Coger tarjetas para un negocio de alto riesgo no significa relajar los controles. Esta página dice claramente lo que hace cada control y lo que no hace.
Los números de tarjetas nunca llegan a sus servidores ni a los nuestros
Los clientes escriben su tarjeta en una ventana de pago ejecutada por el procesador de la tarjeta, no en una página que controlamos. Nunca recibimos el número de tarjeta, por lo que no puede filtrarse desde su sitio ni desde el nuestro.
Lo que mantenemos es el pedido: el monto, la moneda, el estado, la hora y el nombre, dirección de correo electrónico y número de teléfono móvil que el cliente escribió al finalizar la compra.
3-D segura
Un pago con tarjeta se puede enviar al banco del cliente para su aprobación antes de realizarlo. Esto es lo que detiene una tarjeta robada temprano, en lugar de meses después como una disputa.
Para las suscripciones, esto es doblemente importante: una tarjeta solo se conserva para renovaciones después de un primer pago que pasó por 3-D Secure.
Un pago sólo se realiza una vez que el procesador lo indique
Confirmamos cada pedido directamente con el procesador de la tarjeta a través de una solicitud autenticada, y solo entonces lo marcamos como pagado y le enviamos el evento. Que un navegador llegue a una página exitosa no demuestra nada y nunca se trata como un pago.
La misma confirmación se ejecuta si el cliente cierra la pestaña, por lo que un pedido no se pierde porque se interrumpió la conexión de alguien.
Verificación en dos pasos en tu cuenta
Cualquier cuenta puede activar la verificación en dos pasos en Configuración: un código de cualquier aplicación de autenticación, más diez códigos de recuperación únicos para imprimir y conservar. El área de administración lo requiere.
Los secretos del autenticador se almacenan cifrados, por lo que una copia de la base de datos por sí sola no entrega el segundo factor a nadie.
Algunas acciones le piden que demuestre que es usted nuevamente si no lo ha hecho en los últimos quince minutos: crear una clave API, agregar un punto final de webhook o leer un secreto de firma.
Cifrado en tránsito
El sitio, el panel, el pago alojado y la API se sirven únicamente a través de HTTPS, y se indica a los navegadores que rechacen HTTP simple para el dominio. Los puntos finales de webhook también deben ser HTTPS.
Webhooks firmados
Cada entrega de webhook lleva una firma hecha con el propio secreto de su punto final, sobre la identificación del evento, la marca de tiempo y el cuerpo exacto. Su servidor puede verificar que una llamada proceda de nosotros y que no sea una repetición de una anterior; Nuestras bibliotecas Node y PHP lo hacen en una sola línea.
Los puntos finales deben resolverse en una dirección pública, no se siguen las redirecciones y una entrega que falla se reintenta según un cronograma cada vez más amplio: ocho intentos en total, repartidos en poco más de un día.
Claves API
Las claves secretas se crean en Panel → Desarrolladores y se muestran una vez. Almacenamos solo un hash de la clave, para que nadie, incluidos nosotros, pueda volver a leerla después. Una clave de la que no está seguro se revoca y se reemplaza, no se recupera.
Un registro de lo que pasó con su cuenta.
Los inicios de sesión y los inicios de sesión fallidos, los cambios de dos pasos, los restablecimientos de contraseña, los cambios de clave API y webhook y las vistas de un secreto de firma se registran con la hora y la dirección de donde provienen. Puedes leer tu propia actividad reciente en Configuración.
Los secretos y los cuerpos de solicitud nunca se escriben en ese registro.
Tus documentos de verificación
Lo que usted carga para ser aprobado se almacena de forma privada y solo lo leen las personas que revisan su solicitud. No aparece en ninguna lista de comerciantes, exportación o respuesta API.
Si sus propios auditores, o una plataforma en la que vende, necesitan una respuesta sobre cómo se manejan los pagos aquí, pregúntenos y le responderemos específicamente en lugar de señalar una insignia.
¿Crees que has encontrado un problema de seguridad? escribir a sales@utopia-payments.com antes de revelarlo en cualquier otro lugar.