Pix fora do ar: quantas horas por mês a regra permite

Você anuncia a abertura do VIP para as 20h, a fila chega, e às 20h10 começam as mensagens: "o QR não gera", "deu erro no banco", "tentei três vezes". Nesse momento a pergunta parece ser o que aconteceu. A pergunta útil é outra: Pix fora do ar é um acidente raro ou algo que a própria regra do sistema já previa que ia acontecer?

Resposta primeiro: a norma prevê. O Manual de Tempos do Pix, publicado pelo Banco Central, fixa metas mensais de disponibilidade que vão de 99,5% a 95,0%, conforme o tamanho do participante. Nenhuma delas é 100%. Traduzido em relógio, o intervalo tolerado vai de 3 horas e 36 minutos a 36 horas paradas por mês, e quem processa o seu dinheiro tem uma dessas metas, não a sua expectativa.

Este artigo mostra o número exato por categoria, o que a meta deixa de fora (e por isso a sua sensação é pior que o índice), como descobrir de quem é a queda e o que fazer nos minutos em que ela dura.

Quantas horas por mês o Pix pode ficar fora do ar

Resposta primeiro: depende do tamanho de quem processa, e a diferença entre o maior e o menor é de dez vezes.

O Manual de Tempos do Pix, na versão 7.0, define o índice de disponibilidade como o índice que expressa, em termos percentuais, o grau de disponibilidade da infraestrutura necessária para prestar o serviço do Pix aos usuários finais. A conta é simples: horas de efetivo funcionamento divididas pelas horas em que o serviço deveria estar aberto, considerando funcionamento normal de 24 horas por dia, todos os dias do ano. A apuração é mensal.

As categorias saem do volume. Participantes com mais de 2,0% do total de transações liquidadas no ano anterior ficam na categoria A; entre 2,0% e 0,5%, na B; entre 0,5% e 0,1%, na C; os demais, na D. O Banco Central divulga o somatório do ano anterior no primeiro trimestre, e a categoria vale de julho do ano corrente a junho do seguinte.

Categoria	Meta mensal	Tempo parado tolerado
A	99,5%	3h36
B	99,0%	7h12
C	98,5%	10h48
D	95,0%	36h00

Antes de qualquer conclusão apressada: a categoria D não significa instituição ruim, significa instituição pequena no volume total do Pix. Muita fintech boa está lá. O que o número diz é outra coisa, e é a que interessa a quem vende: o compromisso formal do seu recebedor pode ser dez vezes mais frouxo que o do banco grande do seu assinante, e nenhum dos dois promete 100%.

O que a meta não cobre (e por isso a sua sensação é pior)

Resposta primeiro: o índice do participante exclui a queda dos sistemas centrais e a falha do celular do comprador. A sua venda não exclui nada disso.

O manual lista as exclusões do cálculo com todas as letras. Não deve ser considerada no índice a indisponibilidade decorrente de instabilidade no SPI, no DICT, na Rede do Sistema Financeiro Nacional ou em qualquer outro componente da infraestrutura sob responsabilidade do Banco Central. Também não entra a indisponibilidade decorrente de falha de conectividade do usuário final, do dispositivo dele ou dos aplicativos instalados nele. E não entram transações rejeitadas por falta de liquidez do participante, porque o índice considera apenas aspectos técnicos do serviço transacional.

O que entra é amplo do outro lado: o índice deve refletir o efeito conjunto de todas as partes que afetem a entrega do serviço e que sejam de responsabilidade do participante ou de seus parceiros, incluídos o provedor de serviços de tecnologia da informação e o eventual liquidante, independentemente da origem da indisponibilidade.

Os sistemas centrais têm metas próprias, e mais apertadas. O índice de disponibilidade do SPI tem meta de 99,9%. No DICT, a meta é 99,9% para consulta de chaves e 99,8% para as demais operações.

Há um detalhe de definição que explica muita reclamação sem registro. Para o SPI e para o DICT, considera-se indisponibilidade a situação em que um percentual igual ou superior a 80% das requisições é respondido com erro causado por eles, e que persista por mais de 36 segundos no SPI e por mais de 30 segundos no DICT. Uma instabilidade que derruba metade das cobranças, portanto, pode não caber nessa definição. Do seu lado, metade das cobranças perdidas é metade do faturamento da noite.

Como saber de quem é a queda

Resposta primeiro: teste em três camadas, de dentro para fora, antes de culpar o seu bot.

1. A sua própria cobrança. Gere um QR de teste com valor mínimo pela sua ferramenta. Se o código nasce, a camada de geração está viva.
2. O banco de quem paga. Peça a dois assinantes de instituições diferentes que tentem. Se falha em uma e passa na outra, o problema é do participante daquele lado, não seu.
3. O seu recebedor. Faça um Pix de valor pequeno de outra conta sua para a chave que recebe as vendas. Se ele não entra, o problema está em quem guarda o seu dinheiro.

Existe um apoio regulatório para essa investigação, e quase ninguém usa. Os Requisitos Mínimos para a Experiência do Usuário do Pix, na versão 7.3, obrigam o aplicativo de quem paga a ser honesto sobre a origem da falha: na ocorrência de erros de liquidação associados ao processamento, indisponibilidade do participante ou limite de tempo extrapolado, "deve ficar claro ao usuário que o erro decorre do próprio PSP". O mesmo documento manda informar o pagador quando houver falha de comunicação com o DICT. Traduzindo para a sua noite de vendas: quando o comprador manda o print da mensagem de erro, essa mensagem já deveria dizer de quem é o problema. Peça o print antes de assumir a culpa.

