# Sicurezza in Stripe Scopri come Stripe gestisce la sicurezza. I nostri utenti si fidano di Stripe in termini di trattamento dei dati sensibili. Inoltre, si affidano a noi anche per custodire al meglio i dati dei loro clienti. In qualità di azienda che offre un’infrastruttura di pagamenti, la nostra posizione di sicurezza si evolve continuamente per soddisfare i rigorosi standard del settore finanziario globale. ## Conformità a norme e regolamenti Stripe utilizza le migliori pratiche di sicurezza per mantenere un livello di sicurezza elevato. ### Con certificazione PCI Stripe è stata verificata da un revisore certificato PCI e ha ottenuto la certificazione come [fornitore di servizi PCI di livello 1](https://usa.visa.com/splisting/splistinglearnmore.html), il più alto livello di certificazione nel settore dei pagamenti, e riguarda sia il Card Data Vault (CDV) di Stripe che lo sviluppo software sicuro del nostro codice di integrazione. Offriamo ai nostri utenti funzionalità per automatizzare alcuni aspetti della conformità alle norme PCI. - Analizziamo il metodo di integrazione dell’utente e lo informiamo dinamicamente su quale modulo di convalida PCI utilizzare. - Se un utente effettua l’integrazione con gli SDK di Stripe Elements, Checkout, Terminal o le nostre librerie di dispositivi mobili, forniamo assistenza nella compilazione del modulo di convalida PCI ([Questionario di autovalutazione](https://www.pcisecuritystandards.org/pci_security/completing_self_assessment)) nella Dashboard. - Per educare gli utenti sul tema della conformità, pubblichiamo una [Guida alla conformità alle norme PCI](https://stripe.com/guides/pci-compliance) che descrive come mantenere la conformità e in che modo Stripe può essere di aiuto. ### Report SOC (System and Organization Controls) I sistemi, i processi e i controlli di Stripe vengono regolarmente verificati nell’ambito dei nostri programmi di conformità SOC 1 e SOC 2. I report SOC 1 e SOC 2 Tipo II vengono generati annualmente e possono essere forniti su richiesta. L’Auditing Standards Board dell’American Institute of Certified Public Accountants ([AICPA](https://www.aicpa.org/)) Trust Service Criteria (TSC) ha sviluppato i report SOC 3. Il SOC 3 di Stripe è un report pubblico sui controlli interni in materia di sicurezza, disponibilità e riservatezza. Consulta la versione [più recente del nostro report SOC 3](https://docs.stripecdn.com/ebe9bebbdc5210a59ca18de4917ff3b152961a83fa3a98fbb81c758792472389.pdf). ### Standard EMVCo per i terminali delle carte Stripe Terminal è certificato secondo gli standard [EMVCo Level 1 e 2](https://www.emvco.com/approved-products/?search_bar_keywords=bbpos&tax%5Bapproved-products_categories%5D%5B90%5D%5B%5D=94%2C95%2C96%2C97%2C99) delle specifiche EMV® per la sicurezza e l’interoperabilità delle carte e dei terminali. Terminal è inoltre certificato secondo il [PCI Payment Application Data Security Standard](https://en.wikipedia.org/wiki/PA-DSS) (PA-DSS), lo standard di sicurezza globale che mira a impedire che le applicazioni di pagamento sviluppate per terze parti memorizzino dati di sicurezza non consentiti. ### NIST Cybersecurity Framework La suite di politiche per la sicurezza delle informazioni di Stripe e il loro design generale sono in linea con il [NIST Cybersecurity Framework](https://www.nist.gov/cyberframework/new-framework). Le nostre procedure di sicurezza soddisfano gli standard dei clienti aziendali che devono fornire prodotti sicuri come piattaforme di archiviazione e cloud computing on-demand (ad esempio Digital Ocean e Slack). ### Privacy e protezione dei dati Le pratiche di Stripe in materia di privacy sono conformi ai sistemi CBPR e PRP, come dimostrano le certificazioni CBPR e PRP ottenute da Stripe. Puoi consultare lo stato delle nostre certificazioni [CBPR](https://privacy.trustarc.com/privacy-seal/validation?rid=31b93f92-8732-402c-9768-f15aabc763f4) e [PRP](https://privacy.trustarc.com/privacy-seal/validation?rid=712f8b7a-6d3c-4484-9522-3bf21d56818a). Stripe è inoltre conforme al Data Privacy Framework (“EU-US DPF”), all’estensione di EU-US DPF per Il Regno Unito e al Data Privacy Framework Svizzera-USA come stabilito dal Dipartimento del