Sécurité
La sécurité intégrée à chaque couche.
Signatures, isolation des environnements, protection des clés, double authentification : Wajub protège vos paiements et vos données dès la première ligne de code.
Protections
Des protections actives par défaut.
Pas d'option à cocher : ces mesures s'appliquent à tous les comptes, sur tous les plans.
Dans le navigateur
- Clé secrète refusée dans un navigateur
- Une clé secrète s'utilise depuis votre serveur. Envoyée depuis un navigateur, la requête est refusée et le propriétaire de la clé est prévenu par email.
- Cartes traitées par vos fournisseurs
- Les numéros de carte sont saisis dans les champs ou la fenêtre de paiement des fournisseurs de cartes : ils n'atteignent jamais Wajub.
Dans l'API Wajub
- Sandbox et production isolés
- Les deux environnements vivent dans des bases de données séparées. Une clé sandbox ne peut pas lire de données de production, et inversement.
- Idempotence
- Une clé d'idempotence garantit qu'un appel répété sur un paiement ou un transfert ne s'exécute qu'une fois.
Vers vos fournisseurs
- Identifiants de connexion chiffrés
- Les identifiants de vos comptes fournisseurs sont stockés chiffrés.
Vers votre serveur
- Webhooks signés
- Chaque livraison porte une signature HMAC-SHA256 calculée sur l'horodatage et le corps, avec un secret propre à chaque endpoint. Les SDK rejettent une livraison de plus de 300 secondes.
- Endpoints HTTPS en production
- Les livraisons de webhooks en production ne partent que vers des URL HTTPS.
Dans votre équipe
- Double authentification et rôles
- 2FA par application TOTP, imposable à toute l'équipe et exigée pour les actions sensibles. Chaque membre reçoit un rôle adapté.
- Hygiène signalée
- Konsole signale les clés API inutilisées et les secrets de signature qui n'ont pas été renouvelés depuis six mois.
Transparence
Vous savez toujours ce qui se passe.
L'état de la plateforme et les incidents sont publiés en direct, et chaque appel sur votre compte laisse une trace consultable.
- État de la plateforme et historique des incidents sur status.wajub.com.
- Logs d'API, événements et livraisons de webhooks dans Konsole.
- Un Data Processing Agreement pour encadrer le traitement de vos données.
Signaler une vulnérabilité
Vous avez trouvé une faille ? Écrivez à [email protected] avec les étapes pour la reproduire. Nous accusons réception et vous tenons informé jusqu'à la correction. Merci de ne pas tester sur des comptes ou des données qui ne vous appartiennent pas.
[email protected]Intégrez de façon sûre dès le départ.
La documentation détaille la vérification des signatures, la gestion des clés et l'idempotence.
Questions fréquentes
- Comment les données de carte sont-elles protégées ?
- Les numéros de carte sont saisis dans les champs ou la fenêtre de paiement du fournisseur de cartes, comme ceux de Stripe ou de Flutterwave, et n'atteignent jamais les serveurs de Wajub. Wajub ne détient pas à ce jour de certification PCI DSS en propre.
- Comment vérifier qu'un webhook vient bien de Wajub ?
- Chaque livraison porte une signature HMAC-SHA256 calculée avec le secret de votre endpoint. Les SDK la vérifient pour vous et rejettent toute livraison de plus de 300 secondes.
Une autre question ? Parler à l'équipe