Cartão

MuPag não recebe PAN nem CVV. Cartão existe apenas no fluxo B2B direto: o lojista obtém o token no Asaas, fora do checkout hospedado MuPag, e o envia ao backend autenticado.

Regra de fronteira

• sk_* é obrigatória para criar a cobrança B2B direta.
• Envie um payer_ip literal atestado pelo lojista e a identidade completa do cliente (name, email e tax_id), mesmo quando informar customer.id.
• O fluxo opera somente em 1x, rejeita soft_descriptor e falha antes de efeitos quando a política exige 3DS.
• Nunca grave número completo de cartão em log, analytics ou suporte.

Quando usar

• Cobranças com payment_method: "credit_card"
• POST /v1/subscriptions/{id}/update-card para trocar o token salvo

Sessões públicas de checkout são PIX-only e rejeitam cartão.