# Sicurezza in Stripe

Scopri come Stripe gestisce la sicurezza.

I nostri utenti si fidano di Stripe in termini di trattamento dei dati sensibili. Inoltre, si affidano a noi anche per custodire al meglio i dati dei loro clienti. In qualità di azienda che offre un’infrastruttura di pagamenti, la nostra posizione di sicurezza si evolve continuamente per soddisfare i rigorosi standard del settore finanziario globale.

## Conformità a norme e regolamenti

Stripe adotta pratiche di sicurezza conformi ai seguenti standard e alle seguenti normative.

### Con certificazione PCI

Un revisore certificato PCI ha valutato Stripe e ne ha attestato la conformità al [PCI Service Provider Level 1](https://www.visa.com/splisting/LearnMore.html). Si tratta del livello di certificazione più rigoroso disponibile nel settore dei pagamenti. Questo audit comprende sia il Card Data Vault (CDV) di Stripe sia lo sviluppo sicuro del software relativo al nostro codice di integrazione.

Offriamo ai nostri utenti funzionalità per automatizzare alcuni aspetti della conformità alle norme PCI.

- Analizziamo il metodo di integrazione dell’utente e lo informiamo dinamicamente su quale modulo di convalida PCI utilizzare.
- Se un utente effettua l’integrazione con gli SDK di Stripe Elements, Checkout, Terminal o le nostre librerie di dispositivi mobili, forniamo assistenza nella compilazione del modulo di convalida PCI ([Questionario di autovalutazione](https://www.pcisecuritystandards.org/pci_security/completing_self_assessment)) nella Dashboard.
- Per educare gli utenti sul tema della conformità, pubblichiamo una [Guida alla conformità alle norme PCI](https://stripe.com/guides/pci-compliance) che descrive come mantenere la conformità e in che modo Stripe può essere di aiuto.

### Report SOC (System and Organization Controls)

I sistemi, i processi e i controlli di Stripe vengono regolarmente verificati nell’ambito dei nostri programmi di conformità SOC 1 e SOC 2. I report SOC 1 e SOC 2 Tipo II vengono generati annualmente e possono essere forniti su richiesta.

L’Auditing Standards Board dell’American Institute of Certified Public Accountants ([AICPA](https://www.aicpa.org/)) ha sviluppato il report SOC 3, che si basa sugli AICPA Trust Services Criteria (TSC). Il report SOC 3 di Stripe è un documento pubblico sui controlli interni relativi alla sicurezza, alla disponibilità e alla riservatezza. Visualizza il nostro [report SOC 3 più recente](https://docs.stripecdn.com/ebe9bebbdc5210a59ca18de4917ff3b152961a83fa3a98fbb81c758792472389.pdf).

### Standard EMVCo per i terminali delle carte

Stripe Terminal è certificato secondo gli standard [EMVCo Level 1 e 2](https://www.emvco.com/approved-products/?search_bar_keywords=bbpos&tax%5Bapproved-products_categories%5D%5B90%5D%5B%5D=94%2C95%2C96%2C97%2C99) delle specifiche EMV® per la sicurezza e l’interoperabilità delle carte e dei terminali. Terminal è inoltre certificato secondo il [PCI Payment Application Data Security Standard](https://en.wikipedia.org/wiki/PA-DSS) (PA-DSS), lo standard di sicurezza globale che mira a impedire che le applicazioni di pagamento sviluppate per terze parti memorizzino dati di sicurezza non consentiti.

### NIST Cybersecurity Framework

La suite di politiche per la sicurezza delle informazioni di Stripe e il loro design generale sono in linea con il [NIST Cybersecurity Framework](https://www.nist.gov/cyberframework/new-framework). Le nostre procedure di sicurezza soddisfano gli standard dei clienti aziendali che devono fornire prodotti sicuri come piattaforme di archiviazione e cloud computing on-demand (ad esempio Digital Ocean e Slack).

