Prendere carte per un business ad alto rischio non significa allentare i controlli. Questa pagina dice chiaramente cosa fa ciascun controllo e cosa non fa.
I numeri delle carte non raggiungono mai i tuoi server o i nostri
I clienti digitano la loro carta in una finestra di pagamento gestita dal processore della carta, non in una pagina che controlliamo. Non riceviamo mai il numero della carta, quindi non può fuoriuscire dal tuo sito o dal nostro.
Ciò che conserviamo è l'ordine: l'importo, la valuta, lo stato, l'ora e il nome, l'indirizzo e-mail e il numero di cellulare digitati dal cliente al momento del pagamento.
Sicurezza 3D
Un pagamento con carta può essere inviato alla banca del cliente per l'approvazione prima che venga effettuato. Questo è ciò che impedisce tempestivamente una carta rubata, anziché una contestazione mesi dopo.
Per gli abbonamenti è doppiamente importante: la carta viene trattenuta solo per i rinnovi dopo un primo pagamento che ha superato il 3-D Secure.
Un pagamento viene effettuato solo quando il processore lo dice
Confermiamo ogni ordine direttamente con l'elaboratore della carta tramite una richiesta autenticata, e solo allora lo contrassegniamo come pagato e ti inviamo l'evento. L'arrivo del browser su una pagina di successo non dimostra nulla e non viene mai trattato come un pagamento.
La stessa conferma viene eseguita se il cliente chiude la scheda, quindi un ordine non viene perso a causa dell'interruzione della connessione di qualcuno.
Verifica in due passaggi sul tuo account
Qualsiasi account può attivare la verifica in due passaggi nelle Impostazioni: un codice da qualsiasi app di autenticazione, più dieci codici di ripristino monouso da stampare e conservare. L'area amministrativa lo richiede.
I segreti dell'autenticatore vengono archiviati crittografati, quindi una copia del database da sola non trasmette il secondo fattore di nessuno.
Alcune azioni ti chiedono di dimostrare ancora una volta la tua identità se non lo hai fatto negli ultimi quindici minuti: creando una chiave API, aggiungendo un endpoint webhook o leggendo un segreto di firma.
Crittografia in transito
Il sito, il dashboard, il checkout ospitato e l'API vengono serviti solo tramite HTTPS e ai browser viene detto di rifiutare il semplice HTTP per il dominio. Anche gli endpoint webhook devono essere HTTPS.
Webhook firmati
Ogni consegna di webhook porta una firma creata con il segreto del tuo endpoint, sull'ID dell'evento, il timestamp e il corpo esatto. Il tuo server può verificare che la chiamata provenga da noi e non sia la riproduzione di una chiamata precedente; le nostre librerie Node e PHP lo fanno in una riga.
Gli endpoint devono risolversi in un indirizzo pubblico, i reindirizzamenti non vengono seguiti e una consegna che fallisce viene ritentata con una pianificazione più ampia: otto tentativi in tutto, distribuiti in poco più di un giorno.
Chiavi API
Le chiavi segrete vengono create in Dashboard → Sviluppatori e mostrate una volta. Memorizziamo solo un hash della chiave, quindi nessuno, compresi noi, può rileggerlo in seguito. Una chiave di cui non sei sicuro viene revocata e sostituita, non recuperata.
Un registro di ciò che è successo al tuo account
Gli accessi e gli accessi non riusciti, le modifiche in due passaggi, la reimpostazione della password, le modifiche alla chiave API e al webhook e le visualizzazioni di un segreto di firma vengono registrati con l'ora e l'indirizzo da cui provengono. Puoi leggere la tua attività recente in Impostazioni.
I segreti e gli organi di richiesta non vengono mai scritti in quel record.
I tuoi documenti di verifica
Ciò che carichi per ottenere l'approvazione viene archiviato in privato e viene letto solo dalle persone che esaminano la tua domanda. Non appare in nessun elenco rivolto ai commercianti, esportazione o risposta API.
Se i tuoi revisori, o una piattaforma su cui vendi, hanno bisogno di una risposta su come vengono gestiti i pagamenti qui, chiedicelo e ti risponderemo in modo specifico anziché indicare un badge.
Pensi di aver riscontrato un problema di sicurezza? Scrivi a sales@utopia-payments.com prima di divulgarlo altrove.