Por que é seguro
Dois registros separados, e os dois têm que bater.
Um voucher funciona como um vale-presente: quem está com ele pode usar. Por isso o que importa é saber se o que está na sua frente é verdadeiro e ainda não foi usado. Para isso guardamos o registro em dois lugares que a mesma pessoa não consegue alterar ao mesmo tempo.
bullmark
Guarda o voucher em si: quem está com ele, quanto vale e se já foi usado.
Envia a impressão digital (hash) nunca o conteúdo
axowl
Guarda a impressão digital desse registro: um código curto calculado a partir dele. A hora de chegada é anotada pelo relógio da Axowl.
A Axowl nunca vê o que está no voucher. Ela recebe só a impressão digital e a guarda com o próprio carimbo de data e hora. Assim os dois lados ficam independentes. Se um voucher é alterado, a impressão digital dele também muda, e a que está guardada na Axowl nós não conseguimos alterar.
O que é coberto
A impressão digital é calculada com estes dados
A impressão digital não cobre a linha inteira do banco de dados. Ela cobre a lista abaixo, então você vê exatamente o que está protegido. Se qualquer um desses dados mudar, a impressão digital deixa de bater.
O produto a marca quem o detém seu código de resgate seu número de série o preço ao consumidor o preço que ele concede quando expira se já foi usado quando foi usado o e-mail do detentor
Os três últimos foram adicionados em agosto de 2026, e são os mais importantes. Antes, dava para voltar um voucher já usado para “não usado” no banco de dados e ele ainda passava em todas as checagens. O uso ficava registrado em outro lugar, então a impressão digital não mudava. Isso não funciona mais.
Duas coisas ficam de fora de propósito, porque incluí-las causaria alarmes falsos. A reserva é um bloqueio temporário e não muda quanto o voucher vale. Um voucher segurado por trinta segundos num caixa não foi alterado. O estado expirado fica de fora porque a data de validade já está na impressão digital e qualquer pessoa consegue calculá-lo. Se o estado também entrasse, um voucher aprovado na segunda falharia na terça sem ninguém ter mexido nele. As pessoas param de dar atenção a um verificador que dá alarmes falsos.
Como cada ataque é barrado
Quatro formas de trapacear por dentro e o que barra cada uma
Editar um voucher no banco de dados
Alguém baixa o preço, adia a validade ou põe o próprio nome. A impressão digital muda e deixa de bater com a que está guardada na Axowl. Recalcular a impressão digital do nosso lado não adianta, porque a que decide não está no nosso banco de dados.
Gastar o mesmo voucher duas vezes
Se um voucher foi usado ou não agora faz parte da impressão digital, então voltá-lo para “não usado” muda a impressão digital. Cada uso também é registrado à parte, numa entrada que não pode mais ser alterada e que fica ligada à anterior. Dois registros teriam que conter a mesma mentira, e um deles não é nosso.
Criar um que nunca foi emitido
Na emissão, a leva inteira fica registrada como um único fato que não pode mais ser alterado: quantos, a que preço e até que data. Se foram emitidos 100, um voucher de número 101 contradiz um registro que já existe. E cada nova impressão digital recebe a hora do relógio da Axowl, não do nosso: pode ser criada hoje, mas nunca com data do ano passado.
Passá-lo às escondidas para outra pessoa
O detentor faz parte da impressão digital, então um voucher não troca de dono pela edição de um campo. Quando ele é repassado, o voucher de quem dá é fechado e quem recebe ganha o seu, com o mesmo número de série. As duas etapas ficam registradas, então nenhum repasse aparece com um lado só.
Códigos copiados
E se alguém copiar meu QR?
Um QR code (o quadrado que você escaneia) não é o voucher em si. Ele só aponta para um voucher numerado nos nossos registros. Por isso uma foto de um QR vale exatamente o que esse voucher vale no momento em que alguém a apresenta. Todos os casos abaixo se explicam assim.
Um código inventado
Quando um voucher é usado, o sistema procura o código nos nossos registros. Ele não lê nenhum valor da imagem. Um código que nunca foi emitido não leva a nada, por mais real que o QR pareça. Ninguém consegue desenhar um voucher e fazê-lo existir.
Uma cópia de um real
Uma cópia tem o mesmo código, então é o mesmo voucher e não um segundo. O primeiro uso fica registrado nesse voucher e não pode mais ser alterado. Toda tentativa posterior, com a cópia ou com o original, recebe a resposta de que ele já foi usado. Dez capturas de tela continuam sendo um único voucher.
Uma captura guardada antes de vendê-lo
Quando um voucher é repassado, como presente ou revenda, o de quem dá é fechado e quem recebe ganha um novo com um novo código, sob o mesmo número de série. O código da captura antiga agora leva a um voucher fechado. Vender um voucher e correr para usá-lo antes do comprador não funciona.
Um código que outra pessoa viu primeiro
Este risco é real e preferimos dizer. Quem tem o código pode usar o voucher, e a marca que aceita um código não fica sabendo quem está segurando o telefone. Escanear um QR não revela o código. O escaneamento mostra que o voucher é verdadeiro e não foi usado; o código só aparece para o detentor logado e para a marca que o emitiu. Mas um código que você publica ou dita é um código que outra pessoa pode usar. Trate-o como o número de um vale-presente. Uma marca que queira fechar essa brecha pode nos perguntar quais vouchers o cliente logado dela realmente tem e deixá-lo escolher nessa lista em vez de digitar um código. Aí um código copiado não tem onde ser inserido.
