# Stripe 的安全性

了解 Stripe 如何处理安全问题。

在敏感数据问题上，我们的用户信任 Stripe，并依赖我们充当其客户的良好数据保管人。作为一家支付基础设施公司，我们的安全状况持续满足全球金融行业的严苛标准。

## 标准与合规

Stripe 遵循以下标准和法规，落实其安全实践。

### PCI 认证

由具备 PCI 认证资质的审计机构对 Stripe 开展评估，并授予我们 [PCI 1 级服务商](https://www.visa.com/splisting/LearnMore.html)认证。这是支付行业中最严格的认证级别。此项审计涵盖 Stripe 卡数据保管库 (CDV) 以及我们集成代码的安全软件开发。

我们为用户提供一些用于自动化 PCI 合规性问题的功能。

- 我们会分析用户的集成方法，并动态通知他们使用哪种 PCI 验证表单。
- 如果用户集成了 Stripe Elements、Checkout、Terminal SDK 或我们的移动库，我们会在管理平台中协助其完成 PCI 验证表（即[自我评估问卷](https://www.pcisecuritystandards.org/pci_security/completing_self_assessment)）。
- 我们发布了一份 [PCI 合规指南](https://stripe.com/guides/pci-compliance)，以帮助我们的用户了解 PCI 合规性以及 Stripe 可以提供何种帮助。

### 系统和组织控制 (SOC) 报告

作为我们的 SOC 1 和 SOC 2 合规计划的一部分，Stripe 的系统、流程和控制定期接受审核。SOC 1 和 SOC 2 类型 II 报告每年编制一次，可根据要求提供。

美国注册会计师协会审计准则委员会 ([AICPA](https://www.aicpa.org/)) 制定了 SOC 3 报告，该报告基于 AICPA 信任服务标准 (TSC)。Stripe 的 SOC 3 是一份关于安全性、可用性和机密性内部控制的公开报告。查看我们[最新 SOC 3 报告](https://docs.stripecdn.com/ebe9bebbdc5210a59ca18de4917ff3b152961a83fa3a98fbb81c758792472389.pdf)。

### 银行卡终端的 EMVCo 标准

Stripe Terminal 已通过《EMV®规范》关于银行卡和终端安全性与互操作性的 [EMVCo 1 级和 2 级](https://www.emvco.com/approved-products/?search_bar_keywords=bbpos&tax%5Bapproved-products_categories%5D%5B90%5D%5B%5D=94%2C95%2C96%2C97%2C99)标准认证。Terminal 亦通过 [《PCI 支付应用数据安全标准》](https://en.wikipedia.org/wiki/PA-DSS) (PA-DSS) 的认证，这是一项全球安全标准，旨在防止为第三方开发的支付应用程序存储被禁止的安全数据。

### NIST 网络安全框架

Stripe 的信息安全政策套件及其总体设计符合 [NIST 网络安全框架](https://www.nist.gov/cyberframework/new-framework)。我们的安全实践符合我们的企业客户的标准，这些客户必须提供安全的产品，如按需云计算和存储平台（例如，DigitalOcean 和 Slack）。

### 隐私和数据保护

Stripe 的隐私实践符合 CBPR 和 PRP 系统，这一点从 Stripe 获得的 CBPR 和 PRP 认证中可见一斑。查看我们 [CBPR](https://privacy.trustarc.com/privacy-seal/validation?rid=31b93f92-8732-402c-9768-f15aabc763f4) 和 [PRP](https://privacy.trustarc.com/privacy-seal/validation?rid=712f8b7a-6d3c-4484-9522-3bf21d56818a) 认证的现状。Stripe 还遵守美国商务部发布的欧盟——美国数据隐私框架 (EU-US DPF)、欧盟——美国数据隐私框架英国延伸版，以及瑞士——美国数据隐私框架。请参见我们的[认证](https://www.dataprivacyframework.gov/s/participant-search/participant-detail?id=a2zt0000000TQOUAA4&status=Active)。

我们根据所有适用的隐私与数据保护规则，持续实施不断演进的隐私和数据保护流程、程序及最佳做法。欲了解更多信息，请参见以下 Stripe 资源：

- [隐私政策](https://stripe.com/privacy)
- [隐私中心](https://stripe.com/legal/privacy-center)
- [数据处理协议](https://stripe.com/legal/dpa)

