Visão geral da segurança da provisão de cartões
Quando um usuário adiciona um cartão de crédito, débito ou pré-pago (incluindo cartões de lojas) ao app Carteira da Apple, a Apple envia as informações do cartão com segurança, assim como outras informações sobre a conta e o dispositivo do usuário, à administradora do cartão ou provedor de serviços autorizado da administradora do cartão (geralmente a rede de pagamento). Com essas informações, a administradora do cartão (ou o provedor de serviços relacionado) determina se aprova o pedido do usuário para adicionar o cartão ao app Carteira da Apple. Como parte do processo de provisão do cartão, o Apple Pay usa três chamadas do lado do servidor para enviar e receber comunicações com a administradora ou rede de pagamento:
Campos Obrigatórios
Verificação do Cartão
Vínculo e Provisão
A administradora do cartão ou rede de pagamento usa essas chamadas para permitir que a administradora do cartão verifique, aprove e adicione cartões ao app Carteira da Apple. Essas sessões entre servidor e cliente usam TLS 1.2 ou posterior para transferir os dados.
Os números completos do cartão não são armazenados no dispositivo ou nos servidores do Apple Pay. Em vez disso, a administradora do cartão cria um Número de Conta do Dispositivo exclusivo, o envia criptografado para a Apple e o armazena no Secure Element. Esse Número de Conta do Dispositivo é criptografado de tal maneira que a Apple não consegue acessá-lo. O Número de Conta do Dispositivo é exclusivo e diferente da maioria dos números de cartões de crédito ou débito, já que a administradora do cartão ou rede de pagamento pode impedir seu uso em um cartão de tarja magnética, por telefone ou em sites. O Número de Conta do Dispositivo no Secure Element nunca é armazenado nos servidores do Apple Pay ou incluído no backup do iCloud. Ele permanece isolado:
De dispositivos que usam autenticação biométrica
Do Apple Watch
De computadores Mac com Apple Silicon que usam o Magic Keyboard com Touch ID
Para adicionar cartões ao Apple Watch para Apple Pay, usuários podem usar o app Apple Watch no iPhone ou o app da administradora do cartão. Para adicionar um cartão ao Apple Watch:
Quando emparelhado com um iPhone: o Apple Watch precisa estar dentro do alcance de comunicação do Bluetooth
Quando configurado sem um iPhone: o Apple Watch precisa ter acesso à internet via Wi‑Fi
Os cartões são registrados especificamente para uso com o Apple Watch e possuem um Número de Conta do Dispositivo próprio, armazenado no Secure Element do Apple Watch.
Quando cartões de crédito, débito ou pré-pagos (incluindo cartões de lojas) são adicionados, eles aparecem em uma lista de cartões durante o Assistente de Configuração em dispositivos que tenham uma sessão iniciada na mesma conta do iCloud. Tais cartões permanecem nessa lista pelo tempo em que estiverem ativos em ao menos um dispositivo. Os cartões são removidos dessa lista após terem sido removidos de todos os dispositivos por sete dias. Esse recurso requer que a autenticação de dois fatores esteja ativada na respectiva conta do iCloud.