リスクの高いビジネスのカードを取得することは、管理を緩めることを意味するものではありません。 このページには、各コントロールが何を行うのか、また何を行わないのかが明確に記載されています。
カード番号があなたのサーバーや当社に届くことはありません
顧客は、当社が管理するページではなく、カード処理業者が運営する支払いウィンドウにカードを入力します。 当社がカード番号を受け取ることはありません。そのため、お客様のサイトや当社のサイトからカード番号が漏洩することはありません。
私たちが保持するのは注文です。つまり、金額、通貨、ステータス、時間、顧客がチェックアウト時に入力した名前、電子メール アドレス、携帯電話番号です。
3Dセキュア
カード支払いは、承認を受ける前に顧客の銀行に送信して承認を得ることができます。 これにより、カードの盗難を数か月後に紛争として解決するのではなく、早期に阻止することができます。
サブスクリプションの場合、これは 2 度重要です。カードは、3-D セキュアを通過した最初の支払い後の更新のためにのみ保持されます。
支払いは処理者がそう指示した場合にのみ支払われます
当社は、認証されたリクエストに基づいてすべての注文をカード処理業者に直接確認し、それから支払い済みのマークを付けてイベントを送信します。 ブラウザが成功ページに到達しても何も証明されず、支払いとして扱われることはありません。
顧客がタブを閉じた場合にも同じ確認が実行されるため、誰かの接続が切断されたために注文が失われることはありません。
アカウントの 2 段階認証
どのアカウントでも設定で 2 段階認証を有効にすることができます。認証アプリからのコードと、印刷して保管できる 10 個のワンタイム リカバリ コードが含まれます。 管理領域ではこれが必要です。
認証者の秘密は暗号化されて保存されるため、データベースのコピー自体が第 2 要素に渡されることはありません。
一部のアクションでは、API キーの作成、Webhook エンドポイントの追加、署名シークレットの読み取りなど、過去 15 分間に本人であることを証明していない場合は、再度本人であることを証明するよう求められます。
転送中の暗号化
サイト、ダッシュボード、ホスト型チェックアウト、および API は HTTPS 経由でのみ提供され、ブラウザーはドメインのプレーン HTTP を拒否するように指示されます。 Webhook エンドポイントも HTTPS である必要があります。
署名付き Webhook
すべての Webhook 配信には、イベント ID、タイムスタンプ、および正確な本文を介して、エンドポイント独自のシークレットで作成された署名が含まれます。 サーバーは、通話が私たちからのものであり、古い通話のリプレイではないことを確認できます。 Node ライブラリと PHP ライブラリはこれを 1 行で実行します。
エンドポイントはパブリック アドレスに解決される必要があり、リダイレクトは従わず、失敗した配信はより長いスケジュールで再試行されます (合計 8 回の試行が 1 日強にわたって行われます)。
APIキー
秘密キーは「ダッシュボード」→「開発者」で作成され、一度表示されます。 私たちはキーのハッシュのみを保存するため、私たちを含めて誰も後でそれを読み取ることはできません。 不確実なキーは、回復されず、取り消されて置き換えられます。
アカウントに何が起こったかの記録
サインインと失敗したサインイン、2 段階の変更、パスワードのリセット、API キーと Webhook の変更、および署名シークレットの表示が、時刻と送信元アドレスとともに記録されます。 [設定] で自分の最近のアクティビティを確認できます。
シークレットとリクエスト本文がそのレコードに書き込まれることはありません。
本人確認書類
承認を受けるためにアップロードした内容は非公開で保存され、申請を審査する人のみが読み取ります。 これは、販売者向けのリスト、エクスポート、または API 応答には表示されません。
貴社の監査人、または貴社が販売するプラットフォームがここでの支払いがどのように処理されるかについての回答が必要な場合は、私たちに質問してください。バッジを示すのではなく、具体的に回答します。
セキュリティ上の問題が見つかったと思いますか? 書き込み先 sales@utopia-payments.com 他の場所で公開する前に。