Entrar com BTS no seu site ou app

Regras para parceiros · versão 2026-10-29.

Resumo

A pessoa entra com a conta BTS, escolhe o que compartilhar e o seu sistema recebe os dados já confirmados.
Dados básicos (nome, e-mail, celular e níveis de verificação): gratuito.
Integração com pacotes prontos para .NET, instalados direto do nuget.org.
Você nunca vê nem guarda a senha da pessoa.

1. Como funciona

A pessoa toca no botão “Entrar com BTS” no seu site ou app.
Ela entra em login.bellga.tech (com senha, Google ou verificação em duas etapas) e vê exatamente quais dados você está pedindo.
Se tocar em Permitir, ela volta ao seu sistema e você recebe só os dados autorizados. A decisão fica guardada: da próxima vez, ela entra direto.

Por baixo é o padrão de mercado OpenID Connect (Authorization Code com PKCE), o mesmo usado por Google e Microsoft. Emissor: https://login.bellga.tech/.

2. Preços

Básico

Gratuito

Login com a conta BTS
Nome, e-mail confirmado e celular confirmado
Níveis de verificação da pessoa

Completo

R$ 9,90 /mês

Tudo do Básico
Dados de documentos e endereço, quando estiverem disponíveis na BTS

Ainda não disponível: os dados de documentos e endereço entram junto com as verificações de CPF e documento.

3. Como integrar

Pacotes oficiais para .NET, código aberto (licença MIT) em github.com/bellga/bts-parceiros:

dotnet add package Bts.Login.AspNetCore   # site e API (ASP.NET Core)
dotnet add package Bts.Login.Maui         # app .NET MAUI (Android, iOS, Windows)
dotnet add package Bts.Login.Cliente      # outros apps .NET

O passo a passo completo (site, API e app, com exemplos) está no README do repositório. Use o botão oficial, nas versões e regras da página Botão “Entrar com BTS”.

Usa outra linguagem? Qualquer biblioteca de OpenID Connect certificada funciona com a BTS, desde que use PKCE (S256).

Já tem usuários com login próprio (senha, Google, Facebook…)? O pacote liga as contas existentes à BTS com segurança: se o e-mail for o mesmo, a pessoa entra uma vez do jeito de sempre e confirma; só então as contas ficam ligadas. Veja “Já tenho usuários” no README.

4. Como pedir o cadastro

Escreva para contato@bellga.tech com:

o nome da empresa e o nome que aparece para a pessoa na tela de autorização;
o site e uma descrição curta do serviço e de por que você precisa de cada dado;
os endereços de volta, exatos:
- site: https://seu-site/signin-bts e, para sair, https://seu-site/signout-callback-bts;
- app de celular: esquema próprio com o seu domínio invertido, por exemplo com.exemplo.app:/bts;
- app de computador: http://127.0.0.1/bts (sem porta);
os escopos que vai pedir (tabela abaixo).

Tem mais de um app ou site? Cada um ganha o seu ClientId (com os seus endereços de volta e escopos), todos no mesmo grupo: a mesma pessoa é a mesma em todos eles.

Você recebe o ClientId e, para sites com servidor, um segredo, enviado por um canal seguro. Guarde o segredo fora do código (variável de ambiente ou cofre). Apps de celular e de computador não usam segredo: a proteção vem do PKCE.

5. Dados disponíveis

Você só recebe o que pediu, o que foi liberado no seu cadastro e o que a pessoa permitiu.

Escopo	O que chega
`openid`	`sub`: identificador da pessoa só para você. Cada parceiro recebe um diferente, então dois parceiros não conseguem cruzar a mesma pessoa. Todos os seus apps e sites (por exemplo, o app do motorista e o do passageiro) recebem o mesmo `sub` para a mesma pessoa.
`profile`	Nome (`name`).
`email`	E-mail, sempre confirmado (`email`, `email_verified`).
`phone`	Celular em formato internacional, só se a pessoa confirmou (`phone_number`, `phone_number_verified`).
`bts.niveis`	Níveis de verificação (`bts_niveis`): 1 = e-mail, 2 = CPF, 3 = celular, 4 = documento e biometria.
`offline_access`	Refresh token, para apps que continuam conectados (vale 14 dias e muda a cada uso).

Hoje estão ativos os níveis 1 (e-mail) e 3 (celular). Os níveis 2 e 4 entram quando as verificações de CPF e documento estiverem prontas.

6. Regras para parceiros

Peça só o necessário e diga na sua tela por que pede cada dado, principalmente o celular e os níveis.
Use o sub como chave da conta, não o e-mail (o e-mail pode mudar).
Nunca ligue contas só porque o e-mail é igual. Para ligar uma conta antiga à BTS, a pessoa precisa provar que é dona da conta antiga (entrando nela), ou o seu sistema precisa ter confirmado aquele e-mail antes.
Nunca peça a senha da BTS no seu site ou app. O login acontece sempre em login.bellga.tech, no navegador.
Guarde tokens com segurança: no app, só no armazenamento seguro do sistema (SecureStorage); nunca em logs, arquivos comuns ou na URL.
Use o botão oficial sem mudar cores, texto ou proporções (regras do botão).
Dados pessoais (LGPD): a partir do momento em que recebe os dados, o parceiro é o controlador deles. Use só para a finalidade informada à pessoa, não venda nem repasse a terceiros, proteja contra vazamento e apague quando a pessoa pedir ou quando não precisar mais.
Avise a BTS em caso de incidente de segurança que envolva os dados recebidos ou o seu segredo, para que o segredo e os tokens sejam trocados.
A BTS pode suspender ou encerrar o cadastro de um parceiro que descumprir estas regras, usar os dados de forma enganosa ou colocar as pessoas em risco.

7. O que a BTS garante

Login só por Authorization Code com PKCE S256; código de uso único que vale 2 minutos; retorno só para os endereços cadastrados.
Tokens assinados (RS256), com chaves públicas em https://login.bellga.tech/.well-known/jwks; o seu servidor confere a assinatura.
Identificador diferente para cada parceiro e nenhum dado interno da conta nos tokens.
Se a pessoa trocar a senha ou pedir a exclusão da conta, os tokens dos parceiros são revogados na hora.
Conta da pessoa protegida por senha forte, verificação em duas etapas, proteção contra robôs e testes automatizados de segurança a cada mudança.

8. Mudanças nestas regras

Estas regras podem mudar. Cada versão tem uma data; mudanças importantes são avisadas por e-mail aos parceiros cadastrados com pelo menos 30 dias de antecedência.

O e-mail de contato é provisório e será substituído por um e-mail no domínio bellga.tech. Veja também a Política de Privacidade.