API de certificados mTLS para autenticação de parceiros B2B.

Emita, renove e revogue certificados mTLS via API REST. CRL e OCSP responder hospedados em CDN dedicada. Trilha de auditoria incluída. Construído para fintechs brasileiras que autenticam dezenas a centenas de parceiros B2B em integrações privadas, sem ter que operar PKI internamente.

O caso de uso

Autenticação de parceiros B2B, em produção.

Fintechs brasileiras que integram com ecossistemas de parceiros, processadores de pagamento, subadquirentes, clientes BaaS, consumidores de serviços financeiros, enfrentam o mesmo problema operacional: dezenas a centenas de conexões mTLS autenticadas por certificado para gerenciar.

Onde o CA Manager se encaixa na sua stack

O que vem na caixa

Ciclo de vida completo do certificado, gerenciado.

De zero à produção

Seis passos, seis chamadas de API.

Um ciclo de vida completo de certificado, demonstrado. Autentique com um JWT bearer entregue após a assinatura no AWS Marketplace. API administrativa em https://ca.swepay.com.br; infraestrutura PKI (CRL, OCSP) em https://ca-cdn.swepay.com.br.

1. 0. Inicialize sua CA (uma única vez)

   Antes de emitir certificados, inicialize a Autoridade Certificadora privada do seu tenant. A chave raiz é gerada e armazenada em custódia criptográfica gerenciada dentro da infra da Swepay, não acessível externamente, não extraível.

   Requestbash

   curl -X POST https://ca.swepay.com.br/v1/ca/initialize \
     -H "Authorization: Bearer ${SWEPAY_JWT}" \
     -H "Content-Type: application/json" \
     -d '{
       "commonName": "Your Fintech Root CA",
       "organization": "Your Fintech S.A.",
       "country": "BR",
       "validityYears": 10
     }'

   Responsejson

   {
     "caId": "8f3c9b2e-1a4d-4e5f-9c8a-2b3d4e5f6a7b",
     "certificatePem": "-----BEGIN CERTIFICATE-----\nMIIDXTCCAk...",
     "expiresAt": "2036-05-22T14:30:00Z"
   }

2. 1. Emita um certificado de cliente

   Forneça atributos de identidade. O CA Manager gera o par de chaves e devolve o certificado em quatro formatos de entrega, escolha a que se encaixa no seu runtime.

   Requestbash

   curl -X POST https://ca.swepay.com.br/v1/certificates \
     -H "Authorization: Bearer ${SWEPAY_JWT}" \
     -H "Content-Type: application/json" \
     -d '{
       "clientId": "partner_001",
       "commonName": "partner.example.com",
       "organization": "Partner Inc",
       "organizationalUnit": "B2B Integrations",
       "country": "BR",
       "validityDays": 365,
       "responseFormat": "Text",
       "passwordProtected": true
     }'

   Responsejson

   {
     "certificateId": "a1b2c3d4-5e6f-7a8b-9c0d-1e2f3a4b5c6d",
     "serialNumber": "01:23:45:67:89:AB:CD:EF",
     "certificatePem": "-----BEGIN CERTIFICATE-----\nMIIDXT...",
     "privateKeyPem": "-----BEGIN PRIVATE KEY-----\nMIIE...",
     "expiresAt": "2027-05-22T14:30:00Z",
     "pfxBase64": "MIIK1QIBAzCC...",
     "password": "p@ssw0rd-Gen3rated"
   }

3. 2. Consulte o status de um certificado

   Obtenha detalhes completos do certificado por ID, status, validade, contagem regressiva de expiração.

   Requestbash

   curl https://ca.swepay.com.br/v1/certificates/a1b2c3d4-5e6f-7a8b-9c0d-1e2f3a4b5c6d \
     -H "Authorization: Bearer ${SWEPAY_JWT}"

   Responsejson

   {
     "certificateId": "a1b2c3d4-5e6f-7a8b-9c0d-1e2f3a4b5c6d",
     "status": "Active",
     "issuedAt": "2026-05-22T14:30:00Z",
     "expiresAt": "2027-05-22T14:30:00Z",
     "daysUntilExpiration": 365
   }

4. 3. Revogue um certificado

   Revogue com motivo seguindo a RFC 5280. O certificado entra na CRL em minutos.

   Requestbash

   curl -X POST https://ca.swepay.com.br/v1/certificates/a1b2c3d4-.../revoke \
     -H "Authorization: Bearer ${SWEPAY_JWT}" \
     -H "Content-Type: application/json" \
     -d '{
       "reason": "Private key suspected compromised on partner side",
       "reasonCode": "KeyCompromise"
     }'

   Responsejson

   {
     "certificateId": "a1b2c3d4-5e6f-7a8b-9c0d-1e2f3a4b5c6d",
     "revokedAt": "2026-05-23T10:15:00Z"
   }

5. 4. Monitore certificados que vão expirar

   Consulte certificados que expiram dentro de uma janela. Útil para automação proativa de renovação.

   Requestbash

   curl "https://ca.swepay.com.br/v1/certificates/expiring?days=30" \
     -H "Authorization: Bearer ${SWEPAY_JWT}"

   Responsejson

   {
     "days": 30,
     "certificates": [
       {
         "certificateId": "...",
         "commonName": "partner.example.com",
         "expiresAt": "2026-06-15T14:30:00Z",
         "daysUntilExpiry": 24
       }
     ]
   }

6. 5. Lado do parceiro: valide via OCSP

   O cliente mTLS do seu parceiro consulta o OCSP responder na CDN durante o handshake. RFC 6960 padrão.

   Requestbash

   openssl ocsp \
     -issuer ca.pem \
     -cert partner-cert.pem \
     -url https://ca-cdn.swepay.com.br/v1/tenants/${TENANT_ID}/ocsp \
     -resp_text

   Responsejson

   Response verify OK
   partner-cert.pem: revoked
     This Update: May 23 10:15:00 2026 GMT
     Revocation Time: May 23 10:15:00 2026 GMT
     Revocation Reason: keyCompromise (0x1)

Referência completa da API, spec OpenAPI e detalhes de arquitetura na página de desenvolvedores. Para perguntas técnicas, escreva para [email protected].

Pricing

Pague pelo que usar. Sem piso, sem surpresa em overage.

Os planos diferem pelo volume de certificados incluído. Todos os planos têm a mesma API, a mesma trilha de auditoria, o mesmo OCSP responder, o mesmo SLA de resposta de suporte. Assine e faça upgrade via AWS Marketplace.

Sejamos honestos sobre escopo

O que o CA Manager não é.

Infraestrutura financeira brasileira tem padrões que se sobrepõem. A gente quer que você saiba exatamente quando o CA Manager não é a ferramenta certa.

O CA Manager é usado em produção por processadores de pagamento brasileiros que autenticam integrações com parceiros B2B.

Quatro formas de começar.