmente não: o provedor e seu parceiro emissor detêm as licenças e você opera como gerente de programa com base nas permissões deles. Essa é uma posição comercial, não uma opinião jurídica, portanto, confirme-a para cada mercado em que você atua.

Como um cartão de criptomoedas lida com a variação de preço entre a compra e a liquidação?

O fornecedor efetua a conversão no momento da autorização, portanto o saldo é debitado com base na taxa definida naquele instante. A diferença entre a autorização e a liquidação é compensada em algum lugar, e o contrato especifica onde.

Qual a diferença entre emissão de cartões e um gateway de pagamento?

Um gateway permite que você aceite pagamentos de clientes. A emissão de cartões fornece aos clientes um cartão para usar em suas compras. Sistemas semelhantes, problemas opostos, e muitas empresas desejam ambos.

Posso emitir cartões para clientes em qualquer lugar?

Não. Um programa de cartões possui uma lista de países e nacionalidades que não pode atender, devido a sanções e regras da rede. Consulte a lista atualizada antes de avaliar um mercado.