Aconteça o que acontecer, fica registrado. Emissão, repasse, reserva e uso deixam cada um uma entrada que não pode mais ser alterada, ligada à anterior. Uma marca pode baixar o histórico completo de qualquer voucher seu, com o conteúdo, e recalcular cada impressão digital por conta própria. Assim, saber quem usou um voucher e quando não depende da nossa palavra.
Brand Credit
Podemos criar mais às escondidas?
Brand Credit funciona de forma parecida com dinheiro: uma marca o recarrega, emite vouchers com ele e saca o que ganha. Por isso a pergunta justa é se nós poderíamos acrescentar uma linha aos nossos próprios registros sem ninguém perceber, e não só se alguém de fora consegue entrar.
As entradas só são acrescentadas
As entradas são acrescentadas, nunca editadas nem apagadas. Uma correção é uma nova entrada que diz o que corrige, então o erro e o conserto ficam os dois visíveis. Não existe um saldo do qual uma linha incômoda tenha sido retirada.
Cada entrada é travada e ligada
Cada entrada carrega a impressão digital da anterior. Mudar uma entrada antiga quebra todas as seguintes. Uma única edição às escondidas exigiria reescrever a cadeia inteira em dois lugares, e um deles não é nosso.
Alguém de dentro não é exceção
Ter acesso ao nosso banco de dados não é o mesmo que controlar o registro. Alguém com todos os direitos no nosso banco de produção ainda consegue mudar uma linha. O que não consegue é fazer a impressão digital guardada na Axowl bater com isso depois. Por isso a segunda cópia fica num lugar onde nossos administradores não têm direitos de administrador.
Você pode auditar sem nos pedir
Uma marca pode entregar os ids das próprias entradas a um contador. Ele recalcula as impressões digitais a partir da cadeia aberta e confere se as somas fecham. A checagem não passa pelo Bullmark, então não temos como influenciá-la.
Recompensas por indicação
Cadastros falsos conseguem receber a recompensa?
Uma recompensa por cada novo usuário dá vontade de criar usuários falsos. Por isso não se paga por um cadastro. Paga-se por uma pessoa que fica.
Nada é pago no cadastro
O primeiro login só cria uma entrada em espera. A recompensa é paga 7 dias depois, e somente se essa mesma pessoa entrou de novo em outro dia. Uma conta que se cadastra e nunca volta é encerrada sem pagamento.
Uma caixa de e-mail, uma recompensa
Variações de endereço que chegam à mesma caixa, como uma +tag ou os pontos de um endereço do Gmail, contam como uma só pessoa. Endereços de e-mail descartável podem entrar, mas nunca são recompensados.
Limites por dispositivo e para rajadas
Para cada marca, no máximo três cadastros recompensados podem vir de um mesmo dispositivo. E-mails de cadastro para endereços novos têm limite de frequência por rede e por app, e antes passam por uma verificação antirrobô ativada por padrão. Um contrato que de repente recebe uma rajada de cadastros para de pagar, e a marca é avisada.
O máximo que a marca pode perder é fixado antes
Todo contrato com recompensa tem um orçamento, e as recompensas em espera entram nele. O indicador e as pessoas da própria marca nunca são contados. Cada recompensa, paga ou recusada, fica num registro que não pode mais ser alterado e que a marca e o indicador veem.
Além disso, o sistema inclui diversas salvaguardas adicionais que não podem ser divulgadas por motivos de segurança.
O que não afirmamos
Verificamos um e-mail, e nada além disso.
Não checamos passaportes, não operamos um serviço de verificação de identidade nem afirmamos saber quem está por trás de um endereço. A impressão digital prova que um registro não foi alterado. Ela não torna verdadeira uma afirmação não verificada. Uma empresa que mistura essas duas coisas está vendendo a você uma sensação de segurança.
É exatamente isto que prometemos: este voucher, a este preço, foi emitido para este endereço de e-mail, neste horário, e não foi alterado desde então. O e-mail é aquele com que a conta se autenticou, nunca algo digitado num formulário. O que vai além desse endereço está fora do que podemos provar, e preferimos dizer isso agora a deixar você descobrir depois.
Confira você mesmo
Você não precisa acreditar na nossa palavra
Cada entrada travada pode ser lida, e o cálculo que a produz é público. Entregue a cadeia de entradas ao nosso SDK de JavaScript, ou a qualquer ferramenta que calcule SHA-256 (um método padrão para gerar a impressão digital), e recalcule as impressões digitais você mesmo. A checagem roda inteiramente do seu lado e não pergunta nada ao Bullmark.
GET /integrity/events/VoucherInstance/{id}
Ele devolve impressões digitais e resultados da checagem, nunca o conteúdo dos vouchers nem códigos de resgate. Por isso pode continuar aberto sem virar um jeito de ler os vouchers dos outros.
Comece
Sem dinheiro adiantado.
Cadastre sua startup Como funciona