### Privacy e protezione dei dati

Le pratiche di Stripe in materia di privacy sono conformi ai sistemi CBPR e PRP, come attestato dalle certificazioni CBPR e PRP ottenute da Stripe. Consulta lo stato delle nostre certificazioni [CBPR](https://privacy.trustarc.com/privacy-seal/validation?rid=31b93f92-8732-402c-9768-f15aabc763f4) e [PRP](https://privacy.trustarc.com/privacy-seal/validation?rid=712f8b7a-6d3c-4484-9522-3bf21d56818a). Stripe è inoltre conforme al quadro UE-USA per la protezione dei dati personali (EU-US DPF), alla relativa estensione al Regno Unito e al quadro Svizzera-USA per la protezione dei dati personali, secondo quanto stabilito dal Dipartimento del Commercio degli Stati Uniti. Consulta le nostre [certificazioni](https://www.dataprivacyframework.gov/s/participant-search/participant-detail?id=a2zt0000000TQOUAA4&status=Active).

Implementiamo continuamente processi, procedure e best practice per adeguarci alla continua evoluzione in materia di privacy e protezione dei dati. Per farlo consideriamo tutti i regimi applicabili di protezione della privacy e dei dati. Per ulteriori informazioni, consulta le seguenti risorse Stripe:

- [Informativa sulla privacy](https://stripe.com/privacy)
- [Centro privacy](https://stripe.com/legal/privacy-center)
- [Clausola aggiuntiva per il trattamento dei dati](https://stripe.com/legal/dpa)

## Sicurezza dei prodotti Stripe

La sicurezza è uno dei principi guida di Stripe per tutte le decisioni relative alla progettazione dei prodotti e all’infrastruttura. Offriamo una gamma di funzioni per aiutare i nostri utenti migliorare la protezione dei loro dati Stripe.

### Autenticazione delle azioni sensibili

La Dashboard Stripe supporta diverse forme di [autenticazione a più fattori](https://support.stripe.com/questions/enable-two-step-authentication) (MFA), tra cui [passkey](https://support.stripe.com/questions/sign-in-using-a-passkey), [chiavi di sicurezza hardware](https://support.stripe.com/questions/set-up-a-hardware-security-key-for-two-step-authentication), [time-based one-time password algorithm](https://support.stripe.com/questions/enable-two-step-authentication-using-a-mobile-app) (TOTP) e [SMS](https://support.stripe.com/questions/enable-two-step-authentication-via-text-messaging). Consigliamo l’uso di passkey o chiavi di sicurezza hardware perché resistenti al phishing. L’autenticazione MFA basata su SMS è vulnerabile allo scambio di SIM e all’intercettazione, quindi utilizzala solo come ultima risorsa. Supportiamo anche il [single sign-on](https://docs.stripe.com/get-started/account/sso.md) tramite Security Assertion Markup Language (SAML) 2.0, che consente di imporre requisiti di accesso, configurare il controllo degli accessi e integrare istantaneamente i membri del team tramite il provisioning degli account just-in-time (JIT). Se si utilizza SSO con SCIM, è possibile applicare le politiche di autenticazione a livello centrale tramite il proprio provider di identità.

Stripe verifica l’autenticità delle richieste di assistenza. Invia le richieste di assistenza dalla Dashboard dopo aver effettuato l’accesso. In caso contrario, verifichiamo che tu abbia accesso all’account prima di rispondere. L’obbligo di autenticazione riduce al minimo il rischio di condividere informazioni con persone non autorizzate.

### Restrizione dell’accesso e controllo

Dalla Dashboard, puoi assegnare diversi [ruoli](https://docs.stripe.com/get-started/account/teams.md) dettagliati per abilitare l’accesso con privilegi minimi per i dipendenti e creare [chiavi API con limitazioni](https://docs.stripe.com/keys.md#create-restricted-api-key) per ridurre il rischio per la sicurezza e l’affidabilità legato all’esposizione delle chiavi API. Puoi anche [configurare criteri di accesso](https://docs.stripe.com/keys.md#access-policies) per le chiavi API per impedirne l’uso da località non autorizzate.

Puoi anche visualizzare i log di controllo delle modifiche e delle attività importanti dell’account nella loro [cronologia di sicurezza](https://dashboard.stripe.com/security_history). I log di controllo contengono le registrazioni delle attività sensibili sull’account, come l’accesso o la modifica dei dati del conto bancario. Monitoriamo gli accessi e prendiamo nota dei seguenti dettagli:

- Se provengono dagli stessi dispositivi o dai dispositivi usati più di frequente
- Se provengono da indirizzi IP coerenti
- Tentativi non riusciti

Gli utenti possono esportare i dati storici dai log. Per le attività sensibili al fattore tempo, in particolare gli accessi da IP e dispositivi sconosciuti, Stripe invia notifiche automatiche via email all’utente, in modo che non sia necessario controllare manualmente i log.

