Het aannemen van kaarten voor een bedrijf met een hoog risico betekent niet dat de controles worden versoepeld. Op deze pagina staat duidelijk wat elk besturingselement doet – en wat het niet doet.
Kaartnummers bereiken nooit uw servers of die van ons
Klanten typen hun kaart in een betalingsvenster dat wordt beheerd door de kaartverwerker, en niet op een pagina die wij beheren. We ontvangen nooit het kaartnummer, dus het kan niet uit uw site of uit de onze lekken.
Wat we bewaren is de bestelling: het bedrag, de valuta, de status, de tijd en de naam, het e-mailadres en het mobiele nummer dat de klant bij het afrekenen heeft getypt.
3D-veilig
Een kaartbetaling kan ter goedkeuring naar de bank van de klant worden gestuurd voordat deze wordt afgeschreven. Dat is wat een gestolen kaart vroegtijdig tegenhoudt, in plaats van maanden later als geschil.
Voor abonnementen geldt het dubbel: een kaart wordt pas bewaard voor verlengingen na een eerste betaling via 3-D Secure.
Een betaling wordt pas uitbetaald als de verwerker dit aangeeft
We bevestigen elke bestelling rechtstreeks bij de kaartverwerker via een geverifieerd verzoek, en pas daarna markeren we deze als betaald en sturen we u het evenement. Een browser die op een succespagina terechtkomt bewijst niets en wordt nooit als betaling beschouwd.
Dezelfde bevestiging wordt uitgevoerd als de klant het tabblad sluit, zodat een bestelling niet verloren gaat omdat iemands verbinding is verbroken.
Tweestapsverificatie voor uw account
Elk account kan tweestapsverificatie inschakelen in Instellingen: een code van elke authenticator-app, plus tien eenmalige herstelcodes om af te drukken en te bewaren. Het admin-gedeelte vereist dit.
Authenticatorgeheimen worden versleuteld opgeslagen, zodat een kopie van de database op zichzelf niemands tweede factor overdraagt.
Bij sommige acties wordt u opnieuw gevraagd te bewijzen dat u het bent als u dit de afgelopen vijftien minuten niet hebt gedaan: een API-sleutel maken, een webhook-eindpunt toevoegen of een ondertekeningsgeheim lezen.
Versleuteling tijdens verzending
De site, het dashboard, de gehoste kassa en de API worden alleen via HTTPS aangeboden en browsers krijgen te horen dat ze gewone HTTP voor het domein moeten weigeren. Webhook-eindpunten moeten ook HTTPS zijn.
Ondertekende webhooks
Elke webhook-levering bevat een handtekening die is gemaakt met het geheim van uw eindpunt, over de gebeurtenis-ID, de tijdstempel en de exacte hoofdtekst. Uw server kan controleren of een oproep van ons afkomstig is en geen herhaling is van een oudere oproep; onze Node- en PHP-bibliotheken doen het op één regel.
Eindpunten moeten worden omgezet naar een openbaar adres, omleidingen worden niet gevolgd en een mislukte bezorging wordt opnieuw geprobeerd volgens een steeds groter wordend schema: in totaal acht pogingen, verspreid over iets meer dan een dag.
API-sleutels
Geheime sleutels worden aangemaakt in Dashboard → Ontwikkelaars en één keer getoond. Wij bewaren alleen een hash van de sleutel, zodat niemand – wij ook niet – deze achteraf kan teruglezen. Een sleutel waarover u niet zeker bent, wordt ingetrokken en vervangen, niet hersteld.
Een overzicht van wat er met uw account is gebeurd
Aanmeldingen en mislukte aanmeldingen, wijzigingen in twee stappen, wachtwoordresets, wijzigingen in de API-sleutel en webhook en weergaven van een ondertekeningsgeheim worden vastgelegd met de tijd en het adres waar ze vandaan kwamen. Je kunt je eigen recente activiteit lezen in Instellingen.
Geheimen en verzoekinstanties worden nooit naar dat record geschreven.
Uw verificatiedocumenten
Wat u uploadt om goedgekeurd te worden, wordt privé opgeslagen en kan alleen worden gelezen door de mensen die uw aanvraag beoordelen. Het verschijnt in geen enkele op de verkoper gerichte lijst, export of API-reactie.
Als uw eigen auditors, of een platform waarop u verkoopt, een antwoord nodig hebben over hoe betalingen hier worden afgehandeld, vraag het ons en wij zullen specifiek antwoorden in plaats van naar een badge te wijzen.
Denkt u een beveiligingsprobleem te hebben gevonden? Schrijf naar sales@utopia-payments.com voordat het ergens anders openbaar wordt gemaakt.