commercio degli Stati Uniti. Consulta le nostre [certificazioni](https://www.dataprivacyframework.gov/s/participant-search/participant-detail?id=a2zt0000000TQOUAA4&status=Active). Implementiamo continuamente processi, procedure e best practice per adeguarci alla continua evoluzione in materia di privacy e protezione dei dati. Per farlo consideriamo tutti i regimi applicabili di protezione della privacy e dei dati. Per ulteriori informazioni, consulta le seguenti risorse Stripe: - [Informativa sulla privacy](https://stripe.com/privacy) - [Centro privacy](https://stripe.com/en-ca/legal/privacy-center) - [Clausola aggiuntiva per il trattamento dei dati](https://stripe.com/legal/dpa) ## Sicurezza dei prodotti Stripe La sicurezza è uno dei principi guida di Stripe per tutte le decisioni relative alla progettazione dei prodotti e all’infrastruttura. Offriamo una gamma di funzioni per aiutare i nostri utenti migliorare la protezione dei loro dati Stripe. ### Autenticazione delle azioni sensibili La Dashboard Stripe supporta diverse forme di [autenticazione a più fattori](https://support.stripe.com/questions/enable-two-step-authentication) (MFA), tra cui [passkey](https://support.stripe.com/questions/sign-in-using-a-passkey), [chiavi di sicurezza hardware](https://support.stripe.com/questions/set-up-a-hardware-security-key-for-two-step-authentication), [time-based one-time password algorithm](https://support.stripe.com/questions/enable-two-step-authentication-using-a-mobile-app) (TOTP) e [SMS](https://support.stripe.com/questions/enable-two-step-authentication-via-text-messaging). Consigliamo l’uso di passkey o chiavi di sicurezza hardware perché resistenti al phishing. L’autenticazione MFA basata su SMS è vulnerabile allo scambio di SIM e all’intercettazione, quindi utilizzala solo come ultima risorsa. Supportiamo anche il [single sign-on](https://docs.stripe.com/get-started/account/sso.md) tramite Security Assertion Markup Language (SAML) 2.0, che consente di imporre requisiti di accesso, configurare il controllo degli accessi e integrare istantaneamente i membri del team tramite il provisioning degli account just-in-time (JIT). Se si utilizza SSO con SCIM, è possibile applicare le politiche di autenticazione a livello centrale tramite il proprio provider di identità. Prima di ricevere una risposta da parte dell’assistenza, le richieste degli utenti devono essere autenticate inviandole dalla Dashboard dopo l’accesso, o verificando l’accesso all’account. Con la richiesta di autenticazione riduciamo al minimo il rischio di fornire informazioni a persone non autorizzate. ### Restrizione dell’accesso e controllo Dalla Dashboard, gli utenti possono assegnare diversi [ruoli](https://docs.stripe.com/get-started/account/teams.md) dettagliati per consentire l’accesso con privilegi minimi ai dipendenti e creare [chiavi API](https://docs.stripe.com/keys.md#create-restricted-api-secret-key) soggette a limitazioni per ridurre il rischio per la sicurezza e l’affidabilità legato all’esposizione delle chiavi API. È inoltre possibile [limitare le chiavi API a indirizzi IP specifici](https://docs.stripe.com/keys.md#limit-api-secret-keys-ip-address) per impedire l’utilizzo da posizioni non autorizzate. Puoi anche visualizzare i log di controllo delle modifiche e delle attività importanti dell’account nella loro [cronologia di sicurezza](https://dashboard.stripe.com/security_history). I log di controllo contengono le registrazioni delle attività sensibili sull’account, come l’accesso o la modifica dei dati del conto bancario. Monitoriamo gli accessi e prendiamo nota dei seguenti dettagli: - Se provengono dagli stessi dispositivi o dai dispositivi usati più di frequente - Se provengono da indirizzi IP coerenti - Tentativi non riusciti Gli utenti possono esportare i dati storici dai log. Per le attività sensibili al fattore tempo, in particolare gli accessi da IP e dispositivi sconosciuti, Stripe invia notifiche automatiche via email all’utente, in modo che non sia necessario controllare manualmente i log. ### HTTPS e HSTS per connessioni sicure We mandate the use of HTTPS for all services using *TLS* (TLS refers to the process of securely transmitting data