Pular para o conteúdo

Segurança

Segurança em todas as camadas, da chamada à API ao payout

Protegemos seus recursos e os dados dos seus clientes com criptografia, controle de acesso rigoroso, auditorias independentes e controles que você mesmo gerencia, segurança faz parte da integração, não é um remendo.

Acessar a Central de confiançaRelatar uma vulnerabilidade
  • PCI DSS v4.0.1
  • Relatório SOC 2 Type II
  • ISO 27001
Validado para dados de portadores de cartão
PCI DSS v4.0.1
Relatório de auditoria independente sobre como nossos controles operam ao longo do tempo
SOC 2 Type II
Criptografia mínima para dados em trânsito
TLS 1.2+
Criptografia para dados em repouso
AES-256

Certificações e relatórios de auditoria

Avaliados por auditores independentes

Frameworks reconhecidos dão à sua equipe de segurança uma linguagem comum para nos avaliar.

Proteção de dados

Criptografados em trânsito e em repouso

Dados sensíveis ficam protegidos em cada etapa, e dados brutos de cartão ficam fora dos seus sistemas quando você usa nossas opções hospedadas.

  • TLS 1.2+

    Toda conexão com nossa API, o Business Portal e o checkout hospedado usa TLS 1.2 ou superior. HTTP sem criptografia nunca é aceito.

  • AES-256

    Os dados em repouso são criptografados com AES-256, com chaves gerenciadas e rotacionadas no AWS KMS.

Controle de acesso

As pessoas certas, as permissões certas, nada além

O acesso ao Business Portal e à API é autenticado, delimitado e de curta duração. Cada usuário recebe apenas as permissões que sua função exige.

  • Autenticação multifator com código de uso único no login do Business Portal
  • Controle de acesso baseado em perfis, com perfis e permissões granulares
  • Access tokens JWT de curta duração (5 minutos), renovados com refresh tokens (24 horas)
  • Chamadas à API aceitas apenas de ambientes de servidor e IPs permitidos
Saiba mais sobre perfis e permissões

Perfis e permissões de usuário

Perfis predefinidos do Business Portal. Cada usuário recebe apenas as permissões que seu perfil exige.

  • ACCOUNT MANAGER

    O que pode fazer
    Configura a conta do comerciante; acessa relatórios, saldo e o Business Portal.

  • ADMIN

    O que pode fazer
    Cria e autoriza payouts, pay-ins, reembolsos, chargebacks, contas virtuais, câmbio, transferências internas e liquidações.

  • API USER

    O que pode fazer
    Acesso completo às APIs da Localpayment.

  • AUTHORIZER LEVEL 1

    O que pode fazer
    Autoriza payouts, reembolsos e liquidações; cria operações de câmbio e transferências internas.

  • AUTHORIZER LEVEL 2

    O que pode fazer
    Autoriza payouts, reembolsos e liquidações; cria transferências internas.

  • OPERATIONS CHARGEBACK LEVEL 1

    O que pode fazer
    Cria chargebacks, com acesso limitado a relatórios.

  • OPERATIONS CHARGEBACK LEVEL 2

    O que pode fazer
    Cria chargebacks, reembolsos, payouts, transferências internas e operações de câmbio.

  • OPERATIONS LEVEL 1

    O que pode fazer
    Cria payouts, pay-ins, reembolsos e liquidações.

  • OPERATIONS LEVEL 2

    O que pode fazer
    Cria payouts, pay-ins, reembolsos, chargebacks, contas virtuais e transferências.

  • RECONCILIATION LEVEL 1

    O que pode fazer
    Acesso aos relatórios de atividade e de assinaturas.

  • RECONCILIATION LEVEL 2

    O que pode fazer
    Acesso a relatórios, saldo e Business Portal, incluindo comprovantes de pagamento.

  • TREASURY

    O que pode fazer
    Cria operações de câmbio, transferências internas e liquidações.

Você também pode criar perfis personalizados a partir de permissões granulares (API, saldos, Business Portal, pay-ins, payouts, relatórios, liquidação e câmbio, configurações).

Controles que você gerencia

As configurações de segurança nas suas mãos

Configure-os no Business Portal e na sua integração, cada um fecha um caminho de ataque comum.

