Zum Inhalt springen

Sicherheit

Sicherheit auf jeder Ebene, vom API-Aufruf bis zur Auszahlung

Wir schützen Ihre Gelder und die Daten Ihrer Kunden mit Verschlüsselung, strenger Zugriffskontrolle, unabhängigen Audits und Kontrollen, die Sie selbst verwalten – Sicherheit ist Teil der Integration, kein nachträglicher Gedanke.

Zum Trust CenterSicherheitslücke melden
  • PCI DSS v4.0.1
  • SOC 2 Type II-Bericht
  • ISO 27001
Validiert für Karteninhaberdaten
PCI DSS v4.0.1
Unabhängiger Prüfbericht zur Wirksamkeit unserer Kontrollen über einen Zeitraum
SOC 2 Type II
Mindestverschlüsselung für Daten bei der Übertragung
TLS 1.2+
Verschlüsselung für gespeicherte Daten
AES-256

Zertifizierungen und Prüfberichte

Von unabhängigen Prüfern bewertet

Anerkannte Frameworks geben Ihrem Sicherheitsteam eine gemeinsame Sprache, um uns zu bewerten.

Datenschutz

Verschlüsselt bei der Übertragung und im Ruhezustand

Sensible Daten sind bei jedem Schritt geschützt, und unverschlüsselte Kartendaten bleiben außerhalb Ihrer Systeme, wenn Sie unsere gehosteten Optionen nutzen.

  • TLS 1.2+

    Jede Verbindung zu unserer API, zum Business Portal und zum gehosteten Checkout nutzt TLS 1.2 oder höher. Unverschlüsseltes HTTP wird nie akzeptiert.

  • AES-256

    Ruhende Daten werden mit AES-256 verschlüsselt; die Schlüssel werden in AWS KMS verwaltet und rotiert.

Zugriffskontrolle

Die richtigen Personen, die richtigen Rechte – mehr nicht

Der Zugriff auf das Business Portal und die API ist authentifiziert, eingeschränkt und kurzlebig. Jeder Nutzer erhält nur die Berechtigungen, die seine Rolle erfordert.

  • Multi-Faktor-Authentifizierung mit Einmalcode bei der Anmeldung im Business Portal
  • Rollenbasierte Zugriffskontrolle mit granularen Nutzerrollen und Berechtigungen
  • Kurzlebige JWT-Access-Tokens (5 Minuten), erneuert mit Refresh-Tokens (24 Stunden)
  • API-Aufrufe werden nur aus serverseitigen Umgebungen und von freigegebenen IPs akzeptiert
Mehr zu Rollen und Berechtigungen

Benutzerrollen und Berechtigungen

Vordefinierte Rollen im Business Portal. Jeder Nutzer erhält nur die Berechtigungen, die seine Rolle erfordert.

  • ACCOUNT MANAGER

    Befugnisse
    Richtet das Händlerkonto ein; Zugriff auf Berichte, Saldo und Business Portal.

  • ADMIN

    Befugnisse
    Erstellt und autorisiert Auszahlungen, Pay-ins, Erstattungen, Chargebacks, virtuelle Konten, Devisengeschäfte, interne Überweisungen und Settlements.

  • API USER

    Befugnisse
    Vollzugriff auf die Localpayment-APIs.

  • AUTHORIZER LEVEL 1

    Befugnisse
    Autorisiert Auszahlungen, Erstattungen und Settlements; erstellt Devisengeschäfte und interne Überweisungen.

  • AUTHORIZER LEVEL 2

    Befugnisse
    Autorisiert Auszahlungen, Erstattungen und Settlements; erstellt interne Überweisungen.

  • OPERATIONS CHARGEBACK LEVEL 1

    Befugnisse
    Erstellt Chargebacks, mit eingeschränktem Zugriff auf Berichte.

  • OPERATIONS CHARGEBACK LEVEL 2

    Befugnisse
    Erstellt Chargebacks, Erstattungen, Auszahlungen, interne Überweisungen und Devisengeschäfte.

  • OPERATIONS LEVEL 1

    Befugnisse
    Erstellt Auszahlungen, Pay-ins, Erstattungen und Settlements.

  • OPERATIONS LEVEL 2

    Befugnisse
    Erstellt Auszahlungen, Pay-ins, Erstattungen, Chargebacks, virtuelle Konten und Überweisungen.

  • RECONCILIATION LEVEL 1

    Befugnisse
    Zugriff auf Aktivitäts- und Abonnementberichte.

  • RECONCILIATION LEVEL 2

    Befugnisse
    Zugriff auf Berichte, Saldo und Business Portal, einschließlich Zahlungsnachweisen.

  • TREASURY

    Befugnisse
    Erstellt Devisengeschäfte, interne Überweisungen und Settlements.

Sie können außerdem eigene Rollen aus granularen Berechtigungen erstellen (API, Salden, Business Portal, Pay-ins, Auszahlungen, Berichte, Settlement und Devisen, Konfiguration).

Kontrollen, die Sie verwalten

Sicherheitseinstellungen in Ihrer Hand

Konfigurieren Sie sie im Business Portal und in Ihrer Integration – jede schließt einen häufigen Angriffsweg.

