Você não cobra. Você debita.
A inversão que organiza o capítulo inteiro — e é a inversão exata do tópico 06.
Ao cliente, a carteira diz: "o cofre é seu; a bateria é da máquina que trabalha para você". A você, ela diz o contrário: a bateria é do cliente, e você tira dela.
O ciclo, inteiro, tem três passos e nenhuma cobrança:
- O cliente instala a sua conta de serviço. Instalar é ato dele — você publica, ele escolhe.
- O cliente enche a bateria, e escolhe de quanto ela é. O teto é dele.
- Você debita por operação, no instante do trabalho. Sem pedir, sem esperar, sem confirmar.
É por isso que aqui não existe inadimplência: o dinheiro já está na bateria antes de o trabalho começar. Se a carga acabar, a operação trava — e travar é o pior que pode acontecer com você. Não há cobrança a perseguir, não há boleto vencido, não há chargeback três meses depois.
O que isso te dá, e vale nomear: um serviço pode custar 1 PING por operação e ser economicamente viável. Dentro da bateria não se paga passagem — mil operações de 1 PING custam mil PING, e nada mais. Nenhum meio de pagamento do mundo processa uma cobrança de um centésimo de centavo; a bateria processa um milhão delas sem cobrar taxa por chamada.
A mecânica da travessia e da passagem está no tópico 06: a peça e a travessia.
O débito já sai partido
Esta é a parte que surpreende quem vem de gateway, e é melhor entendê-la antes de precificar.
Quando o seu serviço debita 100 PING da bateria de um cliente, a divisão acontece dentro do mesmo ato:
o split, no próprio débito
- 80% para você — cai na sua bateria de lucro.
- 10% para o emissário — quem concedeu o seu título de developer na federação. Ele respondeu por você, e recebe por isso enquanto você produz.
- 10% para a tesouraria — a casa. É a receita da federação, e ela é cobrada uma vez só, aqui.
Repare na consequência prática: o seu preço ao cliente é o número cheio. Se você quer receber 80, cobra 100. Não há taxa a somar depois, não há retenção no fim do mês, não há nota de serviço da plataforma a conciliar — o rateio é instantâneo e definitivo.
E sobre o cashback, se o seu serviço oferecer: o teto incide sobre a sua fatia, os 80%. Devolver "100%" numa operação de 100 PING devolve 80 ao cliente — porque os outros 20 já foram prestados por terceiros. A infraestrutura rodou, a casa e o emissário serviram, e você só pode devolver o que é seu.
A bateria de lucro, e por que a saída é limpa
A sua fatia não cai no cofre: cai numa bateria. E ela é a mesma peça que o cliente usa — o que muda é o rótulo.
A bateria de lucro tem tanque, carga e medidor como qualquer outra. A diferença é de onde vem a energia: ela enche por si, do uso do seu serviço, em vez de ser recarregada por alguém. E drena para o seu cofre, quando você quiser ou quando o regulador decidir.
E aqui está a regra que mais importa para a sua conta: a saída da bateria de lucro é limpa. Drenar para o seu cofre paga só a taxa de rede da travessia — não há percentual nenhum, não há spread, não há corte na saída. Vale inclusive quando um dreno automático dispara sozinho.
Por quê, e o raciocínio é simples: o split já aconteceu no débito. Cobrar de novo na saída seria cobrar duas vezes pelo mesmo dinheiro — e em cascata, não em soma: numa operação de 125 PING a casa acabaria com 19% em vez de 10.
A casa cobra uma vez, no consumo. Depois disso o dinheiro é seu, e atravessar de volta custa o mesmo que custa para qualquer um: a passagem da travessia.
A conta de serviço é o seu produto
O que você publica na federação não é um app: é uma conta de serviço — e ela vem com bateria de fábrica.
Toda conta de serviço, atual e futura, tem o mesmo esqueleto: um nome, um ícone, as operações que ela cobra, o preço de cada uma, e uma bateria. Você define as operações e o preço; o cliente define o tamanho da bateria.
Instalar é ato do CLIENTE. Você publica na loja e vai embora — não há convite a enviar, não há aprovação a dar, não há contrato a assinar. Quem instala escolhe, e quem escolhe é quem paga. A consequência é que você não sabe quantos clientes vai ter amanhã, e é por isso que os freios da próxima seção existem.