Para desenvolvedores

Rejeite qualquer notificação que você não consiga verificar

Cada webhook traz uma assinatura HMAC-SHA256 do corpo bruto da requisição, calculada com o seu segredo de webhook. Compare-a em tempo constante antes de atualizar um pedido ou liberar recursos.

  • Assine o corpo bruto, antes de qualquer parse do JSON
  • Remova o prefixo “HMAC-SHA256 ” do header
  • Responda 200 rápido, depois processe de forma assíncrona e deduplique
Guia de webhooks
Requisição de webhook (exemplo)
POST /webhooks/localpayment HTTP/1.1
Host: api.merchant-example.com
Content-Type: text/plain
x-Signature: HMAC-SHA256 9f2c4b7e1a0d58c3e6b1f4a2d7c9e0b5a8f3d6c1e4b7a0d9c2f5e8b1a4d7c0e3

{"transactionType":"PayIn","data":{"externalId":"order-000123","status":{"code":"200","description":"COMPLETED"}}}

Segurança operacional

Monitorados, testados e revisados

  • Monitoramento de segurança

    Monitoramos os eventos de segurança da nossa plataforma, com um firewall de aplicações web na frente dos endpoints públicos.

  • Testes de invasão externos

    Especialistas independentes testam periodicamente nossas aplicações e infraestrutura, e cada achado é acompanhado até a correção.

  • Desenvolvimento seguro

    Cada mudança de código é revisada por alguém diferente do autor antes de ir para produção, seguindo as diretrizes da OWASP.

  • Logs de auditoria

    Eventos relevantes para a segurança são registrados e mantidos para revisão e investigação.

  • Página de status pública

    Status em tempo real das APIs, da autenticação e dos trilhos locais, além do histórico de incidentes, em status.localpayment.com.

  • Resposta a incidentes

    Um processo definido de resposta a incidentes e suporte ao cliente 24/7 para manter você informado quando algo dá errado.

Encontrou uma vulnerabilidade?

Conte para nós, e vamos trabalhar juntos na correção

Recebemos de bom grado relatos de pesquisadores de segurança. Envie os detalhes para cybersecurity@localpayment.com e nos dê um prazo razoável para corrigir o problema antes de qualquer divulgação.

  • Escopo e regras de engajamento na nossa política de divulgação responsável
  • Contato legível por máquina em /.well-known/security.txt
  • Nunca acesse, altere ou guarde dados que não sejam seus
Ler a política

Perguntas frequentes

Vocês armazenam dados de cartão?

Os pagamentos com cartão são processados no nosso ambiente PCI DSS v4.0.1. Em pagamentos recorrentes, os dados de cartão são substituídos por tokens, e nossas opções hospedadas (WebCheckout, iframe incorporado e Smart Fields) mantêm os dados de cartão fora dos seus sistemas para reduzir seu escopo PCI.

A lista de IPs permitidos é obrigatória?

Sim. A API só aceita chamadas de ambientes de servidor e dos IPs que você cadastra no Business Portal. Requisições de qualquer outro endereço são rejeitadas.

Como obtenho seu atestado de conformidade (AOC) PCI DSS ou seu relatório SOC 2?

Solicite pelo nosso portal da Central de confiança, em trust.localpayment.com, ou à sua equipe de conta.

Onde meus dados ficam hospedados?

Nossa plataforma roda na AWS. Se a sua análise precisar de detalhes sobre regiões de hospedagem ou suboperadores, fale com nossa equipe.

Como fico sabendo de um incidente?

Acompanhe o status em tempo real e o histórico de incidentes em status.localpayment.com e fale com nosso suporte 24/7 em support@localpayment.com.

Como devo guardar minhas credenciais de API?

Em variáveis de ambiente ou em um gerenciador de segredos nos seus servidores, nunca no código front-end nem no controle de versão. Use credenciais diferentes para Stage e produção.

Documentação de segurança para a sua análise

Acesse nossas políticas e solicite relatórios na Central de confiança, ou escreva para nossa equipe de segurança.

Acessar a Central de confiançaEscrever para a equipe de segurança

Como podemos ajudar?

Baixe o seu exemplar

Deixe seus dados e receba a edição completa na hora.