## Stripe 产品安全

安全性是 Stripe 所有的产品设计和基础设施决策的指导原则之一。我们提供一系列功能来帮助用户更好地保护他们的 Stripe 数据。

### 敏感动作验证

Stripe 管理平台支持多种形式的[多重验证](https://support.stripe.com/questions/enable-two-step-authentication) (MFA)，包括[通行密钥](https://support.stripe.com/questions/sign-in-using-a-passkey)、[硬件安全密钥](https://support.stripe.com/questions/set-up-a-hardware-security-key-for-two-step-authentication)、[基于时间的一次性密码算法](https://support.stripe.com/questions/enable-two-step-authentication-using-a-mobile-app) (TOTP) 以及[短信](https://support.stripe.com/questions/enable-two-step-authentication-via-text-messaging)。我们推荐使用通行密钥或硬件安全密钥，因为它们能抵抗网络钓鱼攻击。基于短信的 MFA 易受 SIM 卡交换和拦截攻击，因此应仅作为最后手段使用。我们也支持通过安全断言标记语言 (SAML) 2.0 进行[单点登录](https://docs.stripe.com/get-started/account/sso.md)，这允许您授权登录要求、配置访问控制，并通过即时 (JIT) 账户配置即时完成团队成员入职。如果您使用带有 SCIM 的单点登录 (SSO)，可以通过您的身份提供商集中强制执行身份验证策略。

Stripe 会对支持请求进行身份验证。请在登录后从管理平台发送支持请求。若通过其他渠道提交，我们会先核验您拥有该账户访问权限，再予以回复。启用身份核验可最大程度降低向未授权人员泄露信息的风险。

### 访问限制和审查

在管理平台，您可以为您的员工分配不同的精细化[角色](https://docs.stripe.com/get-started/account/teams.md)，以启用最小权限访问，并创建[受限 API 密钥](https://docs.stripe.com/keys.md#create-restricted-api-key)，从而降低 API 密钥泄露带来的安全和可靠性风险。您还可以为 API 密钥[配置访问策略](https://docs.stripe.com/keys.md#access-policies)，以防止未经授权的地点使用该 API 密钥。

您还可以在您的[安全记录](https://dashboard.stripe.com/security_history)中查看重要账户变更和活动的审计日志。这些审计日志包含敏感账户活动的记录，如登录或更改银行账户信息。我们监控登录情况并注意：

- 如果其来自相同或常用的设备
- 如果其来自一致的 IP 地址
- 失败的尝试

用户可以从日志中导出历史信息。对于时效性活动，特别是来自未知 IP 和设备的登录，Stripe 会自动发送邮件通知给用户，这样用户无需手动查看日志。

### HTTPS 和 HSTS 的安全连接

我们所有使用*传输层安全 (TLS)* (TLS refers to the process of securely transmitting data between the client—the app or browser that your customer is using—and your server. This was originally performed using the SSL (Secure Sockets Layer) protocol) (SSL) 的服务均强制要求采用 HTTPS，包括我们的公开网站和[管理平台](https://dashboard.stripe.com)。我们会定期审核实施细节，包括我们提供的证书、使用的证书颁发机构以及支持的密码套件。我们启用 [HSTS](https://en.wikipedia.org/wiki/HTTP_Strict_Transport_Security) 确保浏览器仅通过 HTTPS 与 Stripe 进行交互。Stripe 也已加入所有主流现代浏览器的 HSTS 预加载列表。我们的系统会自动阻止使用较旧且安全性较低的 TLS 版本发送的请求，[要求至少使用 TLS 1.2](https://stripe.com/blog/completing-tls-upgrade)。

Stripe 所有内部服务器之间的通信均通过双向传输层安全协议 (mTLS) 进行加密。Stripe 提供了专用的 [PGP 密钥](https://docs.stripe.com/security/python-client-pgp-key.md)，供您加密与 Stripe 的电子邮件通信，或验证您从我们这里收到的签名消息。

[stripe.com](https://stripe.com) 域名（包括管理平台和 API 子域名）已列入 Chrome 的[高可信度域名](https://chromium-review.googlesource.com/c/chromium/src/+/605062)列表中，可额外防范同形字攻击。这会提高在 Chrome 浏览器中仿造酷似 stripe.com 的虚假页面的难度（例如，`strípe.com`其呈现的 Punycode 编码为 `xn--strpe-1sa.com`），进而降低 Stripe 账户凭证遭遇钓鱼攻击的风险。

