Vai al contenuto

Sicurezza

Sicurezza a ogni livello, dalla chiamata API al payout

Proteggiamo i tuoi fondi e i dati dei tuoi clienti con crittografia, controllo rigoroso degli accessi, audit indipendenti e controlli che gestisci tu: la sicurezza fa parte dell’integrazione, non è un ripensamento.

Visita il Trust CenterSegnala una vulnerabilità
  • PCI DSS v4.0.1
  • Report SOC 2 Type II
  • ISO 27001
Validato per i dati dei titolari di carta
PCI DSS v4.0.1
Report di audit indipendente su come operano i nostri controlli nel tempo
SOC 2 Type II
Crittografia minima per i dati in transito
TLS 1.2+
Crittografia per i dati a riposo
AES-256

Certificazioni e report di audit

Valutati da auditor indipendenti

Framework riconosciuti danno al tuo team di sicurezza un linguaggio comune per valutarci.

Protezione dei dati

Crittografati in transito e a riposo

I dati sensibili sono protetti in ogni fase e i dati di carta in chiaro restano fuori dai tuoi sistemi quando usi le nostre soluzioni ospitate.

  • TLS 1.2+

    Ogni connessione alla nostra API, al Business Portal e al checkout ospitato usa TLS 1.2 o superiore. L’HTTP in chiaro non è mai accettato.

  • AES-256

    I dati a riposo sono crittografati con AES-256, con chiavi gestite e ruotate in AWS KMS.

Controllo degli accessi

Le persone giuste, i permessi giusti, niente di più

L’accesso al Business Portal e all’API è autenticato, circoscritto e di breve durata. Ogni utente riceve solo i permessi richiesti dal suo ruolo.

  • Autenticazione a più fattori con codice monouso all’accesso al Business Portal
  • Controllo degli accessi basato sui ruoli, con ruoli utente e permessi granulari
  • Token di accesso JWT di breve durata (5 minuti), rinnovati con refresh token (24 ore)
  • Chiamate API accettate solo da ambienti server-side e da IP in allow-list
Scopri ruoli e permessi

Ruoli e permessi degli utenti

Ruoli predefiniti del Business Portal. Ogni utente riceve solo i permessi richiesti dal suo ruolo.

  • ACCOUNT MANAGER

    Cosa può fare
    Configura l’account del merchant; accede a report, saldo e Business Portal.

  • ADMIN

    Cosa può fare
    Crea e autorizza payout, incassi, rimborsi, chargeback, conti virtuali, cambi, trasferimenti interni e regolamenti.

  • API USER

    Cosa può fare
    Accesso completo alle API di Localpayment.

  • AUTHORIZER LEVEL 1

    Cosa può fare
    Autorizza payout, rimborsi e regolamenti; crea operazioni di cambio e trasferimenti interni.

  • AUTHORIZER LEVEL 2

    Cosa può fare
    Autorizza payout, rimborsi e regolamenti; crea trasferimenti interni.

  • OPERATIONS CHARGEBACK LEVEL 1

    Cosa può fare
    Crea chargeback, con accesso limitato ai report.

  • OPERATIONS CHARGEBACK LEVEL 2

    Cosa può fare
    Crea chargeback, rimborsi, payout, trasferimenti interni e operazioni di cambio.

  • OPERATIONS LEVEL 1

    Cosa può fare
    Crea payout, incassi, rimborsi e regolamenti.

  • OPERATIONS LEVEL 2

    Cosa può fare
    Crea payout, incassi, rimborsi, chargeback, conti virtuali e trasferimenti.

  • RECONCILIATION LEVEL 1

    Cosa può fare
    Accesso ai report di attività e di abbonamenti.

  • RECONCILIATION LEVEL 2

    Cosa può fare
    Accesso a report, saldo e Business Portal, incluse le prove di pagamento.

  • TREASURY

    Cosa può fare
    Crea operazioni di cambio, trasferimenti interni e regolamenti.

Puoi anche creare ruoli personalizzati a partire da permessi granulari (API, saldi, Business Portal, incassi, payout, report, regolamento e cambio, configurazione).

Controlli che gestisci tu

Impostazioni di sicurezza nelle tue mani

Configurale nel Business Portal e nella tua integrazione: ognuna chiude una via di attacco comune.

