La sécurité chez Stripe

Nos utilisateurs font confiance à Stripe pour leurs données sensibles et celles de leurs clients finaux. En tant que prestataire de services de paiement, notre stratégie de sécurité évolue continuellement pour répondre aux normes rigoureuses du secteur financier international.

Conformité aux normes et réglementations

Stripe implémente les meilleures pratiques de sécurité afin de maintenir un niveau de sécurité élevé.

Certifié PCI

Stripe a fait l’objet d’un audit par un auditeur certifié PCI et bénéficie de la certification Fournisseur de services PCI de niveau 1. Il s’agit du niveau de certification le plus strict du secteur des paiements. Cet audit a examiné notre système de stockage des données de cartes bancaires (CDV) et le développement logiciel sécurisé de notre code d’intégration.

Nous proposons à nos utilisateurs des fonctionnalités leur permettant d’automatiser certains aspects de la conformité PCI.

• Nous analysons la méthode d’intégration de l’utilisateur et l’indiquons de manière dynamique sur le formulaire de validation PCI à utiliser.
• Si un utilisateur intègre Stripe Elements, Checkout, les SDK Terminal ou nos bibliothèques mobiles, nous l’aidons à remplir le formulaire de validation PCI (questionnaire d’auto-évaluation A) dans le Dashboard.
• Nous avons publié un Guide de conformité PCI pour vous donner plus d’informations sur la conformité PCI et la façon dont Stripe peut vous aider.

Rapports SOC (System and Organization Controls)

Les systèmes, processus et contrôles de Stripe font l’objet d’audits réguliers dans le cadre de nos programmes de conformité SOC 1 et SOC 2. Les rapports SOC 1 et SOC 2 Type II sont produits annuellement et peuvent être fournis sur demande.

Le rapport SOC 3 a été développé par l’Auditing Standards Board du Trust Service Criteria (TSC) de l’American Institute of Certified Public Accountants (AICPA). Le rapport SOC 3 de Stripe est un rapport public des contrôles internes de sécurité, de disponibilité et de confidentialité. Consultez notre dernier rapport SOC 3.

Norme EMVCo pour les terminaux de carte bancaire

Stripe Terminal est certifié conforme aux normes EMVCode niveau 1 et 2 des spécifications EMV® pour la sécurité et l’interopérabilité des cartes et des terminaux. Terminal est également certifié conforme à la norme PCI PA-DSS (Payment Application Data Security Standard), la norme de sécurité mondiale qui vise à empêcher les applications de paiement développées pour des tiers de stocker des données sécurisées interdites.

Cadre de cybersécurité du NIST

La suite de politiques en matière de sécurité de l’information de Stripe et leur conception globale sont alignées sur le référentiel de cybersécurité du NIST. Nos pratiques en matière de sécurité répondent aux exigences des grandes entreprises, qui doivent fournir des produits sécurisés, par exemple des plateformes de stockage et des services de cloud computing sur demande (comme DigitalOcean ou Slack).

Confidentialité et protection des données

Les pratiques de Stripe en matière de confidentialité sont conformes aux systèmes CBPR et PRP, comme en témoignent les certifications CBPR et PRP que Stripe a obtenues. Pour consulter l’état de nos certifications, cliquez ici (CBPR) et ici (PRP). Stripe se conforme également au cadre américain de protection des données (« EU-U.S. DPF »), à l’extension britannique du cadre EU-U.S. DPF, et au cadre Suisse-U.S. de protection des données, tel que défini par le Département du Commerce des États-Unis. Pour consulter nos certifications, cliquez ici.

Nous mettons continuellement en œuvre des processus, procédures et bonnes pratiques évolutifs en matière de confidentialité et de protection des données, qui répondent à l’ensemble des régimes de confidentialité et de protection des données en vigueur. Pour plus d’informations, consultez les ressources suivantes :

• Politique de confidentialité
• Centre de confidentialité
• Contrat de traitement des données

Sécurisation des produits Stripe

La sécurité guide toutes nos décisions en matière d’infrastructure et de conception de produits. Nous proposons diverses fonctionnalités pour aider nos utilisateurs à mieux protéger leurs données Stripe.

Authentification des actions sensibles

Le Dashboard Stripe prend en charge plusieurs méthodes d’authentification multifacteur (MFA), notamment l’envoi de SMS, les algorithmes de mots de passe ponctuels et limités dans le temps (TOTP), les clés de sécurité physiques et les clés d’accès. Nous prenons également en charge l’authentification unique via SAML (Security Assertion Markup Language), ce qui permet aux clients d’imposer des exigences d’authentification, de configurer des contrôles d’accès et d’inscrire des membres de l’équipe en un instant via le provisionnement juste à temps.

