La sécurité chez Stripe

Nos utilisateurs font confiance à Stripe pour leurs données sensibles et celles de leurs clients finaux. En tant que prestataire de services de paiement, notre stratégie de sécurité évolue continuellement pour répondre aux normes rigoureuses du secteur financier international.

Conformité aux normes et réglementations

Stripe implémente les meilleures pratiques de sécurité afin de maintenir un niveau de sécurité élevé.

Certifié PCI

Stripe a fait l’objet d’un audit par un auditeur certifié PCI et bénéficie de la certification Fournisseur de services PCI de niveau 1. Il s’agit du niveau de certification le plus strict du secteur des paiements. Cet audit a examiné notre système de stockage des données de cartes bancaires (CDV) et le développement logiciel sécurisé de notre code d’intégration.

Nous proposons à nos utilisateurs des fonctionnalités leur permettant d’automatiser certains aspects de la conformité PCI.

• Nous analysons la méthode d’intégration de l’utilisateur et l’indiquons de manière dynamique sur le formulaire de validation PCI à utiliser.
• Si un utilisateur intègre Stripe Elements, Checkout, les SDK Terminal ou nos bibliothèques mobiles, nous les aidons à remplir leur formulaire de validation PCI (Questionnaire d’auto-évaluation) dans le Dashboard.
• Nous avons publié un Guide de conformité PCI pour vous donner plus d’informations sur la conformité PCI et la façon dont Stripe peut vous aider.

Rapports SOC (System and Organization Controls)

Les systèmes, processus et contrôles de Stripe font l’objet d’audits réguliers dans le cadre de nos programmes de conformité SOC 1 et SOC 2. Les rapports SOC 1 et SOC 2 Type II sont produits annuellement et peuvent être fournis sur demande.

Le Conseil des normes d’audit de l’Institut américain des comptables publics agréés (AICPA) a élaboré le rapport SOC 3 selon les critères des services de confiance (TSC). Le SOC 3 de Stripe est un rapport public sur les contrôles internes relatifs à la sécurité, la disponibilité et la confidentialité. Consultez notre dernier rapport SOC 3.

Norme EMVCo pour les terminaux de carte bancaire

Stripe Terminal est certifié selon les normes EMVCo Niveau 1 et 2 des spécifications EMV® pour la sécurité et l’interopérabilité des cartes et terminaux. Terminal est également certifié selon la norme de sécurité des données des applications de paiement PCI (PA-DSS), la norme de sécurité mondiale visant à empêcher que les applications de paiement développées pour des tiers ne stockent des données sécurisées interdites.

Cadre de cybersécurité du NIST

La suite de politiques en matière de sécurité de l’information de Stripe et leur conception globale sont alignées sur le référentiel de cybersécurité du NIST. Nos pratiques en matière de sécurité répondent aux exigences des grandes entreprises, qui doivent fournir des produits sécurisés, par exemple des plateformes de stockage et des services de cloud computing sur demande (comme DigitalOcean ou Slack).

Confidentialité et protection des données

Les pratiques de confidentialité de Stripe sont conformes aux systèmes CBPR et PRP, comme en témoignent les certifications CBPR et PRP obtenues par Stripe. Consultez le statut de nos certifications CBPR et PRP. Stripe se conforme également au Cadre américain de protection des données (EU-US DPF), à l’extension britannique du EU-US DPF et au Cadre suisse-américain de protection des données, tels que définis par le département du commerce des États-Unis. Consultez nos certifications.

Nous mettons en œuvre en continu des processus, procédures et bonnes pratiques en matière de confidentialité et de protection des données, conformes à tous les régimes applicables. Pour plus d’informations, consultez les ressources Stripe suivantes :

• Politique de confidentialité
• Centre de confidentialité
• Contrat de traitement des données

Sécurisation des produits Stripe

La sécurité guide chacune de nos décisions en matière de conception de produits et d’infrastructure. Nous proposons une gamme complète de fonctionnalités pour aider nos utilisateurs à protéger leurs données Stripe.

Authentification des actions sensibles

Le Dashboard Stripe prend en charge plusieurs formes d’authentification multifactorielle (MFA), notamment : SMS, mot de passe à usage unique basé sur le temps (TOTP), clés de sécurité matérielles et clés d’accès. Nous prenons également en charge la connexion unique via le Langage de balisage d’assertion de sécurité (SAML) 2.0, ce qui vous permet d’imposer des exigences de connexion, de configurer le contrôle d’accès et d’intégrer instantanément des membres d’équipe grâce à l’approvisionnement de compte juste-à-temps (JIT).

