Como funciona o pagamento por NFC?

O pagamento por NFC permite-lhe efetuar pagamentos aproximando um cartão bancário sem contacto, um telemóvel ou um relógio inteligente de um terminal de pagamento compatível. A tecnologia NFC gere a ligação sem fios de curto alcance, enquanto o chip do cartão, o terminal, a rede de pagamentos e o banco tratam da transação propriamente dita.

Um toque pode demorar apenas um segundo, mas, durante esse tempo, ocorrem vários passos. O dispositivo de pagamento comunica com o terminal, cria dados de segurança para a transação e envia o pagamento através da rede bancária para aprovação.

O que é o pagamento por NFC?

A NFC, ou Near Field Communication (Comunicação de Campo Próximo), é uma tecnologia sem fios de curto alcance que funciona a 13,56 MHz. No âmbito dos pagamentos, permite que um cartão de pagamento ou um dispositivo móvel comunique com um terminal de ponto de venda sem ser inserido no leitor.

A tecnologia EMV Contactless suporta pagamentos tanto a partir de cartões com chip sem contacto como de dispositivos móveis compatíveis com NFC. Basta aproximar o cartão ou o dispositivo muito perto do terminal.

Os métodos de pagamento NFC mais comuns incluem cartões de débito e de crédito sem contacto, o Apple Pay, o Google Pay e os relógios inteligentes com funcionalidade de pagamento.

A ligação NFC, por si só, não transfere dinheiro entre contas. Estabelece apenas a ligação de comunicação local entre o dispositivo de pagamento e o terminal. O resto da transação decorre através da infraestrutura de pagamento normal.

Como funciona o pagamento por NFC?

Uma transação típica com cartão sem contacto pode ser dividida em cinco fases.

1. O terminal ativa o cartão

O comerciante introduz ou confirma primeiro o montante da compra. Em seguida, o terminal de pagamento cria um campo de radiofrequência à volta do seu leitor sem contacto.

Um cartão bancário físico sem contacto não necessita de bateria própria. A sua antena interna capta energia do campo magnético do terminal e fornece energia suficiente para o chip funcionar.

Por isso, um cartão sem contacto pode, por vezes, ficar sem ser utilizado numa carteira durante anos e, mesmo assim, comunicar com um terminal quando o encostamos a ele.

Os telemóveis e os relógios inteligentes diferem porque têm a sua própria fonte de alimentação, embora continuem a utilizar a mesma interface sem contacto de curto alcance quando comunicam com o terminal de pagamento.

2. O cartão e o terminal estabelecem comunicação

Assim que o cartão entra no campo magnético do terminal, o terminal e o cartão começam a comunicar entre si.

Os cartões de pagamento sem contacto utilizam normalmente tecnologia baseada na norma ISO/IEC 14443. As especificações EMV definem, por sua vez, a forma como a aplicação de pagamento e o terminal trocam as informações necessárias para processar a transação.

O terminal identifica uma aplicação de pagamento disponível e dá início à transação EMV. Nesta fase, o cartão faz mais do que simplesmente enviar um número de cartão armazenado.

3. O cartão gera dados de transação

O chip de pagamento contém credenciais e informações criptográficas emitidas no âmbito do sistema de cartões de pagamento.

Durante uma transação, utiliza estas credenciais para gerar dados de segurança específicos para esse pagamento. A norma EMV descreve isto como um código de segurança único ou criptograma. É gerado um novo valor para cada transação, em vez de se utilizar sempre o mesmo código de segurança fixo.

A transação pode também incluir informações fornecidas pelo terminal, tais como o valor da compra e outros parâmetros da transação.

4. A transação é enviada para autorização

Após estabelecer comunicação com o cartão, o terminal envia o pagamento para a rede financeira.

Um percurso simplificado fica assim:

Cartão ou telemóvel → terminal POS → adquirente/processador de pagamentos do comerciante → rede de cartões → banco emissor

O banco emissor é o banco ou a instituição financeira responsável pelo cartão do cliente.

Recebe as informações da transação e efetua as verificações necessárias para decidir se o pagamento deve ser aceite. Estas podem incluir a validação das credenciais de pagamento e dos dados criptográficos, bem como a verificação do estado da conta e da transação.

5. A aprovação ou recusa é enviada de volta ao terminal

O emissor comunica a sua decisão através da rede de pagamentos.

Se for aprovado, o terminal POS confirma o pagamento. Se for recusado, o terminal recebe, em vez disso, a resposta correspondente.

Todo o processo costuma demorar apenas alguns segundos.

A liquidação do montante entre as instituições financeiras ocorre separadamente. O toque no terminal serve principalmente para autenticar e autorizar a transação, em vez de transferir instantaneamente o dinheiro de uma conta bancária diretamente para a conta do comerciante.

O pagamento por NFC requer uma ligação à Internet?

A transação NFC de curto alcance, por si só, não requer uma ligação móvel ou Wi-Fi no telemóvel do cliente. No entanto, um terminal de pagamento comercial típico necessita de acesso à entidade adquirente ou ao processador de pagamentos para solicitar uma autorização online. Alguns ambientes de pagamento podem suportar um processamento offline, diferido ou de armazenamento e reenvio limitado, de acordo com regras específicas.