Les demandes d’assistance des utilisateurs doivent être authentifiées, ce qui nécessite de les envoyer depuis le Dashboard (après connexion) ou de vérifier l’accès au compte avant qu’une réponse puisse être apportée. En exigeant l’authentification, nous réduisons le risque de fournir des informations à des personnes non autorisées.

Audit et restriction d’accès

À l’aide du Dashboard, les utilisateurs peuvent attribuer à leurs employés des rôles précis pour leur permettre d’accéder uniquement aux privilèges requis, et créer des clés d’accès limité pour réduire les risques en cas de fuite des clés API.

Les utilisateurs peuvent également consulter les logs d’audit de l’activité et des modifications importantes des comptes dans leur historique de sécurité. Ces journaux d’audit contiennent des registres des activités sensibles des comptes, comme la connexion ou la modification des coordonnées bancaires. Nous surveillons les connexions et notons :

• Si elles proviennent du même appareil ou d’appareils utilisés habituellement
• Si elles proviennent d’adresses IP cohérentes
• Les tentatives infructueuses

Les utilisateurs peuvent exporter l’historique des logs. Pour les activités pouvant nécessiter une réponse rapide, telles que les connexions à partir d’adresses IP ou d’appareils inconnus, nous envoyons des notifications automatiques, ce qui vous évite de vérifier vos logs manuellement.

HTTPS et HSTS pour des connexions sécurisées

Nous imposons l’utilisation du protocole HTTPS pour tous les services utilisant le protocole TLS (SSL), y compris pour notre site Web public et pour le Dashboard. Nous contrôlons régulièrement les détails de notre déploiement, y compris les certificats que nous traitons, les autorités de certification auxquelles nous faisons appel et les chiffrements que nous prenons en charge. Nous utilisons HSTS pour nous assurer que les navigateurs interagissent avec Stripe exclusivement via HTTPS. Stripe figure également sur les listes HSTS préchargées de tous les principaux navigateurs actuels.

Toutes les communications de serveur à serveur sont chiffrées à l’aide du protocole mTLS et Stripe dispose de clés PGP dédiées pour permettre aux utilisateurs de chiffrer les communications avec Stripe ou de vérifier que les messages de Stripe sont signés. Nos systèmes exigent l’utilisation de TLS 1.2 ou d’une version ultérieure, et bloquent automatiquement les requêtes effectuées à l’aide de versions antérieures.

Le domaine stripe.com, dont le Dashboard et les sous-domaines de l’API, figurent sur la liste des domaines principaux de Chrome, ce qui fournit une protection supplémentaire contre les attaques par homoglyphe. La création de fausses pages se faisant passer pour stripe.com dans Chrome (par exemple, strípe.com) est ainsi plus difficile. Ces pages s’affichent alors en punycode (xn–strpe-1sa.com), ce qui prévient la récupération des identifiants Stripe par hameçonnage.

Surveillance proactive d’Internet

Nous analysons Internet de manière proactive à la recherche des clés API de nos marchands. Si nous détectons une clé compromise, nous prenons les mesures qui s’imposent, en demandant à l’utilisateur de révoquer sa clé API. Nous utilisons le détecteur de tokens de GitHub pour détecter les fuites de clés API d’un utilisateur sur GitHub. Si nous trouvons des pages externes susceptibles d’hameçonner nos utilisateurs, nous en informons nos marchands afin que ces pages soient retirées au plus vite et nous les signalons à Google Safe Browsing.

Protection de l’infrastructure

Nos équipes de sécurité testent régulièrement notre infrastructure en analysant les vulnérabilités, et une « équipe rouge » effectue des tests d’intrusion et autres exercices de sécurité réguliers. Nous faisons également appel à des sociétés de sécurité de premier plan qui effectuent des analyses de nos systèmes, et nous répondons immédiatement à leurs conclusions. Nos serveurs sont fréquemment et automatiquement remplacés afin de préserver leur bon fonctionnement et d’éliminer les connexions ou ressources obsolètes. Les systèmes d’exploitation des serveurs sont mis à niveau bien avant leur date de fin de vie.

Technologie dédiée pour les cartes bancaires

Stripe chiffre les données sensibles en transit et au repos. Notre infrastructure de stockage, de déchiffrement et de transmission des numéros PAN (comme les numéros de carte bancaire) fonctionne dans un environnement d’hébergement distinct et ne partage aucune information d’identification avec le reste de nos services. Une équipe dédiée gère notre système de stockage des informations de carte bancaire (CDV) dans un environnement Amazon Web Services (AWS) isolé du reste de l’infrastructure Stripe. L’accès à cet environnement distinct est limité à un petit nombre d’ingénieurs spécialement formés, et est vérifié tous les trimestres.

