Mengambil kartu untuk bisnis berisiko tinggi tidak berarti melonggarkan kendali. Halaman ini menjelaskan dengan jelas apa yang dilakukan setiap kontrol — dan apa yang tidak dilakukannya.
Nomor kartu tidak pernah mencapai server Anda atau server kami
Pelanggan mengetikkan kartunya di jendela pembayaran yang dijalankan oleh pemroses kartu, bukan di halaman yang kami kontrol. Kami tidak pernah menerima nomor kartunya, jadi tidak bisa bocor dari situs Anda atau dari situs kami.
Yang kami simpan adalah pesanannya: jumlah, mata uang, status, waktu, dan nama, alamat email, dan nomor ponsel yang diketik pelanggan saat checkout.
Aman 3-D
Pembayaran kartu dapat dikirim ke bank pelanggan untuk disetujui sebelum diambil. Hal inilah yang menghentikan kartu yang dicuri sejak dini, dan bukannya berbulan-bulan kemudian menjadi perselisihan.
Untuk berlangganan, hal ini penting dua kali lipat: kartu hanya disimpan untuk perpanjangan setelah pembayaran pertama yang melewati 3-D Secure.
Pembayaran hanya dibayarkan setelah pemroses menyatakan demikian
Kami mengonfirmasi setiap pesanan secara langsung dengan pemroses kartu melalui permintaan yang diautentikasi, dan baru kemudian menandainya sebagai telah dibayar dan mengirimkan acara tersebut kepada Anda. Browser yang mendarat di halaman sukses tidak membuktikan apa pun dan tidak pernah dianggap sebagai pembayaran.
Konfirmasi yang sama berjalan jika pelanggan menutup tab, sehingga pesanan tidak hilang karena koneksi seseorang terputus.
Verifikasi dua langkah di akun Anda
Akun mana pun dapat mengaktifkan verifikasi dua langkah di Pengaturan: kode dari aplikasi autentikator mana pun, ditambah sepuluh kode pemulihan satu kali untuk dicetak dan disimpan. Area admin memerlukannya.
Rahasia autentikator disimpan terenkripsi, jadi salinan databasenya sendiri tidak akan diserahkan kepada pihak kedua mana pun.
Beberapa tindakan meminta Anda untuk membuktikan lagi bahwa ini memang Anda jika Anda belum melakukannya dalam lima belas menit terakhir — membuat kunci API, menambahkan titik akhir webhook, atau membaca rahasia penandatanganan.
Enkripsi dalam perjalanan
Situs, dasbor, pembayaran yang dihosting, dan API hanya disajikan melalui HTTPS, dan browser diminta untuk menolak HTTP biasa untuk domain tersebut. Titik akhir webhook juga harus HTTPS.
Webhook yang ditandatangani
Setiap pengiriman webhook membawa tanda tangan yang dibuat dengan rahasia titik akhir Anda sendiri, di atas id peristiwa, stempel waktu, dan isi persisnya. Server Anda dapat memeriksa apakah ada panggilan yang datang dari kami dan bukan panggilan ulang dari panggilan lama; perpustakaan Node dan PHP kami melakukannya dalam satu baris.
Titik akhir harus diselesaikan ke alamat publik, pengalihan tidak diikuti, dan pengiriman yang gagal dicoba ulang dengan jadwal yang lebih luas — seluruhnya delapan upaya, yang dilakukan dalam waktu lebih dari satu hari.
Kunci API
Kunci rahasia dibuat di Dasbor → Pengembang dan ditampilkan satu kali. Kami hanya menyimpan hash dari kunci tersebut, jadi tidak ada seorang pun — termasuk kami — yang dapat membacanya kembali setelahnya. Kunci yang Anda tidak yakin akan dicabut dan diganti, bukan dipulihkan.
Catatan tentang apa yang terjadi pada akun Anda
Proses masuk dan gagal masuk, perubahan dua langkah, pengaturan ulang kata sandi, perubahan kunci API dan webhook, serta tampilan rahasia penandatanganan dicatat dengan waktu dan alamat asalnya. Anda dapat membaca aktivitas terkini Anda di Pengaturan.
Rahasia dan badan permintaan tidak pernah ditulis ke catatan itu.
Dokumen verifikasi Anda
Apa yang Anda unggah untuk mendapatkan persetujuan disimpan secara pribadi dan hanya dibaca oleh orang yang meninjau permohonan Anda. Ini tidak muncul dalam daftar, ekspor, atau respons API yang dilihat penjual.
Jika auditor Anda, atau platform tempat Anda berjualan, memerlukan jawaban tentang cara penanganan pembayaran di sini, tanyakan kepada kami dan kami akan menjawab secara spesifik, bukan menunjuk pada lencana.
Anda pikir Anda menemukan masalah keamanan? Menulis ke sales@utopia-payments.com sebelum mengungkapkannya di tempat lain.