Saltar al contenido

Seguridad

Seguridad en cada capa, de la llamada a la API al payout

Protegemos tus fondos y los datos de tus clientes con cifrado, control de acceso estricto, auditorías independientes y controles que gestionas tú: la seguridad es parte de la integración, no un agregado posterior.

Ir al Trust CenterReportar una vulnerabilidad
  • PCI DSS v4.0.1
  • Informe SOC 2 Type II
  • ISO 27001
Validado para datos de tarjetahabientes
PCI DSS v4.0.1
Informe de auditoría independiente sobre cómo operan nuestros controles en el tiempo
SOC 2 Type II
Cifrado mínimo para los datos en tránsito
TLS 1.2+
Cifrado para los datos en reposo
AES-256

Certificaciones e informes de auditoría

Evaluados por auditores independientes

Los marcos reconocidos le dan a tu equipo de seguridad un lenguaje común para evaluarnos.

Protección de datos

Cifrados en tránsito, cifrados en reposo

Los datos sensibles están protegidos en cada paso, y los datos de tarjeta en crudo quedan fuera de tus sistemas cuando usas nuestras opciones alojadas.

  • TLS 1.2+

    Cada conexión a nuestra API, al Business Portal y al checkout alojado usa TLS 1.2 o superior. Nunca aceptamos HTTP sin cifrar.

  • AES-256

    Los datos en reposo se cifran con AES-256, con claves gestionadas y rotadas en AWS KMS.

Control de acceso

Las personas correctas, los permisos justos, nada más

El acceso al Business Portal y a la API está autenticado, acotado y es de corta duración. Cada usuario recibe solo los permisos que su rol requiere.

  • Autenticación multifactor con código de un solo uso al ingresar al Business Portal
  • Control de acceso basado en roles, con roles y permisos granulares
  • Access tokens JWT de corta duración (5 minutos), renovados con refresh tokens (24 horas)
  • Llamadas a la API aceptadas solo desde entornos de servidor e IPs permitidas
Leer sobre roles y permisos

Roles y permisos de usuario

Roles predefinidos del Business Portal. Cada usuario recibe solo los permisos que su rol requiere.

  • ACCOUNT MANAGER

    Qué puede hacer
    Configura la cuenta del comercio; accede a reportes, saldo y Business Portal.

  • ADMIN

    Qué puede hacer
    Crea y autoriza payouts, pay-ins, reembolsos, contracargos, cuentas virtuales, cambio de divisas, transferencias internas y liquidaciones.

  • API USER

    Qué puede hacer
    Acceso completo a las APIs de Localpayment.

  • AUTHORIZER LEVEL 1

    Qué puede hacer
    Autoriza payouts, reembolsos y liquidaciones; crea cambios de divisas y transferencias internas.

  • AUTHORIZER LEVEL 2

    Qué puede hacer
    Autoriza payouts, reembolsos y liquidaciones; crea transferencias internas.

  • OPERATIONS CHARGEBACK LEVEL 1

    Qué puede hacer
    Crea contracargos, con acceso limitado a reportes.

  • OPERATIONS CHARGEBACK LEVEL 2

    Qué puede hacer
    Crea contracargos, reembolsos, payouts, transferencias internas y cambios de divisas.

  • OPERATIONS LEVEL 1

    Qué puede hacer
    Crea payouts, pay-ins, reembolsos y liquidaciones.

  • OPERATIONS LEVEL 2

    Qué puede hacer
    Crea payouts, pay-ins, reembolsos, contracargos, cuentas virtuales y transferencias.

  • RECONCILIATION LEVEL 1

    Qué puede hacer
    Acceso a los reportes de actividad y de suscripciones.

  • RECONCILIATION LEVEL 2

    Qué puede hacer
    Acceso a reportes, saldo y Business Portal, incluidos los comprobantes de pago.

  • TREASURY

    Qué puede hacer
    Crea cambios de divisas, transferencias internas y liquidaciones.

También puedes crear roles personalizados a partir de permisos granulares (API, saldos, Business Portal, pay-ins, payouts, reportes, liquidación y cambio, configuración).

Controles que gestionas tú

La configuración de seguridad, en tus manos

Configúralos en el Business Portal y en tu integración: cada uno cierra una vía de ataque habitual.