Vous devez identifier les requêtes de prise en charge des utilisateurs en les envoyant depuis le Dashboard après connexion, ou en vérifiant l’accès au compte avant que nous fournissions une réponse. En exigeant cette authentification, nous réduisons le risque de divulguer des informations à des personnes non autorisées.

Audit et restriction d’accès

Depuis le Dashboard, vous pouvez attribuer différents rôles détaillés pour garantir un accès au minimum nécessaire à vos employés, et créer des clés d’accès limité afin de réduire les risques de sécurité et de fiabilité liés à l’exposition des clés API.

Vous pouvez également consulter les logs d’audit des modifications et activités importantes de leur compte dans leur historique de sécurité. Ces logs d’audit contiennent des enregistrements des activités sensibles du compte, telles que la connexion ou la modification des informations bancaires. Nous surveillons les connexions et notons :

• Si elles proviennent du même appareil ou d’appareils utilisés habituellement
• Si elles proviennent d’adresses IP cohérentes
• Les tentatives infructueuses

Vous pouvez exporter les informations historiques à partir des logs. Pour les activités sensibles dans le temps, comme les connexions depuis des IP ou appareils inconnus, nous envoyons des notifications automatiques, afin que vous n’ayez pas besoin de consulter les logs manuellement.

HTTPS et HSTS pour des connexions sécurisées

Nous imposons l’utilisation du protocole HTTPS pour tous les services utilisant le protocole TLS (SSL), y compris pour notre site Web public et pour le Dashboard. Nous vérifions régulièrement les détails de notre déploiement, y compris les certificats que nous fournissons, les autorités de certification que nous utilisons et les chiffrements que nous prenons en charge. Nous utilisons HSTS pour nous assurer que les navigateurs interagissent avec Stripe uniquement via HTTPS. Stripe figure également sur les listes préchargées HSTS de tous les principaux navigateurs modernes.

Toutes les communications de serveur à serveur sont chiffrées via sécurité de la couche transport mutuelle (mTLS) et Stripe dispose de clés PGP dédiées pour vous permettre de chiffrer vos communications avec Stripe ou de vérifier les messages signés que vous recevez de notre part. Nos systèmes bloquent automatiquement les requêtes utilisant des versions anciennes et moins sécurisées de TLS, nécessitant l’utilisation d’au moins TLS 1.2.

Le domaine stripe.com, dont le Dashboard et les sous-domaines de l’API, figurent sur la liste des domaines principaux de Chrome, ce qui fournit une protection supplémentaire contre les attaques par homoglyphe. La création de fausses pages se faisant passer pour stripe.com dans Chrome (par exemple, strípe.com) est ainsi plus difficile. Ces pages s’affichent alors en punycode (xn–strpe-1sa.com), ce qui prévient la récupération des identifiants Stripe par hameçonnage.

Surveillance proactive d’Internet

Nous analysons Internet de manière proactive à la recherche des clés API de nos marchands. Si nous détectons une clé compromise, nous prenons les mesures qui s’imposent, en demandant à l’utilisateur de révoquer sa clé API. Nous utilisons le détecteur de tokens de GitHub pour détecter les fuites de clés API d’un utilisateur sur GitHub. Si nous trouvons des pages externes susceptibles d’hameçonner nos utilisateurs, nous en informons nos marchands afin que ces pages soient retirées au plus vite et nous les signalons à Google Safe Browsing.

Protection de l’infrastructure

Nos équipes de sécurité testent régulièrement notre infrastructure en analysant les vulnérabilités, et une « équipe rouge » effectue des tests d’intrusion et autres exercices de sécurité réguliers. Nous faisons également appel à des sociétés de sécurité de premier plan qui effectuent des analyses de nos systèmes, et nous répondons immédiatement à leurs conclusions. Nos serveurs sont fréquemment et automatiquement remplacés afin de préserver leur bon fonctionnement et d’éliminer les connexions ou ressources obsolètes. Les systèmes d’exploitation des serveurs sont mis à niveau bien avant leur date de fin de vie.

Technologie dédiée pour les cartes bancaires

Stripe chiffre les données sensibles à la fois en transit et au repos. L’infrastructure Stripe pour stocker, déchiffrer et transmettre les numéros de compte principaux (PAN), comme les numéros de carte de crédit, fonctionne dans une infrastructure d’hébergement séparée et ne partage aucune information d’identification avec le reste de nos services. Une équipe dédiée gère notre CDV dans un environnement de Services Web d’Amazon (AWS) isolé, distinct du reste de l’infrastructure Stripe. L’accès à cet environnement séparé est limité à un petit nombre d’ingénieurs spécialement formés et est revu chaque trimestre.

