Cartão

MuPag não recebe PAN nem CVV. No fluxo B2B direto, o lojista obtém o token no Asaas e o envia ao backend autenticado. No checkout hospedado, o comprador informa os dados do cartão na fatura oficial do Asaas, aberta pelo hosted_payment_url retornado pela sessão.

Regra de fronteira do fluxo B2B direto

• sk_* é obrigatória para criar a cobrança B2B direta.
• Envie um payer_ip literal atestado pelo lojista e a identidade completa do cliente (name, email e tax_id), mesmo quando informar customer.id.
• O fluxo opera somente em 1x, rejeita soft_descriptor e falha antes de efeitos quando a política exige 3DS.
• Nunca grave número completo de cartão em log, analytics ou suporte.

Quando usar

• Cobranças com payment_method: "credit_card"
• POST /v1/subscriptions/{id}/update-card para trocar o token salvo

Checkout hospedado

Sessões de checkout aceitam PIX e cartão à vista quando o lojista possui integração real disponível. O frontend abre o hosted_payment_url oficial; não coleta cartão, CVV nem token PSP. Contas exclusivamente simuladas não oferecem essa fatura: use PIX nesses cenários. Consulte o status da sessão ou aguarde o webhook para confirmar o pagamento.