O que há dentro de um cartão bancário sem contacto?

Um cartão de débito ou de crédito sem contacto é um cartão inteligente especializado sem contacto.

No interior do cartão de plástico encontram-se dois componentes importantes: um chip seguro e uma antena. A antena percorre normalmente grande parte do cartão, para que possa acoplar-se ao campo eletromagnético produzido pelo terminal.

O chip contém a aplicação de pagamentos e as informações protegidas necessárias para as transações de pagamento. É capaz de realizar operações criptográficas, em vez de funcionar como uma simples memória legível.

Isto também explica por que razão danificar a antena pode impedir o pagamento sem contacto, mesmo quando os contactos visíveis do chip na parte da frente do cartão ainda funcionam. O pagamento com contacto, através dos contactos metálicos, e o pagamento sem contacto utilizam interfaces físicas diferentes para comunicar com o chip.

Então, um cartão bancário sem contacto é um Cartão NFC?

Para utilização normal, sim: trata-se de um cartão que utiliza a tecnologia NFC/sem contacto a 13,56 MHz. Mais precisamente, é um cartão inteligente de pagamento seguro concebido para transações sem contacto EMV, e não uma etiqueta NFC de uso geral.

Que informações são trocadas durante um pagamento NFC?

Por vezes, diz-se que os cartões sem contacto se limitam a “enviar os dados do cartão”. Essa descrição omite a parte mais importante do processo.

Algumas informações de pagamento podem ser transmitidas durante a transação. A Visa, por exemplo, afirma que os seus cartões sem contacto podem transmitir o número da conta, a data de validade e um código único que muda em cada transação efetuada presencialmente.

A distinção importante reside entre as informações relativamente estáticas da conta e os dados dinâmicos relativos à segurança das transações.

As informações da conta identificam a conta de pagamento. O valor criptográfico gerado dinamicamente ajuda o emissor a determinar se a transação provém de uma credencial de pagamento válida e se os dados da transação são válidos.

Assim, uma transação sem contacto capturada não fornece a outro dispositivo um criptograma reutilizável que possa ser simplesmente apresentado novamente para uma nova transação EMV sem contacto. O valor de segurança está ligado à transação específica.

Isso não significa que as informações de pagamento devam ser tratadas como não confidenciais. Significa que a segurança do sistema EMV sem contacto não se baseia apenas em manter o número do cartão em segredo.

Como funcionam os pagamentos NFC em telemóveis e relógios inteligentes

Um telemóvel pode comunicar com o mesmo tipo de terminal de pagamento sem contacto, mas não apresenta necessariamente a mesma credencial de pagamento que o cartão físico guardado na sua carteira.

As carteiras móveis recorrem frequentemente à tokenização de pagamentos.

Quando um cartão compatível é adicionado ao Google Pay, por exemplo, pode ser atribuído ao dispositivo um token de dispositivo, também designado por DPAN ou número de conta virtual. A Google afirma que, durante um pagamento por NFC, é este token de dispositivo que é enviado ao terminal, em vez do número de conta principal efetivo do cartão.

O Apple Pay utiliza uma abordagem semelhante, específica para cada dispositivo. A Apple afirma que um Número de Conta do Dispositivo é armazenado no Elemento Seguro do dispositivo e é utilizado em conjunto com dados de segurança dinâmicos específicos da transação. O número real do cartão de pagamento não é enviado pelo dispositivo durante uma transação do Apple Pay.

O procedimento geral de pagamento continua a ser o habitual:

Telemóvel → terminal de pagamento NFC → rede de pagamentos → emissor

O que muda é a credencial apresentada pelo dispositivo.

Os telemóveis e os relógios também podem incluir a verificação do titular do cartão ao nível do dispositivo. Dependendo do dispositivo e da carteira digital, o utilizador pode autenticar-se através do Face ID, de uma impressão digital, de um código de acesso ou de outro método aprovado antes de a credencial de pagamento ser utilizada.

A interface NFC continua, portanto, a ser apenas uma parte do pagamento móvel. Por trás dela, funcionam o hardware seguro, o fornecimento de tokens, a autenticação do utilizador e o processamento pela rede de pagamentos.

O pagamento sem contacto requer sempre um PIN?

Não. A necessidade de introduzir um PIN ou de utilizar outro método de verificação do titular do cartão depende de fatores como o montante da transação, as regras do emissor, a configuração do terminal, as regras da rede de pagamentos e a regulamentação local. Uma transação com cartão sem contacto pode, por vezes, exigir que o cliente introduza um PIN. Num telemóvel ou num relógio inteligente, a verificação bem-sucedida por meio de dados biométricos ou de um código de acesso pode servir como Método de Verificação do Titular do Cartão por Dispositivo do Consumidor, vulgarmente designado por CDCVM.