### HTTPS e HSTS per connessioni sicure

Imponiamo l’uso del protocollo HTTPS per tutti i servizi che utilizzano *TLS* (TLS refers to the process of securely transmitting data between the client—the app or browser that your customer is using—and your server. This was originally performed using the SSL (Secure Sockets Layer) protocol) (SSL), incluso il nostro sito web pubblico e la [Dashboard](https://dashboard.stripe.com). Controlliamo regolarmente i dettagli della nostra implementazione, inclusi i certificati che forniamo, le autorità di certificazione che utilizziamo e gli algoritmi di cifratura che supportiamo. Utilizziamo [HSTS](https://en.wikipedia.org/wiki/HTTP_Strict_Transport_Security) per garantire che i browser interagiscano con Stripe solo tramite HTTPS. Stripe è inoltre presente negli elenchi HSTS precaricati di tutti i principali browser moderni. I nostri sistemi bloccano automaticamente le richieste effettuate utilizzando versioni meno sicure e datate di TLS, il che [richiede l’uso di almeno TLS 1.2](https://stripe.com/blog/completing-tls-upgrade).

Tutte le comunicazioni interne da server a server Stripe vengono crittografate utilizzando il protocollo mTLS (Mutual Transport Layer Security). Stripe dispone di [chiavi PGP](https://docs.stripe.com/security/python-client-pgp-key.md) dedicate per crittografare le comunicazioni email con Stripe o verificare i messaggi firmati che ricevi da noi.

Il dominio [stripe.com](https://stripe.com), inclusi i sottodomini della Dashboard e delle API, è presente nell’elenco dei [domini principali](https://chromium-review.googlesource.com/c/chromium/src/+/605062) per Chrome, fornendo un’ulteriore protezione contro gli attacchi omoglifici. Questo rende più difficile la creazione di pagine false che assomigliano a stripe.com in Chrome (ad esempio `strípe.com`, che viene che viene rappresentato in Punycode come `xn--strpe-1sa.com`), rendendo a sua volta più difficile il phishing delle credenziali Stripe.

### Monitoraggio proattivo di Internet

Eseguiamo proattivamente la scansione di Internet alla ricerca delle chiavi API dei nostri esercenti. Se troviamo una chiave compromessa, intraprendiamo le azioni appropriate, consigliando all’utente di sostituire la propria chiave API. Utilizziamo la funzionalità di scansione dei segreti di GitHub per avvisarci quando le chiavi API di un utente sono state divulgate su GitHub. Se troviamo pagine di phishing esterne che potrebbero colpire i nostri utenti, collaboriamo proattivamente con i nostri fornitori per rimuoverle e segnalarle a Google Safe Browsing.

## Salvaguardie dell’infrastruttura

I nostri team per la sicurezza testano regolarmente la nostra infrastruttura ricercando vulnerabilità ed eseguendo test di penetrazione ed esercitazioni red team. Incarichiamo società di sicurezza di terze parti per la scansione dei nostri sistemi e risolviamo immediatamente i problemi rilevati. I nostri server vengono sostituiti frequentemente e in modo automatico per mantenerne l’integrità ed eliminare connessioni o risorse obsolete. I sistemi operativi dei server vengono aggiornati con largo anticipo rispetto alla data di fine del supporto di sicurezza (EOL).

### Tecnologia delle carte dedicata

Stripe crittografa i dati sensibili sia in transito sia a riposo. L’infrastruttura Stripe per l’archiviazione, la decrittazione e la trasmissione dei numeri di conto principale (PAN), come i numeri delle carte di credito, opera su un’infrastruttura di hosting separata e non condivide alcuna credenziale con il resto dei nostri servizi, inclusi il nostro sito web e le API. Un team dedicato gestisce il nostro CDV in un ambiente Amazon Web Services (AWS) isolato, separato dal resto dell’infrastruttura Stripe. Limitiamo l’accesso a questo ambiente separato a un ristretto numero di ingegneri con formazione specifica ed esaminiamo gli accessi con cadenza trimestrale.

