Comment puis-je intégrer les paiements en ligne d'Adyen en toute sécurité ?

Protégez votre entreprise contre les pirates informatiques

Votre entreprise peut être la cible d'attaques cybernétiques menées par des acteurs (personnes ou organisations) qui ont des intentions malveillantes. Selon la façon dont vous intégrez Adyen dans vos services, vous pouvez envisager des mesures de sécurité supplémentaires pour protéger la confidentialité, l'intégrité et la disponibilité des données de votre entreprise et de vos clients.

Comment vous pourriez être compromis

Des pirates peuvent essayer de falsifier ou de voler des identifiants de connexion pour accéder à votre environnement. Pour y parvenir, certaines techniques bien connues consistent à forcer les mots de passe faibles ou à exploiter une authentification d'administrateur faible ou défaillante. L'hameçonnage ou d'autres manœuvres dites d'ingénierie sociale, qui consistent à recourir à la ruse pour qu'une personne de votre entreprise donne accès à des informations sensibles, sont d'autres techniques répandues. 

Si les pirates obtiennent un accès non autorisé à vos pages, ils peuvent alors exfiltrer les données des cartes. Un attaquant potentiel peut procéder de différentes manières pour lancer des attaques de script intersites (cross-site scripting) : 

1. Cela consiste à rediriger un paiement vers une page frauduleuse afin que les informations de paiement saisies soient envoyées aux attaquants avant que le processus de paiement ne se poursuive sur la page légitime. 
2. L'attaquant peut également placer des « recouvrements » sur votre page de paiement et copier les données de la carte avant que le paiement ne soit effectué. 
3. Il peut introduire un code malveillant sur la page, par exemple en utilisant des enregistreurs de frappe, afin de collecter les données de carte au fur et à mesure que votre client les saisit. 

Comment réduire le risque de compromission

La mise en œuvre de mesures de sécurité basiques peut considérablement réduire les risques. Il est essentiel d'assurer une gestion adéquate des comptes utilisateurs, des systèmes et du cycle de développement de votre plateforme. 

Gestion des comptes utilisateurs

• Remplacez les noms d'utilisateur et les mots de passe fournis par le prestataire.
• Utilisez des mots de passe forts pour empêcher les attaques par force brute. Utilisez des mots de passe longs contenant des lettres majuscules et minuscules, des chiffres et des caractères spéciaux. 
• Évitez les comptes dont les identifiants de connexion sont partagés par plusieurs personnes.
• Mettez en place un système d'authentification multifacteur (MFA), en particulier lorsque vous vous connectez sur des appareils accessibles au public.

Gestion des systèmes

• Maintenez les systèmes et les logiciels à jour grâce aux derniers correctifs de sécurité.
• Lisez et mettez en œuvre les recommandations de sécurité de votre fournisseur de solutions d'e-commerce ou de site internet.
• Examinez régulièrement l'activité des administrateurs et des utilisateurs afin de détecter toute activité inhabituelle menée par un potentiel pirate.

Gestion du cycle de développement

• Tenez compte des bonnes pratiques en matière de sécurité dans les phases de conception, de développement et de test de votre cycle de développement.
• Passez en revue les modifications apportées à vos pages de paiement ainsi que le code source correspondant. Veillez à mettre en place une surveillance continue pour détecter les changements imprévus et prendre les mesures nécessaires.
• Gérez les risques liés à la chaîne d'approvisionnement pour identifier, contrecarrer et prévenir les attaques provenant de fournisseurs tiers.
• Assurez-vous que les ressources côté client de vos pages sont chargées depuis des domaines autorisés. Ces ressources peuvent être des bibliothèques JavaScript, des CSS, des chatbots ou des données analytiques, entre autres. 
• Ne générez pas d'URL Pay by Link sur les systèmes accessibles au public. Il est préférable de valider automatiquement la partie hôte de l'URL avant de l'envoyer à votre client. 
• Mettez en œuvre le partage des ressources d'origines multiples et l'intégrité des sous-ressources. Consultez nos ressources de développement pour en savoir plus à ce sujet.  
• Mettez en œuvre une Politique de sécurité liée aux contenus (CSP) pour prévenir, entre autres, les attaques de script intersites. Les CSP