between the client—the app or browser that your customer is using—and your server. This was originally performed using the SSL (Secure Sockets Layer) protocol) (SSL), including our public website and the [Dashboard](https://dashboard.stripe.com/dashboard). We regularly audit the details of our implementation, including the certificates we serve, the certificate authorities we use, and the ciphers we support. We use [HSTS](http://en.wikipedia.org/wiki/HTTP_Strict_Transport_Security) to make sure that browsers interact with Stripe only over HTTPS. Stripe is also on the HSTS preloaded lists for all modern major browsers. Our systems automatically block requests made using older, less secure versions of TLS, [requiring use of at least TLS 1.2](https://stripe.com/blog/completing-tls-upgrade). All Stripe internal server-to-server communication is encrypted using mutual transport layer security (mTLS). Stripe has dedicated [PGP keys](https://docs.stripe.com/security/python-client-pgp-key.md) for you to encrypt email communications with Stripe, or verify signed messages you receive from us. Il dominio [stripe.com](https://stripe.com), inclusi i sottodomini della Dashboard dell’API, sono nell’elenco dei [principali domini](https://chromium-review.googlesource.com/c/chromium/src/+/605062) di Chrome, il che fornisce una protezione aggiuntiva contro gli attacchi omoglifi. In questo modo è più difficile creare pagine false che assomiglino a stripe.com in Chrome (ad esempio [strípe.com](https://xn--strpe-1sa.com)), che viene visualizzato come punycode ([xn–strpe-1sa.com](https://xn--strpe-1sa.com)), rendendo a sua volta più difficile il phishing delle credenziali Stripe. ### Monitoraggio proattivo di Internet Scansioniamo proattivamente Internet per la verifica delle chiavi API dei nostri esercenti. Se troviamo una chiave compromessa, interveniamo con misure appropriate, informando l’utente che deve revocare la propria chiave API. Utilizziamo GitHub Token Scanner per avvisarci quando le chiavi API di un utente sono divulgate su GitHub. Se troviamo pagine di phishing esterne che potrebbero catturare i nostri utenti, lavoriamo in modo proattivo con i nostri fornitori per rimuoverle e segnalarle a Google Navigazione sicura. ## Salvaguardie dell’infrastruttura I nostri team di sicurezza testano regolarmente la nostra infrastruttura alla ricerca di eventuali vulnerabilità, conducono test di penetrazione ed esercitazioni dei red team Red. Incarichiamo società di sicurezza leader del settore di eseguire scansioni di terze parti dei nostri sistemi e affrontiamo immediatamente le problematiche da loro riscontrate. I nostri server vengono sostituiti frequentemente e automaticamente per mantenerne l’integrità del server e dismettere connessioni o risorse obsolete. I sistemi operativi dei server vengono aggiornati con largo anticipo rispetto alla data di fine del ciclo di vita (EOL) per la sicurezza. ### Tecnologia delle carte dedicata Stripe crittografa i dati sensibili sia in transito, sia inattivi. L’infrastruttura di Stripe che memorizza, decodifica e trasmette i PAN (Primary Account Number), come i numeri di carta di credito, viene eseguita su una piattaforma di hosting separata e non condivide le credenziali con il resto dei nostri servizi. Un team dedicato gestisce il nostro CDV in un ambiente Amazon Web Services (AWS) isolato dal resto dell’infrastruttura Stripe. L’accesso a questo ambiente separato è limitato a numero ristretto di tecnici appositamente formati e viene rivisto trimestralmente. Tutti i numeri delle carte sono crittografati con l’algoritmo di cifratura AES-256 mentre sono inattivi. Le chiavi di decifratura sono salvate su macchine a parte. Tokenizziamo internamente i PAN, isolando i numeri grezzi dal resto dell’infrastruttura. I server e i daemon interni di Stripe non possono ricevere numeri di carta non crittografati, ma possono richiedere l’invio delle carte a un fornitore di servizi per il confronto con un elenco statico di carte consentite. L’infrastruttura di Stripe dedicata alla memorizzazione, decodifica e trasmissione dei numeri di carta viene eseguita in un ambiente di hosting separato e non condivide le credenziali con nessuno