# La sécurité chez Stripe Découvrez comment Stripe gère la sécurité. Nos utilisateurs font confiance à Stripe pour leurs données sensibles et celles de leurs clients finaux. En tant que prestataire de services de paiement, notre stratégie de sécurité évolue continuellement pour répondre aux normes rigoureuses du secteur financier international. ## Conformité aux normes et réglementations Stripe maintient ses pratiques de sécurité conformément aux normes et réglementations suivantes. ### Certifié PCI Un auditeur certifié PCI a évalué Stripe et nous a certifiés [Fournisseur de services PCI de niveau 1](https://www.visa.com/splisting/LearnMore.html). Il s’agit du niveau de certification le plus strict du secteur des paiements. Cet audit porte à la fois sur le coffre-fort de données de cartes Stripe (CDV) et sur le développement logiciel sécurisé de notre code logiciel d’intégration. Nous proposons à nos utilisateurs des fonctionnalités leur permettant d’automatiser certains aspects de la conformité PCI. - Nous analysons la méthode d’intégration de l’utilisateur et l’indiquons de manière dynamique sur le formulaire de validation PCI à utiliser. - Si un utilisateur intègre Stripe Elements, Checkout, les SDK Terminal ou nos bibliothèques mobiles, nous les aidons à remplir leur formulaire de validation PCI ([Questionnaire d’auto-évaluation](https://www.pcisecuritystandards.org/pci_security/completing_self_assessment)) dans le Dashboard. - Nous avons publié un [Guide de conformité PCI](https://stripe.com/guides/pci-compliance) pour vous donner plus d’informations sur la conformité PCI et la façon dont Stripe peut vous aider. ### Rapports SOC (System and Organization Controls) Les systèmes, processus et contrôles de Stripe font l’objet d’audits réguliers dans le cadre de nos programmes de conformité SOC 1 et SOC 2. Les rapports SOC 1 et SOC 2 Type II sont produits annuellement et peuvent être fournis sur demande. Le Conseil des normes d’audit de l’American Institute of Certified Public Accountants ([AICPA](https://www.aicpa.org/)) a élaboré le rapport SOC 3, qui repose sur les critères des services de confiance (TSC) de l’AICPA. Le SOC 3 de Stripe est un rapport public portant sur les contrôles internes relatifs à la sécurité, à la disponibilité et à la confidentialité. Consultez notre [dernier rapport SOC 3](https://docs.stripecdn.com/ebe9bebbdc5210a59ca18de4917ff3b152961a83fa3a98fbb81c758792472389.pdf). ### Norme EMVCo pour les terminaux de carte bancaire Stripe Terminal est certifié selon les normes [EMVCo Niveau 1 et 2](https://www.emvco.com/approved-products/?search_bar_keywords=bbpos&tax%5Bapproved-products_categories%5D%5B90%5D%5B%5D=94%2C95%2C96%2C97%2C99) des spécifications EMV® pour la sécurité et l’interopérabilité des cartes et terminaux. Terminal est également certifié selon la norme [de sécurité des données des applications de paiement PCI (PA-DSS)](https://en.wikipedia.org/wiki/PA-DSS), la norme de sécurité mondiale visant à empêcher que les applications de paiement développées pour des tiers ne stockent des données sécurisées interdites. ### Cadre de cybersécurité du NIST La suite de politiques en matière de sécurité de l’information de Stripe et leur conception globale sont alignées sur le [référentiel de cybersécurité du NIST](https://www.nist.gov/cyberframework/new-framework). Nos pratiques en matière de sécurité répondent aux exigences des grandes entreprises, qui doivent fournir des produits sécurisés, par exemple des plateformes de stockage et des services de cloud computing sur demande (comme DigitalOcean ou Slack). ### Confidentialité et protection des données Les pratiques de confidentialité de Stripe sont conformes aux systèmes CBPR et PRP, comme en témoignent les certifications [CBPR](https://privacy.trustarc.com/privacy-seal/validation?rid=31b93f92-8732-402c-9768-f15aabc763f4) et [PRP](https://privacy.trustarc.com/privacy-seal/validation?rid=712f8b7a-6d3c-4484-9522-3bf21d56818a) obtenues par Stripe. Consultez le statut de nos certifications CBPR et PRP. Stripe se conforme également au Cadre américain de protection des données (EU-US DPF), à l’extension britannique du EU-US DPF et au Cadre suisse-américain de protection des données, tels que définis par le