Accéder aux résultats de vérification

Pour construire une intégration Stripe Identity qui donne la priorité à la confidentialité de votre utilisateur, vous devez d’abord décider du nombre minimum de données personnelles dont vous avez besoin. Si vous n’avez pas besoin d’accéder aux données les plus sensibles (qui nécessitent une authentification avec une clé API limitée), votre intégration peut s’authentifier en utilisant uniquement votre clé secrète.

Pour accéder aux données personnelles résultant de la vérification, vous pouvez récupérer une VerificationSession et développer, au choix : le champ verified_outputs ou le champ last_verification_report si vous souhaitez obtenir plus d’informations sur le résultat de la vérification. Lorsque vous développez l’un de ces champs, tous les champs PII qu’il contient et qui ne nécessitent qu’une clé secrète sont automatiquement inclus.

Voici un exemple montrant comment développer le champ verified_outputs pour récupérer le nom d’un utilisateur vérifié par Stripe Identity.

// Set your secret key. Remember to switch to your live secret key in production.
// See your keys here: https://dashboard.stripe.com/apikeys
const stripe = require('stripe')(
'sk_test_BQokikJOvBiI2HlWgH4olfQ2');

const verificationSession = await stripe.identity.verificationSessions.retrieve(
  '{{SESSION_ID}}',
  {
    expand: [
      'verified_outputs',
    ],
  }
);

const firstName = verificationSession.verified_outputs.first_name;

Si vous devez vraiment accéder aux informations personnelles sensibles qui nécessitent une clé limitée, suivez les étapes expliquées dans ce guide.

Vous pouvez utiliser les clés API secrètes de votre compte pour effectuer toutes les requêtes API sans restriction. L’accès aux résultats de vérification sensibles nécessite des clés limitées, lesquelles sont plus sécurisées.

Pour créer une nouvelle clé limitée :

1. Accédez à la page des clés API dans le Dashboard et cliquez sur Créer une clé limitée.
2. Donnez un nom à votre clé.
3. Vérifiez que les autorisations d’Identity Sessions et rapports de vérification et Accéder aux résultats de vérification sensibles récents sont définies sur Lecture.
4. (facultatif) Si vous devez accéder aux images collectées, ajoutez l’autorisation Écriture des fichiers.
5. Cliquez sur Créer une clé.
6. Conservez la clé en toute sécurité. En savoir plus sur la protection de vos clés.

Les VerificationReports contiennent toutes les données collectées et les résultats de vérification d’une session soumise. Les VerificationReports sont créés lorsque tous les contrôles de vérification d’une session ont été traités. Ils vous permettent de comprendre les raisons de l’échec d’un contrôle de vérification et vous indiquent les données qui ont pu être vérifiées avec succès.

Vous pouvez développer le champ last_verification_report de la session pour récupérer le VerificationReport associé.

Par défaut, les VerificationReports n’incluent pas les résultats de vérification sensibles. Pour y accéder, vous devrez :

1. Vous authentifier à l’aide de la clé API limitée créée à l’étape 1.
2. Développer les champs auxquels vous souhaitez accéder.

Voici un exemple d’accès à la date de naissance, au numéro d’identification et au numéro de document extraits d’une vérification de document :

// Set your restricted key. Remember to switch to a live restricted key in production.
// See your keys here: https://dashboard.stripe.com/apikeys
const stripe = require('stripe')('rk_test_...');

const verificationSession = await stripe.identity.verificationSessions.retrieve(
  '{{SESSION_ID}}',
  {
    expand: [
      'verified_outputs.dob',
      'verified_outputs.id_number',
      'last_verification_report.document.number',
      'last_verification_report.document.expiration_date',
    ],
  }
);

const dateOfBirth = verificationSession.verified_outputs.dob;
const idNumber = verificationSession.verified_outputs.id_number;
const documentNumber = verificationSession.last_verification_report.document.number;
const documentExpirationDate = verificationSession.last_verification_report.document.expiration_date;

Accès aux images collectées

Vous pouvez récupérer les images des pièces d’identité et des visages qui sont collectées dans une session à l’aide de l’API File Upload. Les champs suivants, dans un VerificationReport, peuvent contenir une référence à une ressource File dans l’API Stripe :

• document.files - images de la pièce d’identité
• selfie.document - image du recto de la pièce d’identité avec photo
• selfie.selfie - image du visage de l’utilisateur

Pour accéder au contenu du fichier, vous devez vous identifier à l’aide de la clé limitée créée précédemment, créer un FileLink avec une courte période d’expiration et envoyer le paramètre url au client :

// Set your restricted key. Remember to switch to a live restricted key in production.
// See your keys here: https://dashboard.stripe.com/apikeys
const stripe = require('stripe')('rk_test_...');

// Get the VerificationReport
const session = await stripe.identity.verificationSessions.retrieve(
  '{{SESSION_ID}}',
  {
    expand: ['last_verification_report'],
  }
);

// Retrieve the File id
const report = session.last_verification_report;
const documentFrontFile = report.document.files[0];

// Create a short-lived FileLink
const fileLink = await stripe.fileLinks.create({
  file: documentFrontFile,
  expires_at: Math.floor(Date.now() / 1000) + 30,  // link expires in 30 seconds
});

// Access the FileLink URL to download file contents
const fileUrl = fileLink.url;

Si vous pensez qu’une personne malveillante a accédé à des données sensibles collectées par Identity, contactez le service Support.

En utilisant des clés API limitées qui ne disposent que d’autorisations Identity, vous pourrez révoquer les clés en cas d’urgence sans que cela n’ait d’incidence sur les autres intégrations de produits Stripe.

Nous vous recommandons de contrôler régulièrement l’utilisation de vos clés limitées pour vérifier que personne n’y a eu accès. Dans le Dashboard, vous pouvez utiliser le menu de débordement (…) pour afficher les logs des requêtes d’une clé API donnée afin de visualiser toutes les requêtes effectuées à partir de cette clé.

Si une clé API est compromise, vous pouvez la bloquer et en générer une nouvelle dans le Dashboard. Veillez à la faire expirer immédiatement pour éviter que des personnes malveillantes ne récupèrent des informations sensibles.

Si vous pensez qu’une personne malveillante a accédé à des données sensibles collectées par Identity, contactez le service Support.

Assurez-vous que votre politique de confidentialité comprend des informations sur votre utilisation des résultats de vérification sensibles. Il peut également être utile de fournir des informations sur vos pratiques en matière de sécurité.

Voir également

• Points à prendre en compte lors du traitement des données de vérification d’identité en tant qu’entreprise
• FAQ à fournir à vos utilisateurs