Per gli sviluppatori

Rifiuta ogni notifica che non puoi verificare

Ogni webhook include una firma HMAC-SHA256 del body grezzo della richiesta, calcolata con il tuo secret del webhook. Confrontala in tempo costante prima di aggiornare un ordine o rilasciare fondi.

  • Firma il body grezzo, prima di qualsiasi parsing JSON
  • Rimuovi il prefisso “HMAC-SHA256 ” dall’header
  • Rispondi subito con 200, poi elabora in modo asincrono e deduplica
Guida ai webhook
Richiesta webhook (esempio)
POST /webhooks/localpayment HTTP/1.1
Host: api.merchant-example.com
Content-Type: text/plain
x-Signature: HMAC-SHA256 9f2c4b7e1a0d58c3e6b1f4a2d7c9e0b5a8f3d6c1e4b7a0d9c2f5e8b1a4d7c0e3

{"transactionType":"PayIn","data":{"externalId":"order-000123","status":{"code":"200","description":"COMPLETED"}}}

Sicurezza operativa

Monitorati, testati e verificati

  • Monitoraggio della sicurezza

    Gli eventi di sicurezza su tutta la nostra piattaforma sono monitorati, con un web application firewall davanti agli endpoint pubblici.

  • Penetration test esterni

    Specialisti indipendenti testano regolarmente le nostre applicazioni e la nostra infrastruttura, e i risultati vengono seguiti fino alla correzione.

  • Sviluppo sicuro

    Le modifiche al codice vengono riviste da una persona diversa dall’autore prima del rilascio, seguendo le linee guida OWASP.

  • Log di audit

    Gli eventi rilevanti per la sicurezza vengono registrati e conservati, così da poter essere esaminati e analizzati.

  • Pagina di stato pubblica

    Stato in tempo reale di API, autenticazione e circuiti locali, oltre allo storico degli incidenti, su status.localpayment.com.

  • Gestione degli incidenti

    Un processo definito di risposta agli incidenti e assistenza clienti 24/7 per tenerti informato quando qualcosa va storto.

Hai trovato una vulnerabilità?

Diccelo e la risolveremo insieme a te

Accogliamo con favore le segnalazioni dei ricercatori di sicurezza. Scrivi a cybersecurity@localpayment.com con i dettagli e lasciaci un tempo ragionevole per risolvere il problema prima di qualsiasi divulgazione.

  • Ambito e regole di ingaggio nella nostra policy di divulgazione responsabile
  • Contatti leggibili dalle macchine in /.well-known/security.txt
  • Non accedere mai a dati che non sono tuoi, non modificarli e non conservarli
Leggi la policy

Domande frequenti

Conservate i dati delle carte?

I pagamenti con carta sono elaborati nel nostro ambiente PCI DSS v4.0.1. Per i pagamenti ricorrenti, i dati di carta vengono sostituiti da token, e le nostre soluzioni ospitate (WebCheckout, l’iframe integrato e Smart Fields) tengono i dati di carta in chiaro fuori dai tuoi sistemi per ridurre il tuo ambito PCI.

L’IP allow-listing è obbligatorio?

Sì. L’API accetta chiamate solo da ambienti server-side e dagli IP che registri nel Business Portal. Le richieste da qualsiasi altro indirizzo vengono rifiutate.

Come ottengo la vostra attestazione PCI DSS o il report SOC 2?

Richiedili tramite il nostro portale Trust Center su trust.localpayment.com, oppure chiedi al tuo account team.

Dove sono ospitati i miei dati?

La nostra piattaforma gira su AWS. Se la tua verifica richiede dettagli sulle regioni di hosting o sui sub-responsabili del trattamento, contatta il nostro team.

Come vengo a sapere di un incidente?

Segui lo stato in tempo reale e lo storico degli incidenti su status.localpayment.com e contatta il nostro team di assistenza 24/7 all’indirizzo support@localpayment.com.

Come devo conservare le mie credenziali API?

In variabili d’ambiente o in un secrets manager sui tuoi server: mai nel codice front-end o nel controllo di versione. Usa credenziali diverse per Stage e Produzione.

Documentazione di sicurezza per la tua verifica

Consulta le policy e richiedi i report nel nostro Trust Center, oppure scrivi al nostro team di sicurezza.

Visita il Trust CenterScrivi al nostro team di sicurezza

Come possiamo aiutarti?

Scarica la tua copia

Lasciaci i tuoi dati e ricevi subito l’edizione completa.