Tous les numéros de carte bancaire font l’objet d’un chiffrement AES-256 des données au repos. Les clés de déchiffrement sont sauvegardées sur des machines distinctes. Nous tokenisons les numéros PAN en interne, isolant ainsi les chiffres bruts du reste de notre infrastructure. Aucun des serveurs et daemons internes de Stripe ne peut obtenir les numéros de carte bancaire en clair, mais ils peuvent demander l’envoi des cartes à un fournisseur de services figurant sur une liste blanche statique. Notre infrastructure de stockage, de déchiffrement et de transmission des numéros de carte fonctionne dans un environnement d’hébergement distinct et ne partage pas d’informations d’identification avec les principaux services de Stripe, y compris avec notre API et notre site Web. Les numéros PAN ne sont pas les seuls à être tokenisés de cette façon ; nous traitons d’autres données sensibles, comme les coordonnées bancaires, de la même manière.

Gestion interne de la technologie

Stripe adopte une approche zéro confiance en matière de gestion des accès des employés. Ceux-ci s’identifient à l’aide de l’authentification unique, de l’authentification à deux facteurs (2FA) avec token matériel, et du protocole mTLS via un certificat cryptographique sur les machines émises par Stripe. Une fois la connexion au réseau établie, des autorisations d’accès supplémentaires sont requises pour les systèmes internes sensibles et ceux qui ne relèvent pas du travail habituel des employés.

Nous surveillons les logs d’audit afin de détecter les anomalies, les intrusions et les activités suspectes. Nous surveillons également les modifications apportées aux fichiers sensibles de notre base de code. L’ensemble du code de Stripe est soumis à une vérification par plusieurs parties et à des tests automatisés. Les modifications de code sont enregistrées dans un log infalsifiable et immuable. Nous collectons en permanence des informations sur les ordinateurs portables fournis par Stripe afin de détecter les processus malveillants, les connexions à des domaines frauduleux et les intrusions. Pour empêcher l’installation d’applications non autorisées sur les ordinateurs portables de nos employés, nous utilisons une liste blanche de logiciels. Les ajouts à cette liste se font selon une procédure rigoureuse.

Maintien du niveau de sécurité

Nos développeurs collaborent avec des experts en sécurité dès le début du cycle de vie d’un projet. Dans le cadre de notre processus d’examen de la sécurité, les experts en sécurité élaborent des modèles de menaces et des limites de sécurisation qui aident à orienter la mise en œuvre du projet. Les développeurs utilisent ce même processus pour modifier des sections de code sensibles.

Des experts dédiés et toujours disponibles

Nous disposons de plusieurs équipes spécialisées dans différents domaines de la sécurité, notamment l’infrastructure, les opérations, la confidentialité, les utilisateurs et les applications. Des experts en sécurité se relaient pour être disponibles 24 heures sur 24, 7 jours sur 7. Nous nous efforçons d’implémenter des bonnes pratiques toujours plus ambitieuses, afin de minimiser les risques en matière de cybersécurité.

La sécurité est l’affaire de tous les employés Stripe

Chaque année, tous nos employés suivent une formation à la sécurité, et nos ingénieurs bénéficient d’une formation au développement de logiciels sécurisés. Nous menons des campagnes internes de hameçonnage pour que chaque employé Stripe s’entraîne à détecter les tentatives de hameçonnage et à les signaler à l’équipe de sécurité compétente.

Gestion des contrôles d’accès

Nous accordons l’accès aux systèmes et aux informations selon un processus strict ; nous vérifions régulièrement les accès inactifs et les supprimons automatiquement. Les actions effectuées dans les zones les plus sensibles de l’infrastructure nécessitent une vérification humaine. Pour appliquer les bonnes pratiques en matière de contrôles d’accès, nos experts en sécurité créent des primitives visant à aider les équipes Stripe à mettre en œuvre le principe du moindre privilège. Pour minimiser notre exposition au risque, nous implémentons une politique de conservation des données qui limite au maximum les données que nous conservons, tout en nous conformant aux exigences réglementaires et commerciales.

Signalement des vulnérabilités et programme de récompenses

Nous maintenons un programme dit de “prime aux bogues”, qui permet de récompenser les chercheurs en sécurité indépendants qui nous aident à assurer la sécurité de nos utilisateurs. En soumettant un bogue de sécurité ou une vulnérabilité à Stripe via HackerOne, vous reconnaissez avoir lu et accepté les conditions générales du programme. Veuillez vous référer à notre politique sur HackerOne pour plus d’informations sur la façon de participer à notre programme de prime aux bogues.