TacoPay / Trust & Infrastructure Confiança & Infraestrutura / Security Architecture Arquitetura de Segurança
BANK-GRADE SECURITY ARCHITECTURE ARQUITETURA DE SEGURANÇA BANCÁRIA

Security & Compliance Architecture

How TacoPay combines local mobile payment accessibility with institutional-grade cryptography, PCI-DSS compliant tokenization, and regulated card-issuing partners.

Arquitetura de Segurança & Conformidade

Como a TacoPay combina a facilidade de recargas móveis em moeda local com criptografia de padrão financeiro, tokenização compatível com PCI-DSS e parceiros emissores regulados.

Encryption Standard: Criptografia: TLS 1.3 & AES-256
Card Vault: Cofre de Cartões: PCI-DSS Level 1 Partner
Audited by Didit KYC Auditado por Didit KYC

Prepaid Platform Model & Partner Infrastructure

Plataforma de Cartões Virtuais Pré-Pagos & Infraestrutura

TacoPay is positioned as a digital prepaid virtual card platform. We offer a specialized digital application allowing users to acquire credits to reload prepaid virtual cards and perform international payments. Customers pay in local currency (Meticais) via accepted mobile options (M-Pesa, e-Mola) or USDT, while virtual card issuance and USD balance custody/management are directly ensured and operated by regulated partner providers. This model provides maximum security through role segregation between local top-up gateways and licensed card issuers.

A TacoPay posiciona-se como uma plataforma de cartões virtuais pré-pagos. Disponibilizamos uma plataforma digital que permite aos utilizadores adquirir créditos para carregar cartões virtuais e efetuar pagamentos internacionais. Os clientes pagam em meticais através dos meios de pagamento disponíveis (como M-Pesa e e-Mola) ou USDT Cripto, enquanto a emissão dos cartões e a gestão do saldo em dólares são asseguradas pelo provedor parceiro devidamente licenciado. Este desenho operacional garante o mais alto padrão de segurança através da segregação de responsabilidades entre o gateway de aquisição de créditos e o emissor financeiro institucional.

1. Segregated Architecture & Regulated Issuing Partners

Security at TacoPay begins with strict operational and architectural segregation:

  • TacoPay Front-End & Credit Acquisition Engine: Manages mobile money checkouts in Meticais (M-Pesa, e-Mola), decentralized crypto confirmations, and the customer user interface.
  • Regulated Card Issuing Partners: Manage card generation on the Visa and Mastercard networks, hold USD currency reserves in regulated custodial bank accounts, and process authorization requests with zero counterparty risk.
Why this matters: By decoupling credit acquisition from card issuing infrastructure, user funds remain shielded within regulated custodial frameworks while allowing users to top up seamlessly from local mobile wallets.

2. PCI-DSS Level 1 Compliant Card Tokenization

TacoPay enforces strict Payment Card Industry Data Security Standard (PCI-DSS) tokenization practices:

  • Primary Account Numbers (PAN 16 digits) and CVVs are stored exclusively inside PCI-DSS Level 1 certified hardware security modules (HSM) managed by our partner issuer.
  • TacoPay application databases never store raw unencrypted card numbers or CVV codes.
  • Dynamic display on user devices occurs via short-lived, cryptographically signed tokens that expire immediately upon viewing.

3. Cryptographic Standards (TLS 1.3 & AES-256)

All digital communications and persistent records are protected with industry-leading cryptographic ciphers:

  • In Transit: Transport Layer Security (TLS 1.3) with Elliptic Curve Cryptography (ECDHE) providing Perfect Forward Secrecy (PFS). All HTTP traffic is forced to HTTPS with HSTS preloading.
  • At Rest: AES-256 encryption across all storage volumes, automated database backups, and key management systems.
  • Authentication: Passwords are protected using salted key-derivation hashing functions with high memory-cost parameters (argon2/bcrypt).

4. Identity Verification & Fraud Prevention via Didit KYC

To keep malicious actors off the platform and prevent account takeovers, TacoPay collaborates with Didit KYC:

  • Government Document Verification: Real-time hologram, font, and MRZ authenticity verification for Mozambican IDs, Passports, and driving licenses.
  • Biometric Liveness Detection: 3D facial depth mapping to guarantee the person opening the account is physically present and matches their official ID.
  • Sanctions & PEP Screening: Automated screening against international sanctions lists (UN, OFAC, EU) and politically exposed persons registries.

5. Local Top-Up Protection (M-Pesa, e-Mola & USDT)

Reloading prepaid card credits is hardened against unauthorized interception:

  • Mobile Money Push (STK / USSD): Recharging via M-Pesa or e-Mola triggers an operator-signed confirmation dialog directly on your phone handset, requiring your private mobile wallet PIN. TacoPay never sees or asks for your mobile money PIN.
  • Blockchain Cryptographic Reconciliations: USDT deposits require multiple consensus block confirmations on audited smart contract chains before credit issuance.

6. Real-Time User Controls on the TacoPay App

Users have immediate protective switches at their fingertips:

  • Instant 1-Click Card Freeze: Temporarily disable your card in seconds from the app. Any merchant attempting a charge while frozen is instantly declined at zero cost.
  • Dynamic Spending Limits: Set weekly and monthly expenditure limits to protect against unexpected renewals or runaway ad campaign budgets.
  • Real-Time Transaction Push Alerts: Receive immediate notifications whenever an authorization or reload takes place.