Do lado do cliente, essa mesma conta aparece na prateleira "Contas de serviço" da carteira dele, com o medidor da bateria — é o rótulo "a sua conta de serviço" do tópico 06.
A cota do ciclo, e a fila
O plano de entrada tem dois limites, e eles fazem coisas diferentes.
- 10.000 operações por ciclo, incluídas. É a cota do ciclo.
- Teto de 1 por segundo — e este não é um limite de quanto, é um limite de quão rápido.
E aqui está a frase mais importante desta seção: o teto ENFILEIRA, não recusa.
Uma rajada acima de uma chamada por segundo não recebe erro. Ninguém é cortado, nenhuma chamada se perde, nenhuma integração quebra às três da manhã porque alguém apertou o botão duas vezes. As chamadas esperam a vez — e o seu serviço fica de pé porque desacelera em vez de cair.
espaça, não recusa
Acima da cota, o preço dobra
Passada a cota do ciclo, cada chamada tem preço — e o preço depende de quão perto ela vem da anterior.
A base é 250 PING por chamada a um segundo de intervalo. E daí dobra a cada 100 ms de proximidade:
| intervalo desde a chamada anterior | preço da chamada |
|---|---|
| ≥ 1.000 ms | 250 PING |
| 900 ms | 500 PING |
| 800 ms | 1.000 PING |
| 700 ms | 2.000 PING |
| 600 ms | 4.000 PING |
| 500 ms | 8.000 PING |
| 400 ms | 16.000 PING |
| 300 ms | 32.000 PING |
| 200 ms | 64.000 PING |
| 100 ms | 128.000 PING |
| < 100 ms | 256.000 PING |
cada degrau é o dobro do anterior
E o intervalo é medido por CONTA DE SERVIÇO, nunca por conexão. É a alma da escada: se cada conexão tivesse a sua própria contagem, dez conexões paralelas de um segundo produziriam 100 ms efetivos e passariam pagando a base. A tabela viraria decoração.
Onde mora o número que vale. A escada acima é a do plano de entrada de hoje, e este texto é explicação, não contrato: o preço vivo é o que a sua tela de conta de serviço mostra na hora, e é dela que o débito sai. Se um dia divergirem, vale a tela — e este parágrafo é que está velho.
Por que dois freios
A fila e o preço parecem redundantes. Não são — eles seguram coisas diferentes, em escalas de tempo diferentes.
A rajada
Mil chamadas num segundo derrubam conexão e CPU — o banco cai, e cai para todos. Preço não impede isto: quem paga, derruba.
- o que estoura
- a infraestrutura
- o freio
- a fila — espaça
O volume
Um milhão de chamadas bem espaçadas ao longo do mês não derruba nada — e consome a conta inteira. Fila não impede isto: quem espera, consome tudo.
- o que estoura
- a conta
- o freio
- o preço — encarece
Um freio só, calibrado em qualquer das duas escalas, deixa a outra passar inteira. É por isso que são dois, e é por isso que eles agem de formas opostas: um atrasa sem cobrar, o outro cobra sem atrasar.
A leitura prática para quem integra: se o seu cliente faz rajada, ele vai sentir latência — e nada mais. Se ele faz volume, vai sentir preço. Os dois avisos chegam pelo canal certo, e nenhum deles é um erro HTTP.
O token, e o que ele não concede
O seu serviço fala com a federação por um token — e vale saber, desde o começo, o que ele não faz.
- Ele debita das baterias das contas de serviço que são suas, pelas operações que você cadastrou.
- Ele não move o cofre de ninguém. Nem o seu, nem o do cliente. O cofre é a camada de baixo, e token de serviço não a alcança.
- Ele não instala nada em cliente nenhum. Instalar é ato do cliente, e nenhuma credencial sua substitui a mão dele.
- Ele não muda o tamanho da bateria do cliente, nem liga a recarga automática dele. Isso é a próxima seção — e é a mais importante deste capítulo.
Permissão segregada é um princípio, não uma configuração: um serviço só mexe na própria bateria. Não há escopo a pedir que amplie isso, porque o limite não está no token — está no desenho.
A bateria que você instala no cliente
Há um caso em que você instala: quando o seu cliente é uma empresa e você opera o serviço para ela.
Nesse arranjo você instala uma conta de serviço na carteira dele, e ela ganha uma bateria como qualquer outra. A diferença é de titularidade, e ela é total:
- A carga é dele. Ele enche, ele decide o tamanho.
