Prendre des cartes pour une entreprise à haut risque ne signifie pas assouplir les contrôles. Cette page indique clairement ce que fait chaque contrôle – et ce qu’il ne fait pas.
Les numéros de carte n'atteignent jamais vos serveurs ni les nôtres
Les clients saisissent leur carte dans une fenêtre de paiement gérée par le processeur de carte, et non dans une page que nous contrôlons. Nous ne recevons jamais le numéro de carte, il ne peut donc pas fuir de votre site ou du nôtre.
Ce que nous conservons, c'est la commande : le montant, la devise, le statut, l'heure, ainsi que le nom, l'adresse e-mail et le numéro de portable que le client a saisis lors du paiement.
3D sécurisé
Un paiement par carte peut être envoyé à la banque du client pour approbation avant d'être effectué. C’est ce qui permet de stopper rapidement le vol d’une carte, plutôt que d’en faire un litige des mois plus tard.
Pour les abonnements, c'est doublement important : une carte n'est conservée que pour les renouvellements après un premier paiement passé avec 3-D Secure.
Un paiement n'est effectué qu'une fois que le processeur l'indique
Nous confirmons chaque commande directement auprès du processeur de la carte via une demande authentifiée, puis nous la marquons comme payée et vous envoyons l'événement. Un navigateur atterrissant sur une page de réussite ne prouve rien et n’est jamais traité comme un paiement.
La même confirmation s'exécute si le client ferme l'onglet, de sorte qu'une commande n'est pas perdue en raison d'une interruption de la connexion de quelqu'un.
Vérification en deux étapes sur votre compte
N'importe quel compte peut activer la vérification en deux étapes dans Paramètres : un code provenant de n'importe quelle application d'authentification, plus dix codes de récupération uniques à imprimer et à conserver. La zone d’administration l’exige.
Les secrets de l'authentificateur sont stockés cryptés, de sorte qu'une copie de la base de données à elle seule ne transmet le deuxième facteur à personne.
Certaines actions vous demandent de prouver à nouveau qu'il s'agit de vous si vous ne l'avez pas fait au cours des quinze dernières minutes : créer une clé API, ajouter un point de terminaison de webhook ou lire un secret de signature.
Chiffrement en transit
Le site, le tableau de bord, la caisse hébergée et l'API sont servis via HTTPS uniquement, et les navigateurs sont invités à refuser le HTTP simple pour le domaine. Les points de terminaison du Webhook doivent également être HTTPS.
Webhooks signés
Chaque livraison de webhook porte une signature faite avec le propre secret de votre point de terminaison, sur l'identifiant de l'événement, l'horodatage et le corps exact. Votre serveur peut vérifier qu'un appel provient de nous et qu'il ne s'agit pas d'une rediffusion d'un appel plus ancien ; nos bibliothèques Node et PHP le font sur une seule ligne.
Les points de terminaison doivent être résolus en une adresse publique, les redirections ne sont pas suivies et une livraison qui échoue est retentée selon un calendrier de plus en plus large : huit tentatives en tout, réparties sur un peu plus d'une journée.
Clés API
Les clés secrètes sont créées dans Tableau de bord → Développeurs et affichées une fois. Nous stockons uniquement un hachage de la clé, afin que personne, y compris nous, ne puisse la relire par la suite. Une clé dont vous n'êtes pas sûr est révoquée et remplacée, et non récupérée.
Un enregistrement de ce qui est arrivé à votre compte
Les connexions et les échecs de connexion, les modifications en deux étapes, les réinitialisations de mot de passe, les modifications de clé API et de webhook ainsi que les vues d'un secret de signature sont enregistrés avec l'heure et l'adresse d'où ils proviennent. Vous pouvez lire votre propre activité récente dans Paramètres.
Les secrets et les corps de requête ne sont jamais écrits dans cet enregistrement.
Vos documents de vérification
Ce que vous téléchargez pour être approuvé est stocké de manière privée et n'est lu que par les personnes qui examinent votre candidature. Il n'apparaît dans aucune liste destinée aux commerçants, aucune exportation ou réponse API.
Si vos propres auditeurs, ou une plateforme sur laquelle vous vendez, ont besoin d'une réponse sur la façon dont les paiements sont traités ici, demandez-nous et nous vous répondrons spécifiquement plutôt que de pointer un badge.
Vous pensez avoir trouvé un problème de sécurité ? Écrivez à sales@utopia-payments.com avant de le divulguer ailleurs.