Zabieranie kart do biznesu wysokiego ryzyka nie oznacza rozluźnienia kontroli. Na tej stronie wyraźnie opisano, co robi każdy element sterujący, a czego nie.
Numery kart nigdy nie docierają do Twoich serwerów ani do nas
Klienci wpisują dane swojej karty w oknie płatności obsługiwanym przez procesor karty, a nie na kontrolowanej przez nas stronie. Nigdy nie otrzymujemy numeru karty, więc nie może on wyciekać ani z Twojej, ani z naszej witryny.
Przechowujemy zamówienie: kwotę, walutę, status, godzinę oraz imię i nazwisko, adres e-mail i numer telefonu komórkowego, które klient wpisał przy kasie.
Bezpieczne 3D
Płatność kartą może zostać wysłana do banku klienta w celu zatwierdzenia przed jej zrealizowaniem. To właśnie powstrzymuje skradzioną kartę wcześniej, a nie po miesiącach sporu.
W przypadku subskrypcji ma to podwójne znaczenie: karta jest przechowywana wyłącznie w celu odnowienia karty po pierwszej płatności, która przeszła pomyślnie 3-D Secure.
Płatność jest dokonywana dopiero po wyrażeniu zgody przez procesor
Każde zamówienie potwierdzamy bezpośrednio u procesora karty na uwierzytelnione żądanie, a dopiero potem oznaczamy je jako opłacone i wysyłamy Ci wydarzenie. Wylądowanie przeglądarki na stronie sukcesu niczego nie dowodzi i nigdy nie jest traktowane jako płatność.
To samo potwierdzenie zostanie uruchomione, jeśli klient zamknie zakładkę, dzięki czemu zamówienie nie zostanie utracone w wyniku zerwania połączenia.
Weryfikacja dwuetapowa na Twoim koncie
Każde konto może włączyć w Ustawieniach weryfikację dwuetapową: kod z dowolnej aplikacji uwierzytelniającej oraz dziesięć jednorazowych kodów odzyskiwania do wydrukowania i zachowania. Wymaga tego obszar administracyjny.
Sekrety uwierzytelniające są przechowywane w postaci zaszyfrowanej, więc sama kopia bazy danych nie przekazuje nikomu drugiego czynnika.
Niektóre akcje wymagają ponownego udowodnienia, że to Ty, jeśli nie zrobiłeś tego w ciągu ostatnich piętnastu minut — utworzenie klucza API, dodanie punktu końcowego webhooka lub odczytanie sekretu podpisu.
Szyfrowanie w transporcie
Witryna, pulpit nawigacyjny, hostowana kasa i interfejs API są obsługiwane wyłącznie za pośrednictwem protokołu HTTPS, a przeglądarki są informowane o odrzucaniu zwykłego protokołu HTTP dla domeny. Punkty końcowe webhooka również muszą być HTTPS.
Podpisane webhooki
Każda dostawa webhooka zawiera podpis wykonany przy użyciu sekretu punktu końcowego, identyfikatora zdarzenia, znacznika czasu i dokładnej treści. Twój serwer może sprawdzić, czy połączenie pochodzi od nas i nie jest odtworzeniem starszego; nasze biblioteki Node i PHP robią to w jednej linii.
Punkty końcowe muszą zostać rozpoznane na adres publiczny, przekierowania nie są przestrzegane, a dostawa, która się nie powiedzie, jest ponawiana zgodnie z rozszerzającym się harmonogramem — w sumie osiem prób rozłożonych na nieco ponad dzień.
Klucze API
Tajne klucze są tworzone w Panelu → Programiści i pokazywane jednokrotnie. Przechowujemy tylko skrót klucza, więc nikt — łącznie z nami — nie może go później odczytać. Klucz, co do którego nie masz pewności, zostanie unieważniony i zastąpiony, a nie odzyskany.
Zapis tego, co stało się z Twoim kontem
Logowania i nieudane logowania, zmiany dwuetapowe, resetowanie haseł, zmiany klucza API i webhooka oraz wyświetlenia sekretu podpisu są rejestrowane wraz z czasem i adresem, z którego pochodzą. Możesz przeczytać swoją ostatnią aktywność w Ustawieniach.
Sekrety i treści żądań nigdy nie są zapisywane w tym rekordzie.
Twoje dokumenty weryfikacyjne
To, co prześlesz w celu uzyskania zatwierdzenia, jest przechowywane prywatnie i czytane tylko przez osoby przeglądające Twoją aplikację. Nie pojawia się na żadnej liście dostępnej dla sprzedawców, eksporcie ani odpowiedzi API.
Jeśli Twoi audytorzy lub platforma, na której sprzedajesz, potrzebują odpowiedzi na temat sposobu obsługi płatności w tym miejscu, zapytaj nas, a my odpowiemy konkretnie, a nie wskazujemy na plakietkę.
Myślisz, że znalazłeś problem związany z bezpieczeństwem? Napisz do sales@utopia-payments.com zanim ujawnisz to gdziekolwiek indziej.