Département du commerce des États-Unis. Consultez nos [certifications](https://www.dataprivacyframework.gov/s/participant-search/participant-detail?id=a2zt0000000TQOUAA4&status=Active). Nous mettons en œuvre en continu des processus, procédures et bonnes pratiques en matière de confidentialité et de protection des données, conformes à tous les régimes applicables. Pour plus d’informations, consultez les ressources Stripe suivantes : - [Politique de confidentialité](https://stripe.com/privacy) - [Centre de confidentialité](https://stripe.com/legal/privacy-center) - [Contrat de traitement des données](https://stripe.com/legal/dpa) ## Sécurité des produits Stripe La sécurité guide chacune de nos décisions en matière de conception de produits et d’infrastructure. Nous proposons une gamme complète de fonctionnalités pour aider nos utilisateurs à protéger leurs données Stripe. ### Authentification des actions sensibles Le Dashboard de Stripe prend en charge plusieurs méthodes d’[authentification multifacteur](https://support.stripe.com/questions/enable-two-step-authentication) (MFA), notamment les [clés d’accès](https://support.stripe.com/questions/sign-in-using-a-passkey), les [clés de sécurité matérielles](https://support.stripe.com/questions/set-up-a-hardware-security-key-for-two-step-authentication), le [mot de passe à usage unique basé sur le temps](https://support.stripe.com/questions/enable-two-step-authentication-using-a-mobile-app) (TOTP) ainsi que les [SMS](https://support.stripe.com/questions/enable-two-step-authentication-via-text-messaging). Les clés d’accès et les clés de sécurité matérielles sont recommandées pour limiter les risques d’hameçonnage. L’authentification MFA par SMS présente un risque d’interception et doit être utilisée uniquement en dernier recours. L’accès peut également être sécurisé via l’[authentification unique](https://docs.stripe.com/get-started/account/sso.md) (SSO) avec Security Assertion Markup Language (SAML) 2.0, permettant de gérer les contrôles d’accès, les exigences de connexion et l’onboarding des équipes via le provisionnement d’accès juste-à-temps (JIT). Avec le SSO associé à SCIM, les politiques d’authentification peuvent être administrées de façon centralisée par le fournisseur d’identité. Stripe authentifie les demandes adressées au service de support. Envoyez vos demandes depuis le Dashboard après vous être connecté. Dans les autres cas, nous vérifions que vous avez accès au compte avant de répondre. Cette exigence d’authentification réduit le risque de communiquer des informations à des personnes non autorisées. ### Audit et restriction d’accès Depuis le Dashboard, vous pouvez attribuer différents [rôles](https://docs.stripe.com/get-started/account/teams.md) détaillés afin d’accorder à vos employés uniquement les privilèges dont ils ont besoin, et créer des [clés API limitées](https://docs.stripe.com/keys.md#create-restricted-api-key) pour réduire les risques de sécurité et de fiabilité liés à l’exposition des clés API. Vous pouvez également [configurer des politiques d’accès](https://docs.stripe.com/keys.md#access-policies) pour les clés API afin d’empêcher leur utilisation depuis des emplacements non autorisés. Vous pouvez également consulter les logs d’audit des modifications et activités importantes de leur compte dans leur [historique de sécurité](https://dashboard.stripe.com/security_history). Ces logs d’audit contiennent des enregistrements des activités sensibles du compte, telles que la connexion ou la modification des informations bancaires. Nous surveillons les connexions et notons : - Si elles proviennent du même appareil ou d’appareils utilisés habituellement - Si elles proviennent d’adresses IP cohérentes - Les tentatives infructueuses Les utilisateurs peuvent exporter les informations historiques des logs. Pour les activités sensibles au facteur temps, notamment les connexions provenant d’adresses IP et d’appareils inconnus, Stripe envoie des notifications automatiques par e-mail à l’utilisateur qui n’a donc pas besoin de consulter manuellement les logs. ### HTTPS et HSTS pour des connexions sécurisées Nous exigeons l’utilisation de HTTPS pour l’ensemble des services reposant sur *TLS* (TLS refers to the process of securely