Für Entwickler

Lehnen Sie jede Benachrichtigung ab, die Sie nicht prüfen können

Jeder Webhook trägt eine HMAC-SHA256-Signatur des unveränderten Request-Bodys, berechnet mit Ihrem Webhook-Secret. Vergleichen Sie sie in konstanter Zeit, bevor Sie eine Bestellung aktualisieren oder Gelder freigeben.

  • Signieren Sie den unveränderten Body, vor jedem JSON-Parsing
  • Entfernen Sie das Präfix „HMAC-SHA256 “ aus dem Header
  • Antworten Sie schnell mit 200, verarbeiten Sie dann asynchron und deduplizieren Sie
Webhook-Leitfaden
Webhook-Request (Beispiel)
POST /webhooks/localpayment HTTP/1.1
Host: api.merchant-example.com
Content-Type: text/plain
x-Signature: HMAC-SHA256 9f2c4b7e1a0d58c3e6b1f4a2d7c9e0b5a8f3d6c1e4b7a0d9c2f5e8b1a4d7c0e3

{"transactionType":"PayIn","data":{"externalId":"order-000123","status":{"code":"200","description":"COMPLETED"}}}

Betriebssicherheit

Überwacht, getestet und geprüft

  • Sicherheitsmonitoring

    Sicherheitsereignisse auf unserer gesamten Plattform werden überwacht; vor öffentlichen Endpunkten steht eine Web Application Firewall.

  • Externe Penetrationstests

    Unabhängige Spezialisten testen regelmäßig unsere Anwendungen und Infrastruktur, und Befunde werden bis zur Behebung nachverfolgt.

  • Sichere Entwicklung

    Codeänderungen werden vor dem Release von einer anderen Person als dem Autor geprüft – nach OWASP-Leitlinien.

  • Audit-Protokollierung

    Sicherheitsrelevante Ereignisse werden protokolliert und aufbewahrt, damit sie geprüft und untersucht werden können.

  • Öffentliche Statusseite

    Live-Status der APIs, der Authentifizierung und der lokalen Zahlungsnetze sowie die Störungshistorie unter status.localpayment.com.

  • Incident Response

    Ein definierter Prozess für die Reaktion auf Sicherheitsvorfälle und 24/7-Kundensupport, der Sie auf dem Laufenden hält, wenn etwas schiefgeht.

Sicherheitslücke gefunden?

Sagen Sie es uns – wir beheben es gemeinsam mit Ihnen

Wir begrüßen Meldungen von Sicherheitsforschenden. Schreiben Sie mit den Details an cybersecurity@localpayment.com und geben Sie uns angemessen Zeit, das Problem vor einer Offenlegung zu beheben.

  • Geltungsbereich und Spielregeln in unserer Responsible-Disclosure-Richtlinie
  • Maschinenlesbare Kontaktdaten unter /.well-known/security.txt
  • Greifen Sie niemals auf fremde Daten zu, ändern oder behalten Sie sie nicht
Richtlinie lesen

Häufig gestellte Fragen

Speichern Sie Kartendaten?

Kartenzahlungen werden in unserer nach PCI DSS v4.0.1 validierten Umgebung verarbeitet. Für wiederkehrende Zahlungen werden Kartendaten durch Tokens ersetzt, und unsere gehosteten Optionen – WebCheckout, das eingebettete iframe und Smart Fields – halten unverschlüsselte Kartendaten aus Ihren Systemen fern und verringern Ihren PCI-Scope.

Ist IP-Allowlisting verpflichtend?

Ja. Die API akzeptiert Aufrufe nur aus serverseitigen Umgebungen und von den IPs, die Sie im Business Portal registrieren. Anfragen von allen anderen Adressen werden abgelehnt.

Wie erhalte ich Ihre PCI-DSS-Bescheinigung oder Ihren SOC-2-Bericht?

Fordern Sie sie über unser Trust-Center-Portal unter trust.localpayment.com an oder wenden Sie sich an Ihr Account-Team.

Wo werden meine Daten gehostet?

Unsere Plattform läuft auf AWS. Wenn Ihre Prüfung Angaben zu Hosting-Regionen oder Unterauftragsverarbeitern erfordert, wenden Sie sich an unser Team.

Wie erfahre ich von einem Sicherheitsvorfall?

Verfolgen Sie den Live-Status und die Störungshistorie unter status.localpayment.com und kontaktieren Sie unser 24/7-Supportteam unter support@localpayment.com.

Wie sollte ich meine API-Zugangsdaten speichern?

In Umgebungsvariablen oder einem Secrets Manager auf Ihren Servern – niemals im Frontend-Code oder in der Versionsverwaltung. Verwenden Sie unterschiedliche Zugangsdaten für Stage und Produktion.

Sicherheitsdokumentation für Ihre Prüfung

Greifen Sie im Trust Center auf Richtlinien zu und fordern Sie Berichte an – oder schreiben Sie unserem Sicherheitsteam.

Zum Trust CenterE-Mail an unser Sicherheitsteam

Wie können wir helfen?

Ihr Exemplar herunterladen

Hinterlassen Sie Ihre Daten und erhalten Sie sofort die vollständige Ausgabe.