O risco de depender de um único adquirente: lições do apagão da Stone em março de 2026

Sexta-feira, 13 de março de 2026. O relógio marcava 18h37 em São Paulo. Os bares da Vila Madalena começavam a lotar para o happy hour. No ambiente digital, os e-commerces aceleravam as campanhas de fim de semana, queimando orçamento de mídia no Google e na Meta para atrair tráfego. Tudo corria dentro da normalidade frenética do varejo brasileiro, até que os terminais POS verdes começaram a exibir a mensagem "Erro de Comúnicação".

Nos bastidores das lojas virtuais, a situação era ainda mais caótica. As APIs de pagamento retornavam o impiedoso código HTTP 503 (Service Unavailable). O webhook de confirmação de captura simplesmente emudeceu. A Stone, player gigante que processa mais de R$ 400 bilhões anuais e detém cerca de 11% do market share de adquirência no Brasil, sofreu um apagão sistêmico.

Foram 4 horas e 17 minutos de escuridão transacional.

Nós, que cobrimos a infraestrutura do mercado financeiro há mais de 15 anos, vimos o pânico se instalar nos grupos de WhatsApp de diretores de e-commerce (C-levels). Lojistas que dependiam exclusivamente da Stone para processar cartões de crédito e Pix viram suas taxas de conversão despencarem para zero. Carrinhos abandonados se acumularam. O dinheiro da mídia foi jogado no lixo. Clientes frustrados migraram para concorrentes em questão de cliques.

O que aconteceu naquela sexta-feira não foi um raio caindo no mesmo lugar. Foi a materialização de um risco sistêmico que muitos CTOs e CFOs ignoram deliberadamente em troca de alguns pontos-base (bps) de desconto nas taxas de MDR (Merchant Discount Rate). Vamos dissecar esse evento e entender como a arquitetura de pagamentos do seu negócio precisa evoluir imediatamente.

A anatomia de um apagão financeiro

Para entender a gravidade do evento de março de 2026, precisamos olhar para as engrenagens do sistema de pagamentos. Uma transação de cartão de crédito não é um evento simples. Ela é uma coreografia digital complexa que envolve o lojista, o gateway, o adquirente, a bandeira (Visa, Mastercard, Elo) e o banco emissor.

Quando um adquirente como a Stone, Cielo, Rede ou Getnet cai, a ponte principal entre o varejista e as bandeiras desaba. Naquele fatídico dia 13, o problema não foi um ataque DDoS (Distributed Denial of Service) ou um ransomware. Informações de bastidores apontaram para uma falha em cascata durante um deploy de atualização nos microsserviços de autorização, que causou um gargalo no roteamento interno BGP.

A infraestrutura de pagamentos moderna é baseada em nuvem (AWS, Azure, GCP). Os adquirentes vendem a promessa do SLA (Service Level Agreement) de 99,99% de uptime. Na matemática fria, 99,99% de disponibilidade permite apenas 52 minutos de inatividade por ano. A Stone queimou sua cota de meia década em uma única tarde.

Se você opera um e-commerce que fatura R$ 100 mil por hora, um apagão de 4 horas significa R$ 400 mil que evaporaram. A perda não é apenas o faturamento não realizado. Você precisa contabilizar o custo de aquisição de clientes (CAC) desperdiçado, o dano à reputação da marca e o custo de suporte para atender centenas de clientes com transações pendentes ou duplicadas.

O mito do "Adquirente Parceiro Único"

Por que tantas empresas grandes caíram nessa armadilha? A resposta está na mesa de negociação financeira.

O mercado de adquirência no Brasil é uma guerra sangrenta por volume (TPV - Total Payment Volume). Quando um varejista senta para negociar taxas, o executivo comercial do adquirente joga uma isca irresistível: "Se você me der 100% da sua liquidação de cartões e assinar uma exclusividade, eu derrubo sua taxa de crédito à vista de 1,20% para 0,95%".

O CFO olha para a planilha, vê uma economia anual de milhões de reais na linha de despesas financeiras e assina o contrato. O CTO até tenta alertar sobre o risco de single point of failure (ponto único de falha), mas a redução de custos fala mais alto. A ilusão da parceria estratégica cega a gestão de riscos.

Essa exclusividade cria um "lock-in" perigoso. A integração com APIs legadas, a dependência de dashboards proprietários para conciliação e a antecipação de recebíveis amarrada a um único domicílio bancário transformam a troca de adquirente em um projeto de TI de seis meses. Quando a tela do checkout trava, o lojista não tem para onde correr. Ele senta, atualiza o status page do fornecedor e reza.

Arquitetura Multi-Adquirente: A vacina contra o caos

A sobrevivência no varejo digital exige paranoia. Assumir que seu parceiro de pagamentos vai falhar não é pessimismo, é engenharia de software básica. A resposta técnica para o apagão da Stone — ou de qualquer outro player — atende pelo nome de redundância ativa através de arquitetura multi-adquirente.

Em vez de plugar seu e-commerce diretamente na API de um único adquirente, você introduz uma camada de inteligência: o gateway ou o orquestrador de pagamentos.

Roteamento dinâmico (Smart Routing)

O roteamento dinâmico permite que você tenha contratos com dois, três ou quatro adquirentes simultaneamente (ex: Stone, Cielo, Adyen, e PagSeguro). O orquestrador analisa cada transação em milissegundos e decide para onde enviá-la com base em regras de negócio preestabelecidas.

