Segurança no Uso da API Pix

Bom dia pessoal, uma dúvida que surgiu aqui.

A API Pix só permite a criação de cobranças correto ? O que me preocupa é o cliente também conseguir realizar transferências com as credenciais

Bom dia, @lucianoolegario_57079. Tudo bem?
As credenciais devem ser mantidas em um ambiente seguro que não possa ser acessado por qualquer um, mas de toda forma você pode desabilitar escopos, no caso o de envio de Pix, para garantir que me mesmo de posse de suas credenciais uma pessoa não seja capaz de realizar um envio de Pix via API.

Além do já mencionado pela Efí de desabilitar escopos, você pode também usar os limites da conta para que transações disponíveis mas que você não use tenham limites configurados em zero ou R$1. Detalhe que aí se aplica a site, app e API... mas dá para reduzir bastante a superfície que você precisa defender com outros controles e mitigações.

Exemplo: não usamos hoje envio de Pix, e quando vamos transferir da Efí para outros bancos, usamos TED. Aí os limites de Pix ficam zerados.