Việc rút thẻ đối với doanh nghiệp có rủi ro cao không có nghĩa là nới lỏng kiểm soát. Trang này nói rõ ràng mỗi điều khiển thực hiện những gì — và những gì nó không làm.
Số thẻ không bao giờ đến được máy chủ của bạn hoặc của chúng tôi
Khách hàng nhập thẻ của họ vào cửa sổ thanh toán do bộ xử lý thẻ chạy chứ không phải vào trang chúng tôi kiểm soát. Chúng tôi không bao giờ nhận được số thẻ nên không thể rò rỉ từ trang của bạn hoặc của chúng tôi.
Những gì chúng tôi lưu giữ là thứ tự: số tiền, loại tiền tệ, trạng thái, thời gian và tên, địa chỉ email và số điện thoại di động mà khách hàng đã nhập khi thanh toán.
Bảo mật 3-D
Thanh toán bằng thẻ có thể được gửi đến ngân hàng của khách hàng để phê duyệt trước khi thực hiện. Đó là cách ngăn chặn việc thẻ bị đánh cắp sớm thay vì xảy ra tranh chấp nhiều tháng sau đó.
Đối với đăng ký, điều quan trọng gấp đôi: thẻ chỉ được giữ để gia hạn sau lần thanh toán đầu tiên vượt qua Bảo mật 3-D.
Khoản thanh toán chỉ được thanh toán khi bộ xử lý nói như vậy
Chúng tôi xác nhận mọi đơn hàng trực tiếp với bộ xử lý thẻ qua một yêu cầu đã được xác thực và chỉ sau đó đánh dấu đơn hàng đó là đã thanh toán và gửi sự kiện cho bạn. Trình duyệt truy cập vào một trang thành công không chứng tỏ được điều gì và không bao giờ được coi là khoản thanh toán.
Quá trình xác nhận tương tự sẽ diễn ra nếu khách hàng đóng tab, do đó đơn hàng sẽ không bị mất do kết nối của ai đó bị ngắt.
Xác minh hai bước trên tài khoản của bạn
Bất kỳ tài khoản nào cũng có thể bật xác minh hai bước trong Cài đặt: một mã từ bất kỳ ứng dụng xác thực nào, cùng với 10 mã khôi phục một lần để in và lưu giữ. Khu vực quản trị yêu cầu nó.
Bí mật của người xác thực được lưu trữ dưới dạng mã hóa, do đó bản sao của cơ sở dữ liệu sẽ không chuyển giao yếu tố thứ hai cho bất kỳ ai.
Một số hành động yêu cầu bạn chứng minh lại đó là bạn nếu bạn chưa làm như vậy trong mười lăm phút qua — tạo khóa API, thêm điểm cuối webhook hoặc đọc bí mật ký.
Mã hóa trong quá trình chuyển tiếp
Trang web, trang tổng quan, thanh toán được lưu trữ trên máy chủ và API chỉ được cung cấp qua HTTPS và các trình duyệt được yêu cầu từ chối HTTP đơn giản cho tên miền. Điểm cuối của webhook cũng phải là HTTPS.
Webhook đã ký
Mỗi lần phân phối webhook đều mang một chữ ký được tạo bằng bí mật riêng của điểm cuối của bạn, trên id sự kiện, dấu thời gian và nội dung chính xác. Máy chủ của bạn có thể kiểm tra xem cuộc gọi có đến từ chúng tôi hay không và không phải là cuộc gọi lại của cuộc gọi cũ hơn; Thư viện Node và PHP của chúng tôi thực hiện điều đó trong một dòng.
Các điểm cuối phải phân giải thành một địa chỉ công cộng, các chuyển hướng không được tuân theo và việc gửi không thành công sẽ được thử lại theo lịch mở rộng - tổng cộng là tám lần thử, trải dài hơn một ngày một chút.
Khóa API
Khóa bí mật được tạo trong Bảng điều khiển → Nhà phát triển và hiển thị một lần. Chúng tôi chỉ lưu trữ một hàm băm của khóa, vì vậy không ai — kể cả chúng tôi — có thể đọc lại sau đó. Chìa khóa mà bạn không chắc chắn sẽ bị thu hồi và thay thế, không được phục hồi.
Bản ghi về những gì đã xảy ra với tài khoản của bạn
Các lần đăng nhập và đăng nhập không thành công, thay đổi hai bước, đặt lại mật khẩu, thay đổi khóa API và webhook cũng như chế độ xem bí mật ký được ghi lại cùng với thời gian và địa chỉ mà chúng xuất phát. Bạn có thể đọc hoạt động gần đây của chính mình trong Cài đặt.
Bí mật và nội dung yêu cầu không bao giờ được ghi vào hồ sơ đó.
Tài liệu xác minh của bạn
Những gì bạn tải lên để được phê duyệt sẽ được lưu trữ riêng tư và chỉ những người xem xét đơn đăng ký của bạn mới đọc được. Nó không xuất hiện trong danh sách đối mặt với người bán, xuất hoặc phản hồi API.
Nếu kiểm toán viên của riêng bạn hoặc nền tảng bán hàng của bạn cần câu trả lời về cách xử lý các khoản thanh toán ở đây, hãy hỏi chúng tôi và chúng tôi sẽ trả lời cụ thể thay vì chỉ vào huy hiệu.
Nghĩ rằng bạn đã tìm thấy một vấn đề bảo mật? Viết thư cho sales@utopia-payments.com trước khi tiết lộ nó ở bất kỳ nơi nào khác.