Confido Docs

Tokenização de cartão

Para que serve o POST /api/v1/card-tokens e como receber cartão sem tocar nos dados dele.

O que é

POST https://api.confidoscm.com/api/v1/card-tokens troca os dados do cartão por um token de uso único, que vale por 10 minutos:

{ "number": "4111111111111111", "holder": "MARIA DA SILVA", "expMonth": 12, "expYear": 2030, "cvv": "123" }

{
  "data": {
    "token": "ctok_…",
    "brand": "visa",
    "last4": "1111",
    "bin": "411111",
    "expMonth": 12,
    "expYear": 2030,
    "expiresAt": "2026-11-03T18:10:00Z"
  },
  "timestamp": "2026-11-03T18:00:00Z"
}

Essa rota é a que o checkout hospedado da Confido (a página do checkoutUrl e dos links de pagamento) chama direto do navegador do comprador. Por isso ela:

  • não usa chave de API;
  • só aceita chamadas das páginas da Confido (CORS) e da documentação;
  • tem limite de 20 chamadas por minuto por IP.

E para quem integra pela chave de API?

O token não serve no POST /api/v1/payments com chave de API: mandar cardToken responde 403. Você tem dois caminhos:

Caminho Como Quem toca no cartão
Página de pagamento da Confido Crie a venda ou a cobrança e mande o comprador para o checkoutUrl, ou use um link de pagamento. Só a Confido
Cartão pelo seu servidor Mande o objeto card na venda (veja Vendas). O seu servidor (escopo PCI)

Se você não quer lidar com dados de cartão, use a página de pagamento: o comprador digita o cartão numa página da Confido, com a marca da sua loja, e você recebe o resultado por webhook.

Testar

O botão Testar da Referência chama a tokenização de verdade. Use só números de cartão de teste (como 4111111111111111): o token não cobra nada sozinho e vence em minutos.