Aller au contenu

Sécurité

La sécurité à chaque niveau, de l’appel API au décaissement

Nous protégeons vos fonds et les données de vos clients grâce au chiffrement, à un contrôle strict des accès, à des audits indépendants et à des contrôles que vous gérez vous-même — la sécurité fait partie de l’intégration, elle n’arrive pas après coup.

Visiter le Trust CenterSignaler une vulnérabilité
  • PCI DSS v4.0.1
  • Rapport SOC 2 Type II
  • ISO 27001
Validé pour les données des titulaires de carte
PCI DSS v4.0.1
Rapport d’audit indépendant sur le fonctionnement de nos contrôles dans la durée
SOC 2 Type II
Chiffrement minimal des données en transit
TLS 1.2+
Chiffrement des données au repos
AES-256

Certifications et rapports d’audit

Évalués par des auditeurs indépendants

Des référentiels reconnus donnent à votre équipe sécurité un langage commun pour nous évaluer.

Protection des données

Chiffré en transit, chiffré au repos

Les données sensibles sont protégées à chaque étape, et les données de carte en clair restent hors de vos systèmes lorsque vous utilisez nos solutions hébergées.

  • TLS 1.2+

    Chaque connexion à notre API, au Business Portal et au checkout hébergé utilise TLS 1.2 ou supérieur. Le HTTP non chiffré n’est jamais accepté.

  • AES-256

    Les données au repos sont chiffrées en AES-256, avec des clés gérées et renouvelées dans AWS KMS.

Contrôle des accès

Les bonnes personnes, les bons droits, rien de plus

L’accès au Business Portal et à l’API est authentifié, limité et de courte durée. Chaque utilisateur ne reçoit que les autorisations requises par son rôle.

  • Authentification multifacteur avec code à usage unique à la connexion au Business Portal
  • Contrôle d’accès basé sur les rôles, avec des rôles et autorisations granulaires
  • Jetons d’accès JWT de courte durée (5 minutes), renouvelés par des jetons d’actualisation (24 heures)
  • Appels API acceptés uniquement depuis des environnements serveur et des IP sur liste blanche
En savoir plus sur les rôles et autorisations

Rôles et autorisations des utilisateurs

Rôles prédéfinis du Business Portal. Chaque utilisateur ne reçoit que les autorisations exigées par son rôle.

  • ACCOUNT MANAGER

    Ce qu’il permet
    Configure le compte marchand ; accès aux rapports, au solde et au Business Portal.

  • ADMIN

    Ce qu’il permet
    Crée et autorise décaissements, encaissements, remboursements, rétrofacturations, comptes virtuels, opérations de change, virements internes et règlements.

  • API USER

    Ce qu’il permet
    Accès complet aux API de Localpayment.

  • AUTHORIZER LEVEL 1

    Ce qu’il permet
    Autorise décaissements, remboursements et règlements ; crée des opérations de change et des virements internes.

  • AUTHORIZER LEVEL 2

    Ce qu’il permet
    Autorise décaissements, remboursements et règlements ; crée des virements internes.

  • OPERATIONS CHARGEBACK LEVEL 1

    Ce qu’il permet
    Crée des rétrofacturations, avec un accès limité aux rapports.

  • OPERATIONS CHARGEBACK LEVEL 2

    Ce qu’il permet
    Crée rétrofacturations, remboursements, décaissements, virements internes et opérations de change.

  • OPERATIONS LEVEL 1

    Ce qu’il permet
    Crée décaissements, encaissements, remboursements et règlements.

  • OPERATIONS LEVEL 2

    Ce qu’il permet
    Crée décaissements, encaissements, remboursements, rétrofacturations, comptes virtuels et virements.

  • RECONCILIATION LEVEL 1

    Ce qu’il permet
    Accès aux rapports d’activité et d’abonnements.

  • RECONCILIATION LEVEL 2

    Ce qu’il permet
    Accès aux rapports, au solde et au Business Portal, y compris aux justificatifs de paiement.

  • TREASURY

    Ce qu’il permet
    Crée des opérations de change, des virements internes et des règlements.

Vous pouvez aussi créer des rôles personnalisés à partir d’autorisations granulaires (API, soldes, Business Portal, encaissements, décaissements, rapports, règlement et change, configuration).

Les contrôles que vous gérez

Des paramètres de sécurité entre vos mains

Configurez-les dans le Business Portal et dans votre intégration : chacun ferme une voie d’attaque courante.