Tutti i numeri delle carte sono crittografati a riposo con AES-256. Le chiavi di decrittazione sono salvate su macchine separate. Tokenizziamo internamente i PAN, isolando i numeri originali dal resto della nostra infrastruttura. Nessuno dei server e dei daemon interni di Stripe può accedere ai numeri delle carte in chiaro, ma può richiederne l’invio a un fornitore di servizi incluso in un elenco statico di soggetti autorizzati. Trattiamo gli altri dati sensibili, come le informazioni sui conti bancari, in modo analogo a quanto facciamo con la tokenizzazione dei PAN.

### Tecnologia aziendale

Stripe adotta un approccio Zero Trust per la gestione degli accessi dei dipendenti. I dipendenti vengono autenticati utilizzando SSO, autenticazione a due fattori (2FA) con token basato su hardware e mTLS con certificato crittografico su macchine distribuite da Stripe. Una volta connessi alla rete, i sistemi interni sensibili e quelli esterni all’ambito di lavoro standard del dipendente richiedono autorizzazioni aggiuntive per l’accesso.

Monitoriamo i log di controllo per rilevare anomalie, rilevare intrusioni e attività sospette e monitorare inoltre le modifiche di file sensibili nella nostra base di codice. Tutto il codice di Stripe viene rivisto da più parti e sottoposto a test automatizzati. Le modifiche del codice vengono registrate in un log non modificabile e a prova di manomissione.

Raccogliamo costantemente informazioni sui laptop distribuiti da Stripe per monitorare processi dannosi, connessioni a domini fraudolenti e attività di intrusione. Abbiamo elaborato un elenco completo dei software consentiti sui laptop dei dipendenti, per evitare l’installazione di applicazioni non approvate.

## Mantenimento della posizione di sicurezza

I nostri sviluppatori lavorano con esperti di sicurezza all’inizio del ciclo di vita di un progetto. Nell’ambito della nostra procedura di verifica per la sicurezza, gli esperti di sicurezza sviluppano modelli di minacce e limiti di fiducia che agevolano l’implementazione del progetto. Gli sviluppatori utilizzano questa stessa procedura per apportare modifiche a parti di codice sensibili.

### Esperti dedicati sempre reperibili

Disponiamo di numerosi team di sicurezza dedicati specializzati in aree diverse della sicurezza, tra cui infrastruttura, operazioni, privacy, utenti e applicazioni. Gli esperti di sicurezza sono disponibili 24 ore su 24 tutti i giorni in turni a ciclo continuo. Il nostro obiettivo è migliorare costantemente il livello delle migliori pratiche per ridurre al minimo i rischi per la sicurezza informatica.

### La sicurezza è una priorità per ogni dipendente Stripe

Chiediamo a ogni dipendente Stripe di completare i corsi annuali di formazione sulla sicurezza e i tecnici di Stripe vengono formati sullo sviluppo di software sicuro. Eseguiamo campagne di phishing interne per essere certi che tutto il personale di Stripe riconosca i tentativi di phishing e li segnali al team di sicurezza competente.

### Gestione del controllo degli accessi

Abbiamo una procedura formale per concedere l’accesso ai sistemi e alle informazioni, ed esaminiamo regolarmente e rimuoviamo automaticamente l’accesso inattivo. Le azioni nelle aree più sensibili dell’infrastruttura richiedono una revisione umana. Per abilitare le migliori prassi per il controllo degli accessi, i nostri esperti di sicurezza creano procedure di base per assistere i team Stripe nell’attuazione del principio del privilegio minimo. Per limitare al minimo la nostra esposizione, abbiamo una politica di conservazione dei dati che riduce i dati che conserviamo nel rispetto dei requisiti normativi e aziendali.

### Segnalazione di vulnerabilità e programma a premi

Manteniamo un programma di divulgazione delle vulnerabilità e di ricompense (“bug bounty”) che premia i ricercatori di sicurezza indipendenti che ci aiutano a proteggere i nostri utenti. Inviando un bug di sicurezza o una vulnerabilità a Stripe tramite [HackerOne](https://hackerone.com/stripe), confermi di aver letto e accettato i Termini e le condizioni del programma. Consulta la nostra policy su HackerOne per ulteriori informazioni su come partecipare al nostro programma bug bounty.

## See also

- [Guida alla sicurezza dell’integrazione](https://docs.stripe.com/security/guide.md)
- [Single sign-on (SSO)](https://docs.stripe.com/get-started/account/sso.md)
- [Indirizzi IP Stripe](https://docs.stripe.com/ips.md)