Cartes virtuelles avec Issuing

Vous pouvez récupérer ou afficher les détails d’une carte virtuelle via le Dashboard ou l’API, ou à l’aide d’Issuing Elements. Les règles PCI-DSS protègent les données des titulaires de carte, et les méthodes de récupération des informations de carte ne sont pas toutes conformes à la PCI-DSS.

Afficher les informations de carte virtuelle pour les titulaires de carte

Vous pouvez utiliser des Elements Issuing pour présenter les informations de carte virtuelle à vos titulaires sans que ces informations ne transitent par vos serveurs. Cette méthode est entièrement conforme à la PCI-DSS et nous la recommandons à la plupart des utilisateurs d’Issuing. Stripe propose Issuing Elements avec Stripe.js.

Récupérer les informations de carte virtuelle

Pour garantir la conformité PCI-DSS, nous vous recommandons de limiter la récupération des informations de carte virtuelle au Dashboard ou aux Elements Issuing. Si vous utilisez l’API pour récupérer les informations des cartes bancaires ou si vous exportez les informations des cartes virtuelles depuis le Dashboard, stockez-les dans un gestionnaire de mots de passe ou utilisez une autre méthode de chiffrement.

L’API vous permet de récupérer à la fois le numéro de carte et le numéro CVC complets et non expurgés. Pour des raisons de sécurité, vous ne pouvez utiliser ces champs qu’avec des cartes virtuelles en mode production, et ils sont omis sauf si vous en faites explicitement la demande avec la propriété expand. Vous pouvez récupérer ces champs pour les cartes physiques en mode test uniquement. De plus, ils ne sont accessibles que via l’endpoint de récupération de carte.

curl -G https://api.stripe.com/v1/issuing/cards \
  -u "
sk_test_4eC39HqLyjWDarjtT1zdp7dc
:" \
  -d "expand[]"=number \
  -d "expand[]"=cvc

Informations concernant la norme PCI-DSS

Si vous générez des cartes virtuelles pour votre utilisation personnelle, vous n’avez pas besoin de vous conformer à la norme PCI-DSS pour votre activité Issuing. Si vous générez des cartes virtuelles pour utilisation par vos utilisateurs, il se peut que vous soyez considéré comme un fournisseur de services soumis à la norme PCI-DSS. Les fournisseurs de services doivent être en conformité avec cette norme.

Si vous acceptez des paiements via Stripe, consultez le guide sur vos obligations PCI-DSS. Ces obligations viennent compléter les exigences précitées.