Por que uma catraca abre sem desbloquear o celular?

A permissão é declarada

No Android, um serviço de emulação de cartão declara se o aparelho precisa estar desbloqueado antes de ele atender os comandos de um terminal. O guia da emulação de cartão pelo host do Android documenta o atributo e a consequência dele: com ele ligado, encostar num leitor pede para quem usa desbloquear e depois encostar de novo, porque o celular foi afastado do leitor para ser desbloqueado.

Um serviço de transporte é exatamente o caso em que esse comportamento é inaceitável, então ele declara que não precisa do aparelho desbloqueado, e a plataforma deixa que ele responda a partir da tela de bloqueio.

Na outra plataforma a mesma ideia aparece como um modo em que um passe pode ser colocado, e um passe cuja credencial vive no chip de pagamento, o passe de elemento seguro, é o objeto a que isso se aplica.

A tela desligada é outra pergunta

Desbloqueado e acordado não são a mesma condição, e o guia separa as duas. A partir do Android 12, um aplicativo consegue permitir pagamentos com a tela desligada colocando em falso o atributo que exigia a tela acesa.

Por baixo disso está um ajuste do aparelho que o mesmo guia descreve: com o NFC seguro ligado, todo emulador de cartão, rode ele no sistema operacional ou num elemento seguro, fica indisponível enquanto a tela está desligada. Com ele desligado, as credenciais guardadas num elemento seguro continuam respondendo com a tela desligada, e as emuladas por um aplicativo não.

Essa é a explicação de verdade para um comportamento que as pessoas descrevem como aleatório: dois celulares com a mesma carteira se comportam de outro jeito na mesma catraca porque um deles está com esse ajuste ligado.

O que um celular faz quando não tem energia nenhuma é outro assunto ainda, e a página do celular desligado o cobre.

O que as plataformas recentes acrescentaram

A partir do Android 15, o guia descreve um modo de observação: onde o aparelho o suporta, a carteira padrão observa o que o leitor está fazendo antes de qualquer coisa responder, e ela controla se uma transação pode seguir. Uma carteira ainda pode exigir um desbloqueio se não reconheceu o padrão de sondagem do leitor, e os fabricantes de leitor são incentivados a emitir padrões que uma carteira consiga reconhecer.

O efeito prático é que a decisão sai de uma declaração fixa e vira algo mais parecido com uma conversa: o celular consegue distinguir uma catraca de transporte de um terminal de loja antes de decidir o que apresentar.

Isso também explica por que o mesmo celular abre uma barreira sem ser tocado e pede um rosto num caixa.

O que isso custa a você

Uma credencial que responde sem conferência é uma credencial que qualquer um que segure o celular consegue usar numa catraca. A troca é deliberada: uma tarifa é pequena, uma fila é cara, e a operadora aceita a exposição.

Esse é o mesmo raciocínio que a página dos limites descreve para um cartão, com o limite definido pelo que uma viagem custa e não por uma regra bancária.

É também por isso que o arranjo expresso é oferecido para o transporte e não para o resto de uma carteira, e por que um celular perdido importa mais que um bilhete perdido, o que o grupo sobre perder um celular retoma.