Die Entnahme von Karten für ein Hochrisikogeschäft bedeutet nicht, dass die Kontrollen gelockert werden. Auf dieser Seite wird klar dargelegt, was jedes Steuerelement tut – und was es nicht tut.
Kartennummern erreichen niemals Ihre oder unsere Server
Kunden geben ihre Karte in ein vom Kartenprozessor betriebenes Zahlungsfenster ein, nicht auf einer von uns kontrollierten Seite. Wir erhalten die Kartennummer nie, sodass sie nicht von Ihrer oder unserer Website nach außen dringen kann.
Was wir speichern, ist die Bestellung: der Betrag, die Währung, der Status, die Uhrzeit sowie der Name, die E-Mail-Adresse und die Handynummer, die der Kunde beim Bezahlvorgang eingegeben hat.
3-D-sicher
Eine Kartenzahlung kann vor der Auszahlung zur Genehmigung an die Bank des Kunden gesendet werden. Das ist es, was einen Kartendiebstahl frühzeitig verhindert und nicht erst Monate später als Streitfall.
Bei Abonnements kommt es gleich doppelt darauf an: Eine Karte bleibt für Verlängerungen nur nach einer ersten Zahlung erhalten, die 3-D Secure bestanden hat.
Eine Zahlung erfolgt erst dann, wenn der Verarbeiter dies mitteilt
Wir bestätigen jede Bestellung direkt beim Kartenverarbeiter über eine authentifizierte Anfrage, markieren sie erst dann als bezahlt und senden Ihnen die Veranstaltung zu. Dass der Browser auf einer Erfolgsseite landet, beweist nichts und wird niemals als Zahlung behandelt.
Die gleiche Bestätigung wird ausgeführt, wenn der Kunde den Tab schließt, sodass eine Bestellung nicht verloren geht, weil die Verbindung einer anderen Person unterbrochen wurde.
Zweistufige Verifizierung Ihres Kontos
Jedes Konto kann in den Einstellungen die zweistufige Verifizierung aktivieren: einen Code aus einer beliebigen Authentifizierungs-App sowie zehn einmalige Wiederherstellungscodes zum Ausdrucken und Aufbewahren. Der Admin-Bereich erfordert es.
Authentifikatorgeheimnisse werden verschlüsselt gespeichert, sodass eine Kopie der Datenbank allein keinen zweiten Faktor preisgibt.
Bei einigen Aktionen werden Sie aufgefordert, Ihre Identität noch einmal zu beweisen, wenn Sie dies in den letzten fünfzehn Minuten nicht getan haben – das Erstellen eines API-Schlüssels, das Hinzufügen eines Webhook-Endpunkts oder das Lesen eines Signaturgeheimnisses.
Verschlüsselung während der Übertragung
Die Website, das Dashboard, der gehostete Checkout und die API werden nur über HTTPS bereitgestellt und Browser werden angewiesen, einfaches HTTP für die Domain abzulehnen. Webhook-Endpunkte müssen ebenfalls HTTPS sein.
Signierte Webhooks
Jede Webhook-Zustellung trägt eine Signatur, die aus dem Geheimnis Ihres Endpunkts, der Ereignis-ID, dem Zeitstempel und dem genauen Text besteht. Ihr Server kann überprüfen, ob ein Anruf von uns stammt und keine Wiederholung eines älteren Anrufs ist; Unsere Node- und PHP-Bibliotheken erledigen das in einer Zeile.
Endpunkte müssen zu einer öffentlichen Adresse aufgelöst werden, Weiterleitungen werden nicht befolgt und eine fehlgeschlagene Zustellung wird nach einem immer länger werdenden Zeitplan wiederholt – insgesamt acht Versuche, verteilt auf etwas mehr als einen Tag.
API-Schlüssel
Geheime Schlüssel werden im Dashboard → Entwickler erstellt und einmal angezeigt. Wir speichern nur einen Hash des Schlüssels, sodass ihn niemand – auch wir nicht – im Nachhinein auslesen kann. Ein Schlüssel, bei dem Sie sich nicht sicher sind, wird widerrufen und ersetzt, nicht wiederhergestellt.
Eine Aufzeichnung darüber, was mit Ihrem Konto passiert ist
Anmeldungen und fehlgeschlagene Anmeldungen, zweistufige Änderungen, Passwort-Resets, API-Schlüssel- und Webhook-Änderungen sowie Ansichten eines Signaturgeheimnisses werden mit dem Zeitpunkt und der Adresse, von der sie stammen, aufgezeichnet. Sie können Ihre eigenen letzten Aktivitäten in den Einstellungen lesen.
Geheimnisse und Anforderungstexte werden niemals in diesen Datensatz geschrieben.
Ihre Verifizierungsdokumente
Was Sie zur Genehmigung hochladen, wird vertraulich gespeichert und nur von den Personen gelesen, die Ihren Antrag prüfen. Es erscheint in keiner händlerseitigen Liste, keinem Export oder in einer API-Antwort.
Wenn Ihre eigenen Wirtschaftsprüfer oder eine Plattform, auf der Sie verkaufen, eine Antwort dazu benötigen, wie Zahlungen hier abgewickelt werden, fragen Sie uns und wir werden Ihnen konkret antworten und nicht auf ein Abzeichen verweisen.
Denken Sie, Sie haben ein Sicherheitsproblem gefunden? Schreiben Sie an sales@utopia-payments.com bevor Sie es irgendwo anders preisgeben.