transmitting data between the client—the app or browser that your customer is using—and your server. This was originally performed using the SSL (Secure Sockets Layer) protocol) (SSL), y compris notre site web public et le [Dashboard](https://dashboard.stripe.com). Nous contrôlons régulièrement les aspects techniques de notre mise en œuvre, notamment les certificats utilisés, les autorités de certification sélectionnées et les suites de chiffrement prises en charge. Nous utilisons [HSTS](https://en.wikipedia.org/wiki/HTTP_Strict_Transport_Security) pour garantir que les navigateurs communiquent avec Stripe uniquement via HTTPS. Stripe est également incluse dans les listes HSTS préchargées de tous les principaux navigateurs modernes. Nos systèmes bloquent automatiquement les requêtes utilisant des versions plus anciennes et moins sécurisées de TLS, et [imposent l’utilisation d’au moins TLS 1.2](https://stripe.com/blog/completing-tls-upgrade). Toutes les communications internes serveur à serveur de Stripe utilisent le chiffrement via la sécurité mutuelle des couches de transport (mTLS). Stripe met à votre disposition des [clés PGP](https://docs.stripe.com/security/python-client-pgp-key.md) dédiées pour sécuriser vos e-mails avec Stripe ou pour vérifier les messages signés que vous recevez. Le domaine [stripe.com](https://stripe.com), y compris les sous-domaines du Dashboard et de l’API, figure sur la liste des [domaines principaux](https://chromium-review.googlesource.com/c/chromium/src/+/605062) de Chrome, ce qui offre une protection supplémentaire contre les attaques par homoglyphes. Cela rend plus difficile la création, dans Chrome, de fausses pages ressemblant à stripe.com (par exemple `strípe.com`, qui s’affiche en punycode sous la forme `xn--strpe-1sa.com`) et, par conséquent, le hameçonnage des identifiants Stripe. ### Surveillance proactive d’Internet Nous analysons Internet de manière proactive à la recherche des clés API de nos commerçants. Si nous détectons une clé compromise, nous prenons les mesures appropriées et recommandons à l’utilisateur de renouveler sa clé API. Nous utilisons l’analyse des secrets de GitHub pour être alertés lorsqu’une clé API d’un utilisateur a été divulguée sur GitHub. Si nous détectons des pages de hameçonnage externes susceptibles de piéger nos utilisateurs, nous collaborons de manière proactive avec nos prestataires afin de les faire supprimer et de les signaler à Google Safe Browsing. ## Protection de l’infrastructure Nos équipes de sécurité testent régulièrement notre infrastructure en recherchant les vulnérabilités et en réalisant des tests d’intrusion ainsi que des exercices de red team. Nous faisons appel à des sociétés de sécurité tierces pour analyser nos systèmes et corrigeons immédiatement les problèmes qu’elles identifient. Nos serveurs sont fréquemment et automatiquement remplacés afin de préserver leur bon fonctionnement et d’éliminer les connexions ou ressources obsolètes. Les systèmes d’exploitation de nos serveurs sont mis à niveau bien avant leur date de fin de vie (EOL) en matière de sécurité. ### Technologie dédiée pour les cartes bancaires Stripe chiffre les données sensibles, en transit comme au repos. L’infrastructure d’hébergement utilisée par Stripe pour stocker, déchiffrer et transmettre les numéros de compte principaux (PAN), notamment les numéros de cartes de crédit, est séparée du reste de nos services et ne partage aucun identifiant avec eux, y compris avec notre API et notre site web. Une équipe spécialisée administre notre CDV dans un environnement Amazon Web Services (AWS) isolé du reste de l’infrastructure Stripe. Seul un petit nombre d’ingénieurs spécialement formés peut accéder à cet environnement, et ces accès sont réévalués chaque trimestre. Tous les numéros de cartes bancaires sont chiffrés au repos à l’aide d’AES-256. Les clés de déchiffrement sont stockées sur des machines distinctes. Nous tokenisons les PAN en interne afin d’isoler les numéros bruts du reste de notre infrastructure. Aucun serveur ni démon interne de Stripe ne peut obtenir les numéros de carte en clair, mais ils peuvent demander que les données de carte soient envoyées à un fournisseur de services figurant sur une liste d’autorisation