Para desarrolladores

Rechaza cualquier notificación que no puedas verificar

Cada webhook incluye una firma HMAC-SHA256 del cuerpo crudo de la solicitud, calculada con tu secreto de webhook. Compárala en tiempo constante antes de actualizar un pedido o liberar fondos.

  • Firma el cuerpo crudo, antes de parsear el JSON
  • Quita el prefijo “HMAC-SHA256 ” del header
  • Responde 200 rápido, luego procesa en forma asíncrona y deduplica
Guía de webhooks
Solicitud de webhook (ejemplo)
POST /webhooks/localpayment HTTP/1.1
Host: api.merchant-example.com
Content-Type: text/plain
x-Signature: HMAC-SHA256 9f2c4b7e1a0d58c3e6b1f4a2d7c9e0b5a8f3d6c1e4b7a0d9c2f5e8b1a4d7c0e3

{"transactionType":"PayIn","data":{"externalId":"order-000123","status":{"code":"200","description":"COMPLETED"}}}

Seguridad operativa

Monitoreados, probados y revisados

  • Monitoreo de seguridad

    Monitoreamos los eventos de seguridad de nuestra plataforma, con un firewall de aplicaciones web delante de los endpoints públicos.

  • Pruebas de penetración externas

    Especialistas independientes prueban periódicamente nuestras aplicaciones e infraestructura, y cada hallazgo se sigue hasta su remediación.

  • Desarrollo seguro

    Cada cambio de código lo revisa una persona distinta de su autor antes de publicarse, siguiendo las guías de OWASP.

  • Registros de auditoría

    Los eventos relevantes para la seguridad se registran y conservan para poder revisarlos e investigarlos.

  • Página de estado pública

    Estado en vivo de las APIs, la autenticación y los rieles locales, además del historial de incidentes, en status.localpayment.com.

  • Respuesta a incidentes

    Un proceso definido de respuesta a incidentes y soporte al cliente 24/7 para mantenerte informado cuando algo falla.

¿Encontraste una vulnerabilidad?

Cuéntanos y trabajaremos contigo para resolverla

Recibimos con gusto los reportes de investigadores de seguridad. Escribe a cybersecurity@localpayment.com con los detalles y danos un tiempo razonable para corregir el problema antes de divulgarlo.

  • Alcance y reglas de participación en nuestra política de divulgación responsable
  • Datos de contacto legibles por máquina en /.well-known/security.txt
  • Nunca accedas, modifiques ni conserves datos que no sean tuyos
Leer la política

Preguntas frecuentes

¿Almacenan datos de tarjetas?

Los pagos con tarjeta se procesan en nuestro entorno PCI DSS v4.0.1. Para pagos recurrentes, los datos de tarjeta se reemplazan por tokens, y nuestras opciones alojadas —WebCheckout, el iframe embebido y Smart Fields— mantienen los datos de tarjeta fuera de tus sistemas para reducir tu alcance PCI.

¿La lista de IPs permitidas es obligatoria?

Sí. La API solo acepta llamadas desde entornos de servidor y desde las IPs que registras en el Business Portal. Las solicitudes desde cualquier otra dirección se rechazan.

¿Cómo obtengo su atestación PCI DSS o su informe SOC 2?

Solicítalos en nuestro portal Trust Center, en trust.localpayment.com, o pídeselos a tu equipo de cuenta.

¿Dónde se alojan mis datos?

Nuestra plataforma opera en AWS. Si tu revisión necesita detalles sobre regiones de alojamiento o subencargados, contacta a nuestro equipo.

¿Cómo me entero de un incidente?

Sigue el estado en vivo y el historial de incidentes en status.localpayment.com, y contacta a nuestro soporte 24/7 en support@localpayment.com.

¿Cómo debo guardar mis credenciales de API?

En variables de entorno o en un gestor de secretos en tus servidores; nunca en el código front-end ni en el control de versiones. Usa credenciales distintas para Stage y Producción.

Documentación de seguridad para tu revisión

Accede a nuestras políticas y solicita informes en el Trust Center, o escribe a nuestro equipo de seguridad.

Ir al Trust CenterEscribir al equipo de seguridad

¿Cómo podemos ayudarte?

Descarga tu ejemplar

Déjanos tus datos y obtén la edición completa al instante.