- E ela drena para o cofre DELE, nunca para o seu. O excedente daquela bateria volta para quem é o titular.
Por isso aquela bateria não aparece na sua folha de energia: a régua da carteira é "drenável para a MINHA camada de baixo", e essa não é. Contá-la seria somar o dinheiro de outro titular ao seu saldo.
Do lado dele, a mecânica é a de sempre — inclusive o fato de que qualquer conexão pode mandar carga para uma bateria, em pacotes.
O que fica retido
Operação que não conclui na hora não cobra na hora: ela retém. E o retido tem regras que valem para os dois lados.
Quando o seu serviço abre uma operação que depende de uma automação terminar, o valor é reservado dentro da bateria do cliente, sob um identificador daquela conclusão. Enquanto está ali, ele ainda é do cliente — e três coisas podem acontecer:
- A automação concluiu — o valor vai para a sua bateria de lucro, com o split aplicado.
- O prazo venceu — o valor volta sozinho para o cliente, sem ninguém agir.
- Você devolve com cashback — até o teto que cadastrou, e sobre a sua fatia.
O prazo é obrigatório, e isso é a seu favor tanto quanto a favor dele: retenção sem prazo é dinheiro que fica preso para sempre — e conta quente com dinheiro preso é o pior defeito possível neste desenho.
Pelo lado do cliente, o retido aparece com nome próprio na tela dele, e a regra que mais importa está no 06: o retido não drena. Ele fica na bateria até concluir ou vencer — e é por isso que a conta dele fecha.
O que você não controla
Esta seção é o espelho de A elasticidade da confiança, do tópico 06 — e é ela que faz este capítulo ser honesto.
Ao cliente, o 06 diz uma frase dura: "nada impede um prestador de drenar a carga inteira sem entregar nada". A outra metade dessa frase é sua, e é esta:
Quatro decisões do seu negócio são tomadas por outra pessoa — e você não tem voto em nenhuma.
- O tamanho da bateria. Ele escolhe quanto arrisca de uma vez, entre oito degraus. Um cliente novo põe o menor, e está certo em pôr.
- Se a recarga automática está ligada. Desligada, a bateria seca e ninguém repõe até ele abrir a carteira.
- Com que frequência ela se renova. É o ritmo em que ele reavalia você — e quanto mais longo, mais tempo você fica sem ser reavaliado, para o bem e para o mal.
- Desinstalar. A qualquer momento, sem aviso, sem pedir licença e sem depender da sua concordância.
E a consequência operacional é uma só: a carga pode acabar no meio do ciclo. Quando acabar, a sua operação trava — e travar é tudo o que acontece. Não fica devendo, não cobra depois, não avança sobre nada. Você desenha o seu serviço sabendo que isso vai acontecer, ou você desenha errado.
Mas o mesmo teto que limita o prejuízo dele é o SEU teto — e é aqui que a régua vira simétrica. Se o cliente pudesse gastar sem limite, o seu serviço poderia ser acusado de qualquer coisa, e cada disputa viraria uma investigação de intenção. Com teto, a disputa tem tamanho: o dele é o que ele pôs; o seu é o que você entregou.
E é assim que a federação produz reputação sem nota, sem estrela e sem árbitro. Quem entrega vê o cliente subir o tanque e ligar o automático — a confiança ganha forma de número, e o número é público para as duas partes. Quem não entrega simplesmente para de ser recarregado: a sanção é a ausência do ciclo seguinte, automática e silenciosa.
A régua completa, do lado dele: a elasticidade da confiança. E os dois automáticos: piso e teto.
O que você leva deste capítulo
Quatro frases, e elas bastam.
- Você não cobra: debita, e o que debita já sai partido. 80% seus, 10% do emissário, 10% da casa — no mesmo ato, sem fatura e sem retenção depois. O seu preço ao cliente é o número cheio.
- A casa cobra uma vez, no consumo. Por isso a saída da sua bateria de lucro é limpa: só a taxa de rede da travessia, sem percentual.
- Dois freios, porque são dois gargalos. A rajada encontra fila — e a fila espaça em vez de recusar, ninguém é cortado. O volume encontra preço, e o preço dobra a cada 100 ms de pressa.
- O teto é do cliente, e o desinstalar também. A carga pode acabar no meio do ciclo, e a sua operação trava. É o mesmo teto que limita o prejuízo dele se você falhar — a bateria protege os dois lados, e é isso que a torna aceitável para ambos.