Certificats TLS

Votre intégration se connecte à l’API Stripe en toute sécurité via HTTPS, le protocole HTTP chiffré via une connexion TLS (Transport Security Layer). Que vous utilisiez des SDK gérés par Stripe, curl ou d’autres clients HTTP pour vous connecter aux API Stripe, le TLS garantit votre connexion aux serveurs Stripe et s’assure que les tiers ne puissent pas lire ou modifier les requêtes ou réponses de l’API.

Certificats TLS

Les certificats TLS permettent à votre intégration de vérifier la connexion à un serveur détenu par Stripe. Un certificat numérique comprend (mais sans s’y limiter) le nom d’hôte du serveur, les informations sur le propriétaire du serveur/domaine, la durée de validité, ainsi que l’identité de l’autorité de certification (AC) fiable qui a émis ou signé le certificat en question. En se connectant au serveur, le client effectue une validation du chemin d’accès au certificat pour vérifier : que le champ du sujet du certificat correspond au nom de domaine du serveur auquel il tente de se connecter, que le certificat n’a pas expiré, et que le certificat a été délivré par une AC éprouvée. Pour en savoir plus sur les certificats, consultez cette page.

Épinglage des certificats

Lorsque vous vous connectez aux endpoints de l’API Stripe, les certificats sont chargés depuis un paquet de certificats issus de l’AC fourni par votre système d’exploitation, depuis le navigateur ou Stripe Bindings (selon l’HTTP utilisé par le client pour cette connexion). Lors de la validation du chemin d’accès au certificat, ces certificats sont traités comme étant fiables et valides. L’épinglage de certificat représente le processus de restriction aux seuls certificats considérés valides pour un site Web ou un endpoint HTTPS en particulier. Stripe déconseille l’épinglage de certificat afin d’éviter des complications avec votre intégration lorsque nous déployons de nouveaux certificats pour nos systèmes. DigiCert, une des autorités de certification les plus importantes, déconseille également l’épinglage de certificat.

En tant qu’utilisateur de Stripe, si vous devez pour quelque raison que ce soit avoir recours à l’épinglage de certificat, assurez-vous d’épingler uniquement (et en totalité) les certificats racines listés ci-dessous. N’épinglez PAS la chaîne complète de certificats, le certificat intermédiaire ou le certificat d’entité finale. Vous risqueriez fortement de rompre l’intégration puisque Stripe met régulièrement à jour des certificats pour nos systèmes, y compris les certificats intermédiaires de l’AC.

Nos certificats racines listés ci-dessous sont susceptibles d’être modifiés à l’avenir, aussi bien de façon récurrente que ponctuelle en cas d’urgence. En ce qui concerne les modifications régulières de la liste des certificats racines, Stripe émettra un préavis de sept jours via la liste de diffusion des annonces API avant de déployer la modification. Vous devez vous assurer que tous vos clients se connectant aux API Stripe, y compris les applications mobiles, sont en mesure de gérer cette modification de la liste des certificats dans la limite du préavis de sept jours. En cas d’urgence, l’intervalle entre la notification et la modification peut être raccourci.

Certificats racines pour les domaines Stripe

• AC Global Root DigiCert

  • Numéro de série # : 08:3b:e0:56:90:42:46:b1:a1:75:6a:c9:59:91:c7:4a
  • Empreinte d’identification SHA1 : a8:98:5d:3a:65:e5:e5:c4:b2:d7:d6:6d:40:c6:dd:2f:b1:9c:54:36

• DigiCert Global Root G2

  • N° de série : 03:3a:f1:e6:a7:11:a9:a0:bb:28:64:b1:1d:09:fa:e5
  • Empreinte SHA1 : df:3c:24:f9:bf:d6:66:76:1b:26:80:73:fe:06:d1:cc:8d:4f:82:a4

• DigiCert Global Root G3

  • N° de série : 05:55:56:bc:f2:5e:a4:35:35:c3:a4:0f:d5:ab:45:72
  • Empreinte SHA1 : 7e:04:de:89:6a:3e:66:6d:00:e6:87:d3:3f:fa:d9:3b:e8:3d:34:9e

• AC High Assurance EV Root DigiCert

  • Numéro de série : 02:ac:5c:26:6a:0b:40:9b:8f:0b:79:f2:ae:46:25:77
  • Empreinte d’identification SHA1 : 5f:b7:ee:06:33:e2:59:db:ad:0c:4c:9a:e6:d3:8f:1a:61:c7:dc:25

• GlobalSign Root R3

  • Numéro de série : 04:00:00:00:00:01:21:58:53:08:a2
  • Empreinte d’identification SHA1 : d6:9b:56:11:48:f0:1c:77:c5:45:78:c1:09:26:df:5b:85:69:76:ad

• GlobalSign Root R6

  • Numéro de série : 45:e6:bb:03:83:33:c3:85:65:48:e6:ff:45:51
  • Empreinte d’identification SHA1 : 80:94:64:0e:b5:a7:a1:ca:11:9c:1f:dd:d5:9f:81:02:63:a7:fb:d1

• GlobalSign ECC Root R5

  • Numéro de série : 60:59:49:e0:26:2e:bb:55:f9:0a:77:8a:71:f9:4a:d8:6c
  • Empreinte d’identification SHA1 : 1f:24:c6:30:cd:a4:18:ef:20:69:ff:ad:4f:dd:5f:46:3a:1b:69:aa

Vous pouvez vérifier et télécharger les certificats racines de l’AC ci-dessus sur les sites de DigiCert et GlobalSign.