Segurança
PCI DSS
O padrão de segurança da indústria de cartões se aplica a sistemas que guardam, processam ou transmitem dado de portador. O caminho mais curto para atendê-lo é garantir que nenhum dos seus sistemas faça isso — foi o caminho que seguimos.
Quando você cadastra um meio de pagamento, o número do cartão é digitado num campo servido pela Stripe e vai direto para ela. Nosso código nunca o lê, nosso banco nunca o guarda, e nada nos nossos logs poderia contê-lo.
O que é nosso
- Campos de cartão servidos pela Stripe
- O Console monta o Payment Element da Stripe, que renderiza dentro de um frame controlado por ela. Recebemos a confirmação de que existe um meio de pagamento, nunca o número por trás.
- Nenhum dado de portador em repouso
- Não existe coluna para número de cartão, então não há o que cifrar, o que vazar nem o que auditar.
- A Stripe como processadora certificada
- A Stripe está na nossa lista de suboperadores para processamento de pagamento, e a certificação que importa para dado de cartão é dela.
O que fica com você
- Os pagamentos do seu próprio produto
- Se a sua aplicação recebe cartão, isso é escopo seu e avaliação sua. Usar a nulvless para identidade não muda o que o seu checkout toca.
- O que você põe em metadata
- Campos que você controla são seus para preencher. Número de cartão não pertence a metadata de usuário, a claim customizado nem a qualquer campo que guardemos por você.
Relacionados
Não preenchemos o questionário de autoavaliação. A descrição acima é o que a implementação faz; o papel que transformaria isso em atestado formal ainda não foi feito, e não vamos chamar de atestado antes disso.