La sécurité chez Stripe

Nos utilisateurs confient à Stripe leurs données sensibles et comptent sur nous pour être de bons dépositaires des données de leurs clients finaux. En tant qu’entreprise d’infrastructure de paiement, notre niveau de sécurité évolue continuellement pour répondre aux normes rigoureuses de l’industrie financière mondiale.

Conformité aux normes et réglementations

Stripe fait appel aux meilleures pratiques en matière de sécurité pour maintenir un niveau élevé de sécurité.

Certification PCI

Un auditeur certifié PCI a évalué Stripe et nous a donné la certification Fournisseur de services PCI de niveau 1. Il s’agit du niveau de certification le plus rigoureux dans le secteur des paiements. Cet audit a examiné notre système de stockage des données de cartes bancaires (CDV) et le développement logiciel sécurisé de notre code d’intégration.

Nous fournissons à nos utilisateurs des fonctionnalités pour automatiser certains aspects de la conformité PCI.

• Nous analysons la méthode d’intégration de l’utilisateur et l’informons dynamiquement du formulaire de validation PCI qu’il doit utiliser.
• Si un utilisateur intègre Stripe Elements, Checkout, la trousse SDK de Terminal ou nos bibliothèques mobiles, nous l’aiderons à remplir le formulaire de validation PCI (Questionnaire d’autoévaluation A) dans le Dashboard.
• Nous publions un guide de conformité PCI pour informer nos utilisateurs sur la conformité PCI et sur la façon dont Stripe peut les aider.

Rapports sur les contrôles du système et de l’organisation (SOC)

Les systèmes, processus et contrôles de Stripe font l’objet d’audits réguliers dans le cadre de nos programmes de conformité SOC 1 et SOC 2. Les rapports SOC 1 et SOC 2 de type II sont produits annuellement et peuvent être fournis sur demande.

Le Conseil des normes d’audit de l’American Institute of Certified Public Accountants (AICPA) Trust Service Criteria (TSC) a élaboré le rapport SOC 3. Le SOC 3 de Stripe est un rapport public sur les contrôles internes en matière de sécurité, de disponibilité et de confidentialité. Consultez notre récent rapport SOC 3.

Norme EMVCo pour les terminaux de cartes

Stripe Terminal est certifié conforme aux normes EMVCo niveaux 1 et 2 des spécifications EMV® pour la sécurité et l’interopérabilité des cartes et des terminaux. Terminal est également certifié conforme à la norme de sécurité des données des applications de paiement PCI (PA-DSS), la norme de sécurité mondiale qui vise à empêcher les applications de paiement développées pour des tiers de stocker des données sécurisées interdites.

Cadre de cybersécurité du NIST

L’ensemble des politiques sur la sécurité de l’information de Stripe et leur conception globale sont alignées sur le cadre de cybersécurité du NIST. Nos pratiques de sécurité répondent aux normes de nos clients qui doivent fournir des produits sécurisés comme des plateformes infonuagiques et de stockage à la demande (par exemple, Digital Ocean et Slack).

Confidentialité et protection des données

Les pratiques de confidentialité de Stripe sont conformes aux systèmes CBPR et PRP, comme en témoignent les certifications CBPR et PRP obtenues par Stripe. Pour consulter l’état de nos certifications, veuillez cliquer ici (CBPR) et ici (PRP). Stripe se conforme également au cadre de confidentialité des données des États-Unis (« DPF UE-États-Unis »), à l’extension britannique du DPF UE-États-Unis et au cadre de confidentialité des données Suisse-États-Unis tel que défini par le département américain du Commerce. Pour consulter nos certifications, veuillez cliquer ici.

Nous mettons en œuvre régulièrement des processus et des procédures en matière de confidentialité et de protection des données adaptés, ainsi que les meilleures pratiques dans le cadre de toute réglementation applicable en matière de confidentialité et de protection des données. Pour en savoir plus, consultez les ressources suivantes :

• Politique de confidentialité
• Centre de confidentialité
• Contrat de traitement des données

Sécurisation du produit Stripe

La sécurité est l’un des principes directeurs de Stripe en ce qui concerne la conception de nos produits et nos décisions en matière d’infrastructure. Nous proposons une gamme de fonctionnalités pour aider nos utilisateurs à mieux protéger leurs données Stripe.

Authentification des actions sensibles

Le tableau de bord Stripe prend en charge plusieurs formes d’authentification multifacteur (MFA), notamment : SMS, algorithme de mot de passe à usage unique à durée déterminée le temps (TOTP), clés de sécurité matérielles et clés d’accès. Nous prenons également en charge l’authentification unique via Security Assertion Markup Language (SAML) 2.0, permettant aux clients de définir des exigences de connexion, de configurer le contrôle d’accès et d’intégrer instantanément les membres de l’équipe au moyen d’un provisionnement de compte Just-in-Time.