### 主动网络监控

我们主动全网扫描商户的 API 密钥。一旦发现遭泄露的密钥，会采取相应处置措施，并提示用户轮换 API 密钥。我们启用 GitHub 密钥扫描功能，一旦检测到用户 API 密钥泄露至 GitHub，就会触发告警。如发现针对我们用户的外部钓鱼页面，我们会主动协同供应商将其下线，并向 Google 安全浏览项目提交举报。

## 基础设施保障

我们安全团队定期对基础设施开展检测，包含漏洞扫描、渗透测试以及红队演练。我们聘请第三方安全厂商对系统进行扫描，并立即处理其发现的安全问题。服务器会高频自动轮换，以维持服务器健康状态，清理失效连接与资源。服务器操作系统会在安全支持终止 (EOL) 日期前提前完成升级。

### 专用银行卡技术

Stripe 对传输中和静态存储的敏感数据均进行加密。用于存储、解密、传输主账号 (PAN)（例如信用卡号）的 Stripe 基础设施独立部署，不会与 API、官网等其他服务共享任何凭证。由专门团队在独立的 Amazon Web Services (AWS) 环境中管理卡数据保管库 (CDV)，该环境与 Stripe 其余基础设施隔离。我们将此独立环境的访问权限限制在少数受过专项培训的工程师范围内，并按季度审核访问权限。

所有卡号静态存储时均采用高级加密标准 (AES‑256) 加密。解密密钥已存储于独立服务器。我们在内部对主账号执行令牌化处理，将原始卡号与其余基础设施隔离。Stripe 内部服务器与后台守护进程均无法获取明文卡号，但可申请将卡片信息发送至静态白名单内的服务商。对于银行账户信息等其他敏感数据，我方采用与主账号令牌化相同的处理方式。

### 企业技术

Stripe 对员工访问管理采取零信任原则。员工通过 SSO、使用基于硬件令牌的双重验证 (2FA) 以及在 Stripe 签发机器上通过加密证书进行 mTLS 认证来进行身份验证。连接网络后，敏感的内部系统以及员工标准工作范围之外的系统需要额外的访问权限。

我们监控审计日志以检测异常，并关注入侵和可疑活动，同时监控代码库中敏感文件的变更。Stripe 的所有代码都经过多方审核和自动化测试。代码变更会被记录在不可变、防篡改的日志中。

我们不断收集关于 Stripe 配发笔记本电脑的信息，以监控恶意进程、与欺诈域名的连接以及入侵活动。我们有全面的流程，将员工笔记本电脑上允许的软件列入许可名单，防止安装未经批准的应用程序。

## 安全态势维护

我们的开发人员在项目生命周期的早期与安全专家合作。作为我们安全审查流程的一部分，安全专家会开发出威胁模型和信任边界，以帮助指导项目的实施。开发人员利用相同的流程对敏感的代码片段进行修改。

### 专属专家随时待命

我们有许多专门的安全团队，他们专注于不同的安全领域，包括基础设施、运营、隐私、用户和应用程序。安全专家 24/7 全天候待命。我们专注于不断提高最佳实践的标准，以最大限度地降低网络安全风险。

### 保障安全，是每名 Stripe 员工的责任

我们要求每位 Stripe 员工每年完成安全培训，并为 Stripe 工程师提供安全软件开发培训。我们内部开展钓鱼活动，测试 Stripe 所有员工识别钓鱼尝试并及时报告给相关安全团队的能力。

### 管理访问控制

我们有正式的系统和信息访问权限授予流程，并定期审核和自动移除非活跃访问权限。基础设施中最敏感区域的操作需要人工审核。为了实现访问控制的最佳实践，我们的安全专家构建了原语，以协助 Stripe 团队实施最小权限原则。为了最大限度地减少暴露，我们制定了数据留存政策，在遵守监管和业务要求的同时减少数据留存。

### 漏洞披露和奖励计划

我们设有漏洞披露与奖励计划（“漏洞赏金”），为助力保障用户安全的独立安全研究员提供奖励。通过 [HackerOne](https://hackerone.com/stripe) 向 Stripe 提交安全缺陷或漏洞，即代表您已阅读并同意该计划条款。可查阅 HackerOne 平台上的相关政策，了解如何参与漏洞赏金计划的更多信息。

## See also

- [集成安全指南](https://docs.stripe.com/security/guide.md)
- [单点登录 (SSO)](https://docs.stripe.com/get-started/account/sso.md)
- [Stripe IP 地址](https://docs.stripe.com/ips.md)