O que fazer

Adequações necessárias

Com o objetivo de aumentar a segurança das comunicações e assegurar a continuidade das integrações com nossas APIs, é necessário que sua equipe realize as seguintes adequações:

• Atualizar a cadeia de certificados, adicionando a nova Root CA e o novo certificado intermediário ao truststore ou keystore da aplicação. Durante o período de transição, recomendamos manter também a cadeia atual, garantindo uma migração segura e sem impacto para a operação.
• Liberar os novos ranges de IP nos firewalls dos ambientes consumidores. Essa atualização é necessária para manter a comunicação segura e contínua com a infraestrutura, mesmo que as URLs atualmente utilizadas permaneçam inalteradas.
• Atualizar as URLs das APIs que passarão a utilizar novos endereços de conexão, assegurando que as integrações continuem operando normalmente após a evolução da infraestrutura.

Checklist de ação

Como testar?

Após importar a nova cadeia de certificados em seu truststore, recomendamos validar a comunicação TLS utilizando os endpoints de validação disponibilizados pelo Itaú.

URL para teste

De acordo com o endereço impactado utilize a respectiva URL de validação:

					

						

							https://secure.gateway.api.itau/sandbox/ca-validation
						
						

							https://api.gateway.itau.com.br/sandbox/ca-validation
						
						

							https://api-bin.gateway.itau.com.br/sandbox/ca-validation
						
					
				

Teste utilizando cURL

Antes de realizar a validação, gere um token de acesso utilizando suas credenciais de aplicação:

					curl --request POST \
  --url https://sts.itau.com.br/api/oauth/token \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data grant_type=client_credentials \
  --data 'client_id=<client-id>' \
  --data 'client_secret=<client-secret>'
				

Após obter o token e garantir que a nova cadeia de certificados foi importada corretamente, execute a chamada abaixo para validar a comunicação com o ambiente:

					curl --request GET \
  --url <url-de-validacao-utilizada>' \
  --header 'x-itau-apikey: <client-id>' \
  --header 'x-itau-client-cert: <certificate>' \
  --header 'x-itau-correlationID: 123' \
  --header 'x-itau-flowID: 123'
				

Resultado esperado

Se a configuração estiver correta:

• A chamada para o endpoint de validação será executada com sucesso.
• Não haverá erros relacionados a certificado, truststore ou SSL/TLS.
• O retorno do endpoint indicará que a cadeia de certificados foi validada corretamente pelo ambiente.

Sobre a atualização de certificados

Para acompanhar a evolução dos padrões de segurança adotados pelo mercado, vamos atualizar a cadeia de certificação utilizada nas integrações com as APIs Itaú.

Essa mudança ajuda a manter a segurança, a confiabilidade e a continuidade das conexões utilizadas em serviços como pagamentos, cobranças, Pix, conciliações e demais operações transacionais.

Prazo para adequação: até 15 de setembro de 2026.

Por que essa mudança acontece agora

O prazo de validade dos certificados está sendo reduzido globalmente, conforme decisão do CA/Browser Forum. A redução acontecerá de forma gradual:

• Validade de 200 dias para certificados emitidos a partir de 15/03/2026.
• Validade de 100 dias para certificados emitidos a partir de 15/03/2027.
• Validade de 47 dias para certificados emitidos a partir de 15/03/2029.

Em alinhamento a essa diretriz, os novos certificados utilizados pelo Itaú nas conexões dos endereços de consumo de APIs listados acima terão validade de 200 dias. Para garantir a continuidade das integrações, será necessário adicionar a nova cadeia de certificados digitais e adequar os endereços de conexão (DNS e IPs) utilizados pela sua empresa até as datas previstas no cronograma.

Perguntas frequentes

Canais de atendimento

Precisa de ajuda durante a adequação? Fale com o time responsável pelo seu segmento.