Tous les numéros de carte font l’objet d’un chiffrement AES-256 des données au repos. Les clés de déchiffrage sont stockées sur des machines distinctes. Nous utilisons des jetons, à l’interne, pour les PAN, en isolant les données brutes du reste de notre infrastructure. Aucun des serveurs ni aucun des démons internes de Stripe ne peuvent obtenir de numéros de carte en texte clair, mais ils peuvent émettre une requête pour que les cartes soient envoyées à un fournisseur de services qui figure sur une liste d’autorisation statique. L’infrastructure de Stripe pour le stockage, le déchiffrage et la transmission des numéros de carte fonctionne dans un environnement d’hébergement distinct, et ne partage aucun identifiant avec les principaux services de Stripe, y compris notre API et notre site Web. Nous traitons d’autres données sensibles, telles que les informations bancaires, de la même manière que nous utilisons des jetons pour les PAN.

Gestion interne de la technologie

Stripe adopte une approche zéro-confiance pour la gestion des accès des employés. Les employés sont identifiés via SSO, une authentification à deux facteurs (2FA) avec un token matériel, et mTLS via un certificat cryptographique sur les machines fournies par Stripe. Après la connexion au réseau, les systèmes internes sensibles et ceux hors du périmètre du travail standard de l’employé nécessitent des autorisations d’accès supplémentaires.

Nous surveillons les logs d’audit pour détecter les anomalies et identifier toute intrusion ou activité suspecte, et nous contrôlons également les modifications apportées aux fichiers sensibles de notre base de code. Tout le code de Stripe passe par une relecture multipartite et des tests automatisés. Les modifications du code sont enregistrées dans un journal immuable et inviolable.

Nous collectons en permanence des informations sur les ordinateurs portables fournis par Stripe afin de surveiller les processus malveillants, les connexions à des domaines frauduleux et les activités d’intrus. Nous disposons d’un processus complet pour l’autorisation des logiciels sur les ordinateurs portables des employés, empêchant l’installation d’applications non approuvées.

Maintien du niveau de sécurité

Nos développeurs collaborent avec des experts en sécurité dès le début du cycle de vie d’un projet. Dans le cadre de notre processus d’examen de la sécurité, les experts en sécurité élaborent des modèles de menaces et des limites de sécurisation qui aident à orienter la mise en œuvre du projet. Les développeurs utilisent ce même processus pour modifier des sections de code sensibles.

Des experts dédiés et toujours disponibles

Nous disposons de plusieurs équipes spécialisées dans différents domaines de la sécurité, notamment l’infrastructure, les opérations, la confidentialité, les utilisateurs et les applications. Des experts en sécurité se relaient pour être disponibles 24 heures sur 24, 7 jours sur 7. Nous nous efforçons d’implémenter des bonnes pratiques toujours plus ambitieuses, afin de minimiser les risques en matière de cybersécurité.

La sécurité est l’affaire de tous les employés Stripe

Nous exigeons que chaque employé de Stripe suive une formation annuelle à la sécurité, et nous proposons aux ingénieurs Stripe une formation au développement logiciel sécurisé. Nous menons également des campagnes internes de phishing afin de tester la capacité de tous les employés à reconnaître les tentatives de phishing et à les signaler à l’équipe de sécurité appropriée.

Gestion des contrôles d’accès

Nous disposons d’un processus formel pour l’octroi d’accès aux systèmes et aux informations, et nous examinons régulièrement les accès pour supprimer automatiquement les accès inactifs. Les actions dans les zones les plus sensibles de l’infrastructure nécessitent une vérification humaine. Pour appliquer les bonnes pratiques de contrôle d’accès, nos experts en sécurité créent des primitives pour aider les équipes Stripe à mettre en œuvre le principe du moindre privilège. Pour réduire notre exposition, nous appliquons une politique de conservation des données qui limite les données que nous conservons tout en se conformant aux exigences réglementaires et commerciales.

Signalement des vulnérabilités et programme de récompenses

Nous maintenons un programme de divulgation de vulnérabilités et de récompense (« bug bounty ») qui rémunère les chercheurs en sécurité indépendants contribuant à la sécurité de nos utilisateurs. En soumettant une vulnérabilité ou un bug à Stripe via HackerOne, vous reconnaissez avoir lu et accepté les conditions générales du programme. Consultez notre politique sur HackerOne pour en savoir plus sur la participation à notre programme de bug bounty.