Guarde o horário de início e de fim de cada teste. Esse registro serve para duas coisas: reclamar com base em fato junto ao seu provedor, e separar queda de infraestrutura de um problema no seu fluxo. Quando o pagamento acontece mas o acesso não é liberado, o diagnóstico é outro, e ele está mapeado em pagou e não entrou no grupo VIP.

Quanto uma queda custa quando as vendas não são uniformes

Resposta primeiro: o custo não é proporcional ao tempo, é proporcional à hora em que a queda cai.

O erro de leitura mais comum é dividir a perda pelo mês. Se você faz 200 vendas em 720 horas, isso dá 0,28 venda por hora, e 3 horas e 36 minutos parados custariam 1 venda. É o cálculo que faz a indisponibilidade parecer irrelevante.

Só que venda de criador não é uniforme. Considere um lançamento em que 40% das vendas do mês, ou seja 80 vendas, acontecem em uma janela de 4 horas. Nessa janela, o ritmo é de 20 vendas por hora. As mesmas 3 horas e 36 minutos de queda, se caírem ali dentro, custam 72 vendas.

Setenta e duas contra uma, com exatamente o mesmo tempo de queda. É por isso que a defesa mais barata não é técnica, é de calendário: quanto mais concentrada a sua receita em uma janela curta, mais cara fica cada hora de instabilidade. Abrir a venda por 48 horas em vez de 4 não muda a disponibilidade de ninguém, mas divide o risco por doze.

O roteiro dos 30 minutos de queda

1. Avise antes de perguntarem. Uma mensagem no canal, dizendo que o pagamento está instável e que a oferta continua válida, evita a leitura de golpe.
2. Estenda o prazo publicamente. Se a oferta tinha hora para acabar, prorrogue e diga em quanto. Isso preserva a promessa sem inventar exceção caso a caso.
3. Não libere acesso por comprovante. Print não é confirmação. Durante instabilidade a confirmação chega atrasada, e o acesso liberado por print vira entrega sem recebimento.
4. Monte a fila de conferência. Anote quem disse que pagou, com horário. Quando o sistema voltar, você concilia em minutos em vez de garimpar.
5. Reabra com um empurrão. Quando voltar, avise no mesmo canal. Boa parte da fila não tenta de novo por conta própria.

O que exigir de quem processa o seu Pix

Resposta primeiro: pergunte pelo comportamento na falha, não pela promessa de que ela não acontece.

Três perguntas separam um fornecedor pronto de um fornecedor otimista:

• O que acontece com a cobrança gerada durante a queda? Ela expira, fica pendente ou é reprocessada quando o sistema volta? A resposta muda quanto da sua fila você recupera.
• A confirmação é reprocessada sozinha? Se a notificação de pagamento falhou, o sistema tenta de novo? Sem isso, cada queda vira trabalho manual seu.
• Existe registro do que aconteceu? Um histórico com horário permite discutir com fato. Sem histórico, cada episódio vira palavra contra palavra.

Vale ainda a pergunta estrutural, que é a de arquitetura da sua operação: quantas instituições precisam funcionar ao mesmo tempo para você receber? Depender de um caminho único tem custo próprio, tratado em o risco da conta única no recebimento. E o tempo entre a venda e o dinheiro disponível é um relógio diferente do da disponibilidade, mapeado em prazo para receber o dinheiro da venda.

Erros comuns

• Tratar instabilidade como exceção. A norma orça o tempo parado. Operação madura tem plano para ele.
• Prometer disponibilidade total ao assinante. Ninguém na cadeia promete 100%, então não prometa você.
• Liberar acesso por print durante a queda. É o erro mais caro do roteiro.
• Concentrar a receita em uma janela de poucas horas. Multiplica o custo de qualquer minuto parado.
• Culpar o bot antes de testar as três camadas. Trocar de ferramenta por causa de uma queda do participante não resolve nada.
• Não registrar horários. Sem registro, você não consegue nem reclamar nem conciliar.

Conclusão

Pix fora do ar não é falha de exceção, é um intervalo previsto: entre 3 horas e 36 minutos e 36 horas por mês, conforme a categoria de quem processa, e sem contar as quedas dos sistemas centrais, que têm metas separadas de 99,9% e 99,8%. Aceitar esse número muda a pergunta certa, que deixa de ser "por que caiu" e passa a ser "quanto da minha receita estava dependendo daquela hora".

O próximo passo é de meia hora e vale para o ano inteiro: escreva a mensagem de aviso que você vai publicar na próxima queda, decida agora até quando a oferta se estende quando isso acontecer, e crie o lugar onde vai anotar a fila de conferência. Pronto uma vez, o episódio deixa de ser crise e vira procedimento.

E vale reduzir os pontos que podem falhar entre a venda e o seu dinheiro. Na Afroditte, a cobrança é PIX direto na sua conta, com taxa fixa de R$ 0,69 por transação e sem mensalidade, e o acesso ao grupo só é liberado depois da confirmação do pagamento. Crie sua conta e mantenha o caminho da venda curto.