Les demandes d’assistance des utilisateurs doivent être authentifiées par l’envoi d’une demande dans le Dashboard (après connexion) ou par la vérification de l’accès au compte avant qu’une réponse d’assistance ne soit proposée. L’exigence d’authentification nous permet de minimiser le risque de transmettre des informations à des personnes non autorisées.

Restriction d’accès et audit

À l’aide du Dashboard, les utilisateurs peuvent attribuer à leurs employés des rôles précis pour leur permettre d’accéder uniquement aux privilèges requis, et créer des clés d’accès limité pour réduire les risques en cas de fuite des clés API.

Les utilisateurs peuvent également consulter les journaux d’audit des modifications et activités importantes du compte dans l’historique de sécurité. Ces journaux d’audit contiennent des enregistrements relatifs aux activités de compte sensibles, comme la connexion ou la modification des informations de compte bancaire. Nous surveillons les connexions et notons :

• S’ils proviennent des mêmes appareils ou d’appareils habituels
• S’ils proviennent d’adresses IP différentes
• Tentatives échouées

Les utilisateurs peuvent exporter des informations de l’historique à partir des journaux. Pour les activités à durée limitée, telles que les connexions à partir d’adresses IP et d’appareils inconnus, nous envoyons des notifications automatiques afin qu’il ne soit pas nécessaire d’examiner les journaux manuellement.

HTTPS et HSTS pour des connexions sécurisées

Nous exigeons l’utilisation du protocole HTTPS pour tous les services qui utilisent le protocole TLS (SSL), y compris le contenu public de notre site Web et le Dashboard. Nous vérifions régulièrement les détails de notre implémentation, y compris les certificats que nous traitons, les autorités de certification auxquelles nous faisons appel et les chiffrements que nous prenons en charge. Nous utilisons HSTS pour nous assurer que les navigateurs interagissent avec Stripe uniquement via le protocole HTTPS. Stripe figure également sur les listes préchargées HSTS pour tous les principaux navigateurs modernes.

Toutes les communications de serveur à serveur sont chiffrées à l’aide du protocole mTLS et Stripe dispose de clés PGP dédiées pour permettre aux utilisateurs de chiffrer les communications avec Stripe ou de vérifier les messages signés qu’ils reçoivent de Stripe. Nos systèmes exigent l’utilisation de TLS 1.2 ou d’une version ultérieure, et bloquent automatiquement les requêtes effectuées à l’aide de versions antérieures.

Le domaine stripe.com, y compris les sous-domaines Dashboard et API, figure sur la liste des principaux domaines pour Chrome, ce qui offre une protection supplémentaire contre les attaques homographiques. Il est ainsi plus difficile de créer de fausses pages qui ressemblent à stripe.com dans Chrome (par exemple, strípe.com), qui s’affichent en punycode (xn-strpe-1sa.com), ce qui rend plus difficile l’hameçonnage des identifiants Stripe.

Surveillance proactive d’Internet

Nous recherchons de manière proactive sur Internet les clés API de nos marchands. Si nous trouvons une clé compromise, nous prenons les mesures qui s’imposent et informons l’utilisateur qu’il doit échanger sa clé API. Nous utilisons le scanner de jetons GitHub pour nous alerter lorsque les clés API d’un utilisateur ont été divulguées sur GitHub. Si nous trouvons des pages d’hameçonnage externes susceptibles d’attirer nos utilisateurs, nous collaborons de manière proactive avec nos fournisseurs pour les supprimer et les signaler à Google Safe Browsing (navigation sécurisée de Google).

Dispositifs de protection des infrastructures

Nos équipes de sécurité testent régulièrement notre infrastructure en recherchant les vulnérabilités et en effectuant des tests de pénétration et des simulations d’attaque. Nous faisons appel à des entreprises de sécurité de premier plan pour effectuer des analyses de nos systèmes par des tiers, et nous donnons immédiatement suite à leurs conclusions. Nos serveurs sont remplacés fréquemment et systématiquement afin d’assurer le bon fonctionnement du serveur et d’éliminer les connexions ou les ressources obsolètes. Les systèmes d’exploitation des serveurs sont mis à niveau bien avant la date de fin de vie utile relative à la sécurité.

Technologie de carte dédiée

Stripe chiffre les données sensibles en transit et au repos. L’infrastructure de Stripe pour le stockage, le déchiffrage et la transmission des numéros de compte principal (PAN), tels que les numéros de carte de crédit, fonctionne dans une infrastructure d’hébergement distincte et ne partage aucun identifiant avec le reste de nos services. Une équipe dédiée gère notre CDV dans un environnement Amazon Web Services (AWS) isolé, distinct du reste de l’infrastructure de Stripe. L’accès à cet environnement distinct est réservé à un nombre limité d’ingénieurs spécialement formés et l’accès est vérifié tous les trimestres.