dei servizi principali di Stripe, API e sito web inclusi. Trattiamo in modo simile gli altri dati sensibili, come i dati del conto bancario. ### Tecnologia aziendale Stripe adotta un approccio Zero Trust per la gestione degli accessi dei dipendenti. I dipendenti vengono autenticati utilizzando SSO, autenticazione a due fattori (2FA) con token basato su hardware e mTLS con certificato crittografico su macchine distribuite da Stripe. Una volta connessi alla rete, i sistemi interni sensibili e quelli esterni all’ambito di lavoro standard del dipendente richiedono autorizzazioni aggiuntive per l’accesso. Monitoriamo i log di controllo per rilevare anomalie, rilevare intrusioni e attività sospette e monitorare inoltre le modifiche di file sensibili nella nostra base di codice. Tutto il codice di Stripe viene rivisto da più parti e sottoposto a test automatizzati. Le modifiche del codice vengono registrate in un log non modificabile e a prova di manomissione. Raccogliamo costantemente informazioni sui laptop distribuiti da Stripe per monitorare processi dannosi, connessioni a domini fraudolenti e attività di intrusione. Abbiamo elaborato un elenco completo dei software consentiti sui laptop dei dipendenti, per evitare l’installazione di applicazioni non approvate. ## Mantenimento della posizione di sicurezza I nostri sviluppatori lavorano con esperti di sicurezza all’inizio del ciclo di vita di un progetto. Nell’ambito della nostra procedura di verifica per la sicurezza, gli esperti di sicurezza sviluppano modelli di minacce e limiti di fiducia che agevolano l’implementazione del progetto. Gli sviluppatori utilizzano questa stessa procedura per apportare modifiche a parti di codice sensibili. ### Esperti dedicati sempre reperibili Disponiamo di numerosi team di sicurezza dedicati specializzati in aree diverse della sicurezza, tra cui infrastruttura, operazioni, privacy, utenti e applicazioni. Gli esperti di sicurezza sono disponibili 24 ore su 24 tutti i giorni in turni a ciclo continuo. Il nostro obiettivo è migliorare costantemente il livello delle migliori pratiche per ridurre al minimo i rischi per la sicurezza informatica. ### La sicurezza è una priorità per ogni dipendente Stripe Chiediamo a ogni dipendente Stripe di completare i corsi annuali di formazione sulla sicurezza e i tecnici di Stripe vengono formati sullo sviluppo di software sicuro. Eseguiamo campagne di phishing interne per essere certi che tutto il personale di Stripe riconosca i tentativi di phishing e li segnali al team di sicurezza competente. ### Gestione del controllo degli accessi Abbiamo una procedura formale per concedere l’accesso ai sistemi e alle informazioni, ed esaminiamo regolarmente e rimuoviamo automaticamente l’accesso inattivo. Le azioni nelle aree più sensibili dell’infrastruttura richiedono una revisione umana. Per abilitare le migliori prassi per il controllo degli accessi, i nostri esperti di sicurezza creano procedure di base per assistere i team Stripe nell’attuazione del principio del privilegio minimo. Per limitare al minimo la nostra esposizione, abbiamo una politica di conservazione dei dati che riduce i dati che conserviamo nel rispetto dei requisiti normativi e aziendali. ### Segnalazione di vulnerabilità e programma a premi Abbiamo istituito un programma di segnalazione delle vulnerabilità e di ricompensa (“bug bounty”) che prevede un compenso per i ricercatori indipendenti che ci aiutano a garantire la sicurezza dei nostri utenti. Segnalando un bug o una vulnerabilità di sicurezza a Stripe tramite [HackerOne](https://hackerone.com/stripe), dichiari di aver letto e accettato i [termini e le condizioni del programma](https://hackerone.com/stripe). Per ulteriori informazioni su come partecipare al nostro programma bug bounty, consulta la nostra politica su HackerOne. ## See also - [Guida alla sicurezza dell’integrazione](https://docs.stripe.com/security/guide.md) - [Single sign-on (SSO)](https://docs.stripe.com/get-started/account/sso.md) - [Lotta alle frodi](https://docs.stripe.com/disputes/prevention.md) - [Verifica eventi webhook](https://docs.stripe.com/webhooks.md#verify-events) - [Indirizzi IP Stripe](https://docs.stripe.com/ips.md)