A mágica acontece nos critérios de roteamento. Você pode configurar o sistema para enviar cartões do Banco Itaú para a Rede (aumentando a taxa de aprovação, pois são do mesmo conglomerado), cartões Visa para a Cielo e usar a Stone para as demais bandeiras, otimizando as taxas MDR. Isso já paga a conta da tecnologia no longo prazo.

Retentativa transparente (Failover automático)

Aqui está o antídoto direto para o apagão. Na configuração de failover, se o orquestrador envia uma transação de R$ 500 para o adquirente primário (Stone) e recebe um timeout ou um erro 5xx, ele não devolve a mensagem de "Pagamento Recusado" para o cliente.

Em fração de segundos, o sistema executa uma retentativa automática (retry) em um adquirente secundário (como a Getnet). O cliente na ponta, olhando para a tela do celular, vê apenas a roleta de carregamento girar por dois segundos a mais antes de receber o "Pagamento Aprovado". Você salvou a venda, manteve a experiência do usuário intacta e isolou o problema de infraestrutura do seu parceiro.

Orquestradores e Gateways: Quem é quem na fila do pão

Implementar essa inteligência dentro de casa construindo integrações diretas com múltiplos adquirentes é um dreno de recursos de engenharia. O mercado brasileiro hoje conta com players especializados em abstrair essa complexidade.

Observamos a ascensão meteórica de plataformas de orquestração como Yuno e de gateways robustos como Braspag, Pagar.me (quando usado como gateway puro) e Vindi. O papel dessas ferramentas é fornecer uma única API (uma única porta de entrada) para o seu e-commerce, enquanto eles gerenciam a teia de conexões com os adquirentes nos bastidores.

O custo de transitar por um gateway geralmente adiciona entre R$ 0,10 e R$ 0,50 por transação, além de um percentual mínimo ou mensalidade. Voltando àquela negociação do CFO: o que parece um custo adicional é, na verdade, um prêmio de seguro baratíssimo contra apagões.

O pesadelo da conciliação resolvido

A principal objeção que ouvimos de diretores financeiros contra a arquitetura multi-adquirente é a complexidade contábil. "Se eu processar com três adquirentes diferentes, meu time de backoffice vai enlouquecer para bater as contas, verificar as taxas cobradas e fazer a conciliação bancária".

Essa era uma verdade absoluta em 2018. Agora, com a evolução das plataformas de conciliação financeira, esse argumento não se sustenta.

Empresas de software de conciliação integram-se diretamente aos EDI (Electronic Data Interchange) e APIs de liquidação de todos os adquirentes. Elas cruzam a venda no seu ERP, o processamento no gateway, a taxa cobrada pelo adquirente e o dinheiro que efetivamente caiu na conta corrente. Tudo de forma automatizada. A complexidade foi empurrada para o software, liberando o lojista para focar em redundância transacional sem perder o controle do fluxo de caixa.

A visão do Regulador: O recado do BACEN

O Banco Central do Brasil não observa esses incidentes de forma passiva. O BACEN tem apertado o cerco sobre a resiliência operacional das instituições de pagamento (IPs).

Conforme a Resolução CMN 4.893 (que trata da política de segurança cibernética e uso de serviços em nuvem), as instituições precisam ter planos de continuidade de negócios rigorosos. Quando um player do tamanho da Stone fica fora do ar por mais de 4 horas, sirenes tocam no Departamento de Competição e de Estrutura do Mercado Financeiro (Decem) do BACEN.

O regulador entende que a concentração excessiva cria risco sistêmico. Se 11% do PIB do varejo para, a economia sofre. Embora o BACEN não obrigue os varejistas a terem múltiplos adquirentes — a regulação foca nos provedores de serviço —, a mensagem nas entrelinhas para o mercado corporativo é clara: a infraestrutura nacional é robusta, mas os nós individuais vão falhar. O Pix, por exemplo, possui arquitetura descentralizada no DICT, mas se o app do seu banco cai, você não faz Pix. A redundância precisa existir na ponta do cliente.

O custo da resiliência vs. O custo do downtime

O apagão de março de 2026 nos deixou uma lição que não custa repetir: a disponibilidade de 100% é uma utopia estatística. A Amazon cai. O Google cai. A Stone caiu. A Cielo vai cair um dia.

A matemática da redundância é brutal e direta. Calcule o seu faturamento médio por hora. Multiplique por 4 (o tempo do outage). Esse é o seu risco financeiro imediato em um único evento. Agora compare isso com o custo de assinar um gateway agnóstico e manter uma conta ativa em um adquirente secundário.

Na nossa análise, o varejo brasileiro amadureceu à força. Quem perdeu centenas de milhares de reais naquela sexta-feira já mudou sua arquitetura. Quem não foi afetado, porque não usava o adquirente em questão, não deve celebrar a sorte, mas sim usá-la como tempo hábil para se preparar.

A pergunta que você deve fazer ao seu time de tecnologia amanhã de manhã não é "qual é a nossa taxa no crédito?". A pergunta correta é: "Se o nosso adquirente principal puxar a tomada agora, em quantos segundos o failover automático entra em ação?". Se a resposta for gaguejada, seu balanço financeiro está caminhando na corda bamba sem rede de proteção.