7. Cloud Infrastructure, DDOS Defense & Zero Trust

Our cloud architecture is hardened against external threats:

  • Distributed DDOS Mitigation: Intelligent traffic scrubbing and rate limiting powered by enterprise web application firewalls (WAF).
  • Principle of Least Privilege (Zero Trust): Strict internal access controls requiring multi-factor authentication (MFA) with FIDO2 hardware keys.
  • Automated Intrusion Detection: 24/7 automated log parsing and anomaly detection systems alerting on abnormal velocity spikes.

8. Responsible Vulnerability Disclosure & Bug Bounty

We welcome collaboration with the ethical security research community:

  • If you identify a security flaw or vulnerability in TacoPay, report it promptly to security@tacopay.co.
  • We request that researchers act in good faith and avoid accessing user data, disrupting services, or publicly disclosing findings prior to coordinated patching.

1. Arquitetura Segregada & Parceiros Emissores Regulados

A segurança da TacoPay baseia-se numa separação técnica e operacional rigorosa:

  • Plataforma TacoPay & Gateway de Créditos: Gere as recargas em Meticais através de canais móveis (M-Pesa, e-Mola), reconciliações de depósitos USDT e a interface amigável do cliente.
  • Provedores Parceiros Emissores Licenciados: Emitem os cartões virtuais nas redes internacionais Visa e Mastercard, mantêm os fundos em Dólares (USD) em contas de custódia reguladas e processam autorizações globais com segurança bancária.
Vantagem para o Utilizador: A separação entre o meio de pagamento local e o emissor do cartão garante que os seus fundos em dólares desfrutam da máxima proteção regulatória institucional internacional.

2. Tokenização de Cartões Compatível com PCI-DSS Nível 1

Adotamos os mais rigorosos padrões da indústria de pagamentos com cartões (PCI-DSS):

  • Os números de 16 dígitos e códigos de segurança (CVV) residem em módulos de segurança em hardware (HSM) certificados PCI-DSS Nível 1 mantidos pelo provedor parceiro.
  • A TacoPay não guarda nos seus servidores próprios os dados completos do cartão em texto plano.
  • A visualização dos dados na aplicação móvel é efetuada mediante tokens temporários que expiram automaticamente após a consulta.

3. Padrões Criptográficos Avançados (TLS 1.3 & AES-256)

Todas as comunicações e bases de dados utilizam criptografia de ponta:

  • Dados em Trânsito: Conexões protegidas pelo protocolo TLS 1.3 com chaves criptográficas de curvas elípticas e suporte a Perfect Forward Secrecy (PFS). Todo o tráfego é forçado a HTTPS com HSTS.
  • Dados em Repouso: Criptografia de nível militar AES de 256 bits aplicada a todas as bases de dados, partições e cópias de segurança.
  • Credenciais de Utilizadores: Senhas protegidas através de funções de hash modernas e seguras (argon2/bcrypt) com salt exclusivo por utilizador.

4. Validação de Identidade e Prevenção de Fraudes (Didit KYC)

Para assegurar a idoneidade da rede e prevenir a criação de contas por terceiros não autorizados:

  • Validação Documental em Tempo Real: Verificação de autenticidade, hologramas e elementos de segurança em Bilhetes de Identidade moçambicanos, Passaportes e Cartas de Condução.
  • Prova de Vida Biométrica (Liveness Detection): Mapeamento facial 3D que comprova que o titular está fisicamente presente no momento da abertura da conta.
  • Triagem Internacional de Risco: Verificação automática em listas de sanções globais (ONU, OFAC) e registos de Pessoas Politicamente Expostas (PEP).

5. Proteção nas Recargas Móveis (M-Pesa, e-Mola e USDT)

O processo de recarga de créditos pré-pagos foi desenhado para eliminar riscos de captura indevida:

  • Notificação Móvel Direta (STK Push): Ao recarregar via M-Pesa ou e-Mola, a transação exige a introdução do seu PIN pessoal diretamente no ecrã seguro do seu telemóvel. A TacoPay nunca tem acesso nem armazena o seu PIN móvel.
  • Validação Criptográfica Blockchain: Depósitos em USDT requerem múltiplas confirmações de bloco na rede para garantir irrevogabilidade e crédito seguro.

6. Controlo Total nas Mãos do Utilizador

O utilizador tem autonomia absoluta sobre a segurança do seu cartão na plataforma:

  • Congelamento Instantâneo com 1 Clique: Congele o seu cartão a qualquer momento. Tentativas de cobrança com o cartão congelado são recusadas imediatamente sem qualquer custo.
  • Limites Dinâmicos de Gastos: Configure tetos de despesas semanais para evitar cobranças automáticas indesejadas de assinaturas.
  • Notificações Instantâneas: Receba alertas em tempo real no seu telemóvel a cada recarga ou compra aprovada.

7. Infraestrutura em Nuvem, Defesa Anti-DDoS e Zero Trust

Os servidores da plataforma encontram-se protegidos contra ameaças externas:

  • Mitigação Anti-DDoS Distribuída: Filtragem de tráfego malicioso e proteção com firewalls de aplicações web (WAF) corporativos.
  • Arquitetura Zero Trust: Acesso restrito interno com autenticação multifator (MFA) obrigatória baseada em chaves físicas FIDO2.
  • Monitorização Ativa 24/7: Rastreamento contínuo de logs de auditoria e alertas imediatos perante desvios de padrão ou picos de velocidade anômalos.

8. Divulgação Responsável e Contacto de Segurança

Incentivamos e valorizamos a colaboração com especialistas em cibersegurança:

  • Caso identifique qualquer potencial vulnerabilidade na TacoPay, solicitamos o envio imediato de detalhes para security@tacopay.co.
  • Pedimos que atue de boa-fé, não explorando dados de outros utilizadores nem divulgando a questão publicamente antes da devida mitigação pela nossa equipa de engenharia.