Pour les développeurs

Rejetez toute notification que vous ne pouvez pas vérifier

Chaque webhook porte une signature HMAC-SHA256 du corps brut de la requête, calculée avec votre secret de webhook. Comparez-la en temps constant avant de mettre à jour une commande ou de libérer des fonds.

  • Signez le corps brut, avant tout parsing JSON
  • Retirez le préfixe « HMAC-SHA256 » (espace compris) de l’en-tête
  • Répondez 200 rapidement, puis traitez de manière asynchrone et dédupliquez
Guide des webhooks
Requête webhook (exemple)
POST /webhooks/localpayment HTTP/1.1
Host: api.merchant-example.com
Content-Type: text/plain
x-Signature: HMAC-SHA256 9f2c4b7e1a0d58c3e6b1f4a2d7c9e0b5a8f3d6c1e4b7a0d9c2f5e8b1a4d7c0e3

{"transactionType":"PayIn","data":{"externalId":"order-000123","status":{"code":"200","description":"COMPLETED"}}}

Sécurité opérationnelle

Supervisé, testé et revu

  • Supervision de la sécurité

    Les événements de sécurité sur l’ensemble de notre plateforme sont surveillés, avec un pare-feu applicatif web devant les points de terminaison publics.

  • Tests d’intrusion externes

    Des spécialistes indépendants testent régulièrement nos applications et notre infrastructure, et chaque constat est suivi jusqu’à sa correction.

  • Développement sécurisé

    Les modifications de code sont revues par une personne autre que leur auteur avant leur mise en production, selon les recommandations de l’OWASP.

  • Journalisation d’audit

    Les événements pertinents pour la sécurité sont journalisés et conservés afin de pouvoir être examinés et analysés.

  • Page de statut publique

    Statut en direct des API, de l’authentification et des rails locaux, ainsi que l’historique des incidents, sur status.localpayment.com.

  • Réponse aux incidents

    Un processus de réponse aux incidents défini, et un support client 24/7 pour vous tenir informé en cas de problème.

Vous avez trouvé une vulnérabilité ?

Signalez-la, nous la corrigerons avec vous

Nous accueillons favorablement les signalements des chercheurs en sécurité. Écrivez à cybersecurity@localpayment.com en détaillant le problème, et laissez-nous un délai raisonnable pour le corriger avant toute divulgation.

  • Périmètre et règles d’engagement dans notre politique de divulgation responsable
  • Coordonnées lisibles par machine dans /.well-known/security.txt
  • N’accédez jamais à des données qui ne vous appartiennent pas, ne les modifiez pas et ne les conservez pas
Lire la politique

Questions fréquentes

Stockez-vous des données de carte ?

Les paiements par carte sont traités dans notre environnement PCI DSS v4.0.1. Pour les paiements récurrents, les données de carte sont remplacées par des jetons, et nos solutions hébergées — WebCheckout, l’iframe intégré et Smart Fields — tiennent les données de carte en clair hors de vos systèmes afin de réduire votre périmètre PCI.

La liste blanche d’adresses IP est-elle obligatoire ?

Oui. L’API n’accepte que les appels provenant d’environnements serveur et des adresses IP que vous enregistrez dans le Business Portal. Les requêtes provenant de toute autre adresse sont rejetées.

Comment obtenir votre attestation PCI DSS ou votre rapport SOC 2 ?

Demandez-les via notre portail Trust Center sur trust.localpayment.com, ou auprès de votre équipe commerciale.

Où mes données sont-elles hébergées ?

Notre plateforme fonctionne sur AWS. Si votre évaluation nécessite des précisions sur les régions d’hébergement ou les sous-traitants, contactez notre équipe.

Comment serai-je informé d’un incident ?

Suivez le statut en direct et l’historique des incidents sur status.localpayment.com, et contactez notre support 24/7 à support@localpayment.com.

Comment stocker mes identifiants API ?

Dans des variables d’environnement ou un gestionnaire de secrets sur vos serveurs — jamais dans le code front-end ni dans votre gestionnaire de versions. Utilisez des identifiants différents pour Stage et Production.

La documentation sécurité pour votre évaluation

Consultez nos politiques et demandez des rapports sur notre Trust Center, ou écrivez à notre équipe sécurité.

Visiter le Trust CenterÉcrire à notre équipe sécurité

Comment pouvons-nous vous aider ?

Téléchargez votre exemplaire

Laissez vos coordonnées et recevez l’édition complète immédiatement.