statique. Nous appliquons un traitement similaire aux autres données sensibles, telles que les informations de compte bancaire, en les tokenisant comme les PAN. ### Gestion interne de la technologie Stripe adopte une approche zéro-confiance pour la gestion des accès des employés. Les employés sont identifiés via SSO, une authentification à deux facteurs (2FA) avec un token matériel, et mTLS via un certificat cryptographique sur les machines fournies par Stripe. Après la connexion au réseau, les systèmes internes sensibles et ceux hors du périmètre du travail standard de l’employé nécessitent des autorisations d’accès supplémentaires. Nous surveillons les logs d’audit pour détecter les anomalies et identifier toute intrusion ou activité suspecte, et nous contrôlons également les modifications apportées aux fichiers sensibles de notre base de code. Tout le code de Stripe passe par une relecture multipartite et des tests automatisés. Les modifications du code sont enregistrées dans un journal immuable et inviolable. Nous collectons en permanence des informations sur les ordinateurs portables fournis par Stripe afin de surveiller les processus malveillants, les connexions à des domaines frauduleux et les activités d’intrus. Nous disposons d’un processus complet pour l’autorisation des logiciels sur les ordinateurs portables des employés, empêchant l’installation d’applications non approuvées. ## Maintien du niveau de sécurité Nos développeurs collaborent avec des experts en sécurité dès le début du cycle de vie d’un projet. Dans le cadre de notre processus d’examen de la sécurité, les experts en sécurité élaborent des modèles de menaces et des limites de sécurisation qui aident à orienter la mise en œuvre du projet. Les développeurs utilisent ce même processus pour modifier des sections de code sensibles. ### Des experts dédiés et toujours disponibles Nous disposons de plusieurs équipes spécialisées dans différents domaines de la sécurité, notamment l’infrastructure, les opérations, la confidentialité, les utilisateurs et les applications. Des experts en sécurité se relaient pour être disponibles 24 heures sur 24, 7 jours sur 7. Nous nous efforçons d’implémenter des bonnes pratiques toujours plus ambitieuses, afin de minimiser les risques en matière de cybersécurité. ### La sécurité est l’affaire de tous les employés Stripe Nous exigeons que chaque employé de Stripe suive une formation annuelle à la sécurité, et nous proposons aux ingénieurs Stripe une formation au développement logiciel sécurisé. Nous menons également des campagnes internes de phishing afin de tester la capacité de tous les employés à reconnaître les tentatives de phishing et à les signaler à l’équipe de sécurité appropriée. ### Gestion des contrôles d’accès Nous disposons d’un processus formel pour l’octroi d’accès aux systèmes et aux informations, et nous examinons régulièrement les accès pour supprimer automatiquement les accès inactifs. Les actions dans les zones les plus sensibles de l’infrastructure nécessitent une vérification humaine. Pour appliquer les bonnes pratiques de contrôle d’accès, nos experts en sécurité créent des primitives pour aider les équipes Stripe à mettre en œuvre le principe du moindre privilège. Pour réduire notre exposition, nous appliquons une politique de conservation des données qui limite les données que nous conservons tout en se conformant aux exigences réglementaires et commerciales. ### Signalement des vulnérabilités et programme de récompenses Nous gérons un programme de divulgation et de récompense des vulnérabilités (« bug bounty »), qui rémunère les chercheurs indépendants en sécurité contribuant à la protection de nos utilisateurs. En signalant à Stripe un bug ou une vulnérabilité de sécurité via [HackerOne](https://hackerone.com/stripe), vous reconnaissez avoir lu et accepté les conditions générales du programme. Consultez notre politique sur HackerOne pour en savoir plus sur la participation à notre programme « bug bounty ». ## See also - [Guide sur la sécurité en matière d’intégration](https://docs.stripe.com/security/guide.md) - [Authentification unique (SSO)](https://docs.stripe.com/get-started/account/sso.md) - [Adresses IP de Stripe](https://docs.stripe.com/ips.md)