Cartões de pagamento NFC vs. etiquetas NFC normais

Um cartão bancário sem contacto e um cartão normal Etiqueta NFC Podem ambos comunicar na frequência de 13,56 MHz, mas as suas capacidades são muito diferentes.

Os chips NFC padrão, como o NTAG213, o NTAG215 e o NTAG216, são etiquetas do Tipo 2 do NFC Forum. Oferecem memória de utilizador para aplicações como publicidade inteligente, interação com produtos, autenticação e outras experiências NFC. São compatíveis com estruturas de dados NDEF que os telemóveis compatíveis podem ler.

Por exemplo, um NTAG213 pode conter um URL como:

https://example.com/pay/order123

Quando um cliente toca na etiqueta, o telemóvel abre essa página e o cliente pode prosseguir para o pagamento online.

A etiqueta NFC ajudou a iniciar o processo de pagamento, mas a própria etiqueta não efetuou uma transação com cartão bancário EMV. Limitou-se a fornecer os dados que direcionaram o telemóvel para o serviço de pagamento.

A mesma ideia pode ser aplicada em restaurantes, quiosques automáticos, embalagens de produtos, sistemas para eventos ou outras aplicações em que basta um toque para ligar um objeto físico a uma página de pagamento online.

Algumas organizações também utilizam cartões ou dispositivos sem contacto em sistemas de circuito fechado, nos quais a credencial identifica uma conta dentro da própria plataforma dessa organização. Os cartões de transportes públicos, os sistemas de campus, os sistemas de valor pré-carregado e aplicações semelhantes podem utilizar chips sem contacto seguros e com maior capacidade. Estes sistemas não devem, no entanto, ser confundidos com a emissão de um cartão bancário normal que funcione nas redes Visa, Mastercard ou noutra rede de pagamentos aberta.

Como é que os pagamentos NFC são protegidos?

A segurança dos pagamentos sem contacto assenta nas credenciais de pagamento e na troca criptográfica, e não apenas na curta distância de leitura da tecnologia NFC.

Criptogramas específicos de transação

As transações com chip EMV geram dados de segurança para cada transação individual. A EMVCo descreve o criptograma como um valor único que ajuda o emissor e o terminal a autenticar a transação.

Se alguém registar uma transação válida, esse valor criptográfico não pode ser simplesmente reutilizado como o criptograma válido para outra transação.

Chaves criptográficas protegidas

As chaves utilizadas para gerar criptogramas de pagamento válidos estão protegidas na credencial de pagamento, em vez de serem transmitidas abertamente sempre que o cartão é lido.

O emitente ou a rede de pagamentos podem utilizar as informações correspondentes para verificar o criptograma durante o processamento da transação.

Tokenização em dispositivos móveis

As carteiras digitais acrescentam uma camada adicional de segurança, substituindo o número de conta principal do cartão físico por um token de pagamento específico do dispositivo.

Tanto o Apple Pay como o Google Pay utilizam credenciais de pagamento específicas do dispositivo para os pagamentos sem contacto suportados. A perda da credencial do dispositivo não implica, portanto, a divulgação do número do cartão original utilizado para o carregar.

É precisamente esta combinação de credenciais seguras, dados dinâmicos de transação e verificação do emissor que faz com que o pagamento por NFC não deva ser entendido como um leitor que se limita a ler um cartão bancário e a confiar no número que recebe.

Onde é utilizado o pagamento por NFC?

O mesmo processo básico de pagamento sem contacto pode ser utilizado em qualquer local onde esteja disponível um terminal de pagamento compatível e uma infraestrutura de pagamento adequada.

As lojas de retalho e os restaurantes são os exemplos mais conhecidos. Os terminais sem contacto também são comuns em máquinas de venda automática, sistemas de estacionamento, quiosques de autoatendimento e outros pontos de pagamento sem assistência.

Os transportes públicos constituem outra utilização importante. Alguns sistemas aceitam cartões bancários sem contacto comuns ou carteiras digitais diretamente na catraca. Estes são frequentemente designados por sistemas de circuito aberto, uma vez que utilizam credenciais de pagamento já existentes emitidas pelos bancos.

Outros sistemas de transportes, do campus, de hotelaria e de espaços de eventos emitem os seus próprios cartões ou credenciais. Estes são circuito fechado sistemas em que o operador controla a credencial e a conta a ela associada.

Embora ambos possam utilizar tecnologia sem contacto, é o sistema financeiro subjacente à operação que determina o que o cartão ou dispositivo pode realmente fazer.

Conclusão

A tecnologia NFC proporciona a ligação sem fios que permite que um cartão, um telemóvel ou um relógio inteligente comunique com um terminal de pagamento. O chip de pagamento ou a carteira digital fornecem as credenciais de segurança, o terminal transmite a transação para a rede financeira e o emissor decide se a autoriza ou não.

Essa divisão de funções é igualmente importante na escolha da tecnologia NFC para um projeto. Uma etiqueta NFC programável pode redirecionar um cliente para uma página de pagamento ou outro serviço digital, enquanto o pagamento direto com cartão bancário requer as credenciais seguras e a infraestrutura de um sistema de pagamento dedicado.