SPI por dentro: a infraestrutura que processa 4.000 TPS sem cair

Imagine 4.000 pessoas transferindo dinheiro exatamente no mesmo segundo. Agora multiplique isso por 60 segundos, depois por 60 minutos, operando 24 horas por dia, 7 dias por semana, sem janela de manutenção que interrompa o serviço. No dia 6 de setembro de 2023, o Pix processou 152,7 milhões de transações em um único dia. Nos horários de pico, o volume ultrapassou a marca de 4.000 transações por segundo (TPS).

Nós acompanhamos o mercado financeiro há tempo suficiente para lembrar quando uma TED demorava horas e o sistema do Banco Central fechava pontualmente às 17h. A virada de chave que ocorreu em novembro de 2020 não foi apenas regulatória ou comercial. Foi um salto triplo carpado na engenharia de software nacional. O motor sob o capô dessa revolução atende por uma sigla discreta: SPI, ou Sistema de Pagamentos Instantâneos.

Operar um meio de pagamento que liquida valores em tempo real exige uma infraestrutura que beira a paranóia. O Banco Central não hospeda o SPI na nuvem pública. Não usa internet comum para tráfego de dados sensíveis. O nível de exigência técnica imposto aos bancos e fintechs criou um filtro natural no mercado: ou você tem uma arquitetura de altíssima resiliência, ou você está fora do jogo. Vamos abrir a caixa-preta dessa infraestrutura.

A anatomia do SPI: muito além de um banco de dados

O SPI não é um simples banco de dados relacional que atualiza saldos. Ele é um sistema de Liquidação Bruta em Tempo Real (LBTR). Isso significa que cada transação é liquidada individualmente, segundo a segundo, diretamente nas contas que as instituições financeiras mantêm no Banco Central — as chamadas Contas PI (Contas de Pagamentos Instantâneos).

A arquitetura central do SPI roda em datacenters próprios do Banco Central, localizados em Brasília e no Rio de Janeiro. Eles operam em um modelo ativo-ativo. Se um datacenter inteiro for desconectado da rede por uma falha catastrófica, o outro assume a carga total quase instantaneamente. Nós observamos que, ao contrário de sistemas mais antigos como o STR (usado para TED), o SPI foi desenhado do zero para escalabilidade horizontal.

O peso do padrão ISO 20022

Se você é desenvolvedor e olha para o Pix de fora, pode imaginar que os bancos trocam mensagens via APIs RESTful usando arquivos JSON levinhos. A realidade é bem diferente. O SPI útiliza o padrão global de mensageria financeira ISO 20022, baseado em XML.

XML é verboso. É pesado. Uma única mensagem de transferência (conhecida no jargão técnico como pacs.008) contém dezenas de campos obrigatórios, assinaturas digitais complexas e metadados. Por que o Bacen escolheu um formato mais pesado em vez de um JSON ágil? Interoperabilidade e segurança. O padrão ISO 20022 é o mesmo adotado na Europa (SEPA Instant) e, mais recentemente, pelo FedNow nos Estados Unidos. A padronização garante que não haja ambiguidade em nenhum campo financeiro.

A Rede do Sistema Financeiro Nacional (RSFN)

Nenhuma transação do SPI trafega pela internet pública. Os Participantes Diretos do Pix precisam contratar links de telecomúnicações dedicados para se conectar à RSFN (Rede do Sistema Financeiro Nacional). Trata-se de uma intranet gigantesca e ultra-segura, operada via redes MPLS (Multiprotocol Label Switching) fornecidas por empresas homologadas.

O custo de manter portas duplas de conexão (para redundância) na RSFN não é trivial. Estamos falando de dezenas de milhares de reais mensais apenas em infraestrutura de rede, sem contar os servidores. É o preço do ingresso para brincar na mesa dos adultos do sistema financeiro.

O SLA implacável de 99,9% do Banco Central

A Resolução BCB nº 1/2020 define as regras do jogo. E as regras são brutais. O Banco Central exige que os participantes do Pix mantenham uma disponibilidade mínima de 99,9% do tempo.

Na matemática fria dos servidores, 99,9% de uptime significa que o sistema de um banco como Nubank, Itaú ou Mercado Pago só pode ficar fora do ar por, no máximo, 43 minutos e 49 segundos por mês. Passou disso? A instituição está sujeita a penalidades que vão desde multas pesadas até a suspensão operacional no ecossistema.

A regra dos 10 segundos

Existe uma métrica interna no SPI que tira o sono dos CTOs das fintechs: o tempo máximo de liquidação. O regulamento exige que 99% das transações sejam concluídas em até 10 segundos.

Na prática, a média nacional de liquidação de um Pix hoje orbita a casa dos 2,5 segundos. Nesses 2,5 segundos, ocorre um balé tecnológico absurdo:

1. O banco do pagador consulta o DICT (Diretório de Identificadores de Contas Transacionais) para resolver a chave Pix.
2. O banco valida saldo e regras de fraude.
3. O banco assina a mensagem XML usando um HSM (Hardware Security Module).
4. A mensagem viaja pela RSFN até o Bacen.
5. O SPI debita a Conta PI do banco A e credita a Conta PI do banco B.
6. O SPI notifica o banco B.
7. O banco B notifica o recebedor no aplicativo.

Se qualquer etapa desse fluxo gargalar e o relógio bater 10 segundos, o SPI aborta a missão e envia uma mensagem de estorno (pacs.002 com status de rejeição). O dinheiro volta para o pagador. É por isso que, ocasionalmente, você vê a mensagem "Pix em processamento" no seu app, seguida de um estorno minutos depois.

HSMs e a criptografia em milissegundos

A segurança do SPI não depende apenas de senhas. Cada requisição enviada ao Banco Central precisa ser assinada digitalmente usando certificados ICP-Brasil. Para fazer isso na velocidade de milhares de vezes por segundo, softwares comuns não dão conta.

As instituições precisam investir em HSMs (Hardware Security Modules) — appliances físicos dedicados exclusivamente a realizar operações criptográficas. Um HSM de alta performance custa centenas de milhares de reais. Players gigantes do mercado brasileiro possuem racks inteiros de HSMs apenas para garantir que a assinatura do XML não adicione latência ao processo.

Participantes Diretos vs Indiretos: O pedágio da infraestrutura

Se você opera uma fintech de crédito, um e-commerce ou uma subadquirente, preste atenção aqui. Nem todo mundo que oferece Pix aos clientes está conectado diretamente ao SPI. Existe uma hierarquia estrutural.

Os Participantes Diretos são as instituições que possuem a Conta PI no Banco Central e conexão direta à RSFN. Bancos tradicionais (Bradesco, Santander, Caixa) e os grandes bancos digitais e adquirentes (Nubank, Inter, Stone, PagSeguro) estão nessa categoria. Eles arcam com todo o custo de infraestrutura pesada, HSMs e links dedicados.

Os Participantes Indiretos são instituições menores (muitas SCDs e instituições de pagamento recém-autorizadas) que oferecem Pix ao usuário final, mas usam a "estrada" de um Participante Direto. Eles se conectam via APIs comerciais a liquidantes como Banco Rendimento, Celcoin ou Fitbank.

O modelo indireto poupa a fintech de investir milhões em infraestrutura de mensageria ISO e links RSFN. O trade-off? Latência ligeiramente maior (adiciona-se um intermediário na fila) e o pagamento de tarifas por transação ao liquidante.

O que acontece quando a rede falha?

O SPI é robusto, mas o ecossistema é complexo. Falhas acontecem. Quando o Pix de um grande banco fica fora do ar, raramente o problema é no Banco Central. Na nossa análise histórica dos últimos três anos, 99% das quedas noticiadas foram falhas nos sistemas internos das próprias instituições financeiras — problemas em bancos de dados locais, falhas de deploy de software ou sobrecarga nas APIs de front-end.

O Bacen possui mecanismos rigorosos de contingência. Se o DICT (banco de dados das chaves) enfrentar instabilidade, as instituições podem operar usando inserção manual de dados (agência e conta) para não parar a liquidação financeira no SPI.

Se a Conta PI de um banco ficar sem saldo durante a madrugada, o SPI enfileira a transação e o banco entra em um cheque especial intradia fornecido pelo próprio Bacen (usando títulos públicos como garantia), tudo automatizado para que o usuário final não sinta o impacto.

Implicações práticas para o seu negócio

A infraestrutura do SPI mudou a dinâmica do varejo. Antes de 2020, o e-commerce brasileiro sofria com o boleto bancário — que prendia o estoque por até 3 dias úteis e tinha taxas de conversão sofríveis (cerca de 50% dos boletos emitidos nunca eram pagos).

Hoje, o Pix representa mais de 40% das compras online no Brasil. A conversão de um QR Code Pix no checkout passa dos 90%. A liquidação em 2,5 segundos permite que a nota fiscal seja emitida instantaneamente e o produto vá para a transportadora no mesmo turno.

Contudo, essa dependência cria um risco operacional. Se a sua API de recebimento Pix cai durante uma Black Friday, o prejuízo é contabilizado por minuto. Varejistas sofisticados já operam com redundância de adquirentes — se a integração Pix do provedor A apresentar timeout (estourar os 10 segundos do SPI), o checkout roteia automaticamente o QR code para o provedor B.

Rumo aos 10.000 TPS: O futuro da infraestrutura

O volume atual de 4.000 TPS em horários de pico é apenas o aquecimento. O Banco Central planeja colocar novas cargas pesadas sobre o SPI nos próximos anos.

A chegada do Pix Automático (agendado para o final de 2024 / início de 2025) introduzirá débitos recorrentes no sistema. Pense em milhões de contas de luz, água, academias e assinaturas de streaming sendo liquidadas simultaneamente nas madrugadas. Isso vai mudar a curva de tráfego do SPI, que hoje tem seu pico no horário comercial e na hora do almoço.

Além disso, o Projeto Nexus (iniciativa do BIS, o banco central dos bancos centrais) visa conectar o SPI brasileiro a sistemas de pagamentos instantâneos de outros países, como Malásia, Cingapura e Índia (UPI). O Pix Internacional exigirá que a infraestrutura lide com conversões cambiais e validações de compliance cross-border em tempo real.

Para suportar a meta não-oficial de 10.000 TPS nos próximos anos, os participantes estão modernizando suas arquiteturas. Observamos uma migração massiva de microsserviços legados para arquiteturas baseadas em eventos (usando Apache Kafka) dentro dos bancos, garantindo que os gargalos internos não estourem o SLA de 10 segundos do Bacen.

O SPI provou que o Brasil tem capacidade técnica para ditar o ritmo da inovação financeira global. Manter esse motor V8 rodando sem engasgar, com milhões de brasileiros girando a chave ao mesmo tempo, continuará sendo o maior desafio de engenharia do nosso mercado.