Tous les numéros de carte sont chiffrés font l’objet d’un chiffrement AES-256 des données au repos. Les clés de déchiffrage sont stockés sur des machines distinctes. Nous utilisons des jetons, à l’interne, pour les PAN, en isolant les données brutes du reste de notre infrastructure. Aucun des serveurs ni aucun des démons internes de Stripe ne peuvent obtenir de numéros de carte en texte clair, mais ils peuvent émettre une requête pour que les cartes soient envoyées à un fournisseur de services qui figure sur une liste d’autorisation statique. L’infrastructure de Stripe pour le stockage, le déchiffrage et la transmission des numéros de carte fonctionne dans un environnement d’hébergement distinct, et ne partage aucun identifiant avec les principaux services de Stripe, y compris notre API et notre site Web. Nous n’utilisons pas de jetons uniquement pour les PAN; nous traitons d’autres données sensibles, comme les informations de compte bancaire, de la même manière.

Technologie d’entreprise

Stripe adopte une approche « aucune confiance » dans le cadre de la gestion des accès des employés. Les employés sont authentifiés au moyen de l’authentification unique, de l’authentification à deux facteurs (2FA) à l’aide d’un jeton matériel et du protocole mTLS via un certificat cryptographique sur les appareils fournis par Stripe. Après la connexion au réseau, les systèmes internes sensibles et ceux qui sortent du cadre du travail standard de l’employé nécessitent des autorisations d’accès supplémentaires.

Nous surveillons les journaux d’audit pour détecter les anomalies, les intrusions et les activités suspectes, ainsi que les modifications apportées aux fichiers sensibles dans notre code base. Tout le code de Stripe fait l’objet d’un examen multipartite et de tests automatisés. Les modifications apportées au code sont enregistrées dans un journal immuable et inviolable. Nous recueillons constamment des informations sur les ordinateurs portables fournis par Stripe pour surveiller les processus malveillants, les connexions à des domaines frauduleux et les activités d’intrusion. Nous disposons d’un processus complet pour autoriser l’installation de logiciels autorisés sur les ordinateurs portables des employés, ce qui permet d’éviter l’installation d’applications non approuvées.

Maintien du niveau de sécurité

Nos développeurs collaborent avec des experts en sécurité au début du cycle de vie d’un projet. Dans le cadre de notre processus d’examen de la sécurité, les experts en sécurité élaborent des modèles de menaces et des limites de sécurisation qui orientent la mise en œuvre du projet. Les développeurs utilisent ce même processus pour apporter des modifications aux éléments de code sensibles.

Experts attitrés sur appel

Nous avons un certain nombre d’équipes de sécurité attitrées qui se spécialisent dans différents domaines de la sécurité, notamment l’infrastructure, les opérations, la confidentialité, les utilisateurs et les applications. Nos experts en sécurité sont disponibles en tout temps grâce à un système sur appel. Nous cherchons à améliorer constamment les meilleures pratiques afin de minimiser les risques liés à la cybersécurité.

La sécurité est l’affaire de chaque employé de Stripe

Nous demandons à chaque employé de Stripe de suivre une formation annuelle sur la sécurité, et nous offrons une formation sur le développement de logiciels sécurisés aux ingénieurs de Stripe. Nous menons des campagnes d’hameçonnage internes pour tester tous les employés de Stripe quant à leur capacité de reconnaître des tentatives d’hameçonnage et à les signaler à l’équipe de sécurité appropriée.

Gérer le contrôle d’accès

Nous disposons d’un processus formel pour accorder l’accès aux systèmes et aux informations; nous examinons régulièrement et supprimons automatiquement les droits d’accès inactifs. Les actions dans les zones les plus sensibles de l’infrastructure nécessitent un examen humain. Pour favoriser les meilleures pratiques en matière de contrôle d’accès, nos experts en sécurité élaborent des primitives pour aider les équipes de Stripe à mettre en œuvre le principe du droit d’accès minimal. Pour minimiser notre exposition, nous avons une politique de conservation des données qui limite les données que nous conservons tout en respectant les exigences réglementaires et commerciales.

Divulgation de vulnérabilités et programme de primes

Nous avons mis en place un programme de divulgation et de récompense des vulnérabilités (« primes aux bogues ») qui permet de rémunérer les chercheurs en sécurité indépendants qui nous aident à assurer la sécurité de nos utilisateurs. En soumettant un bogue ou une vulnérabilité de sécurité à Stripe via HackerOne, vous reconnaissez avoir lu et accepté les conditions du programme. Consultez notre politique sur HackerOne pour en savoir plus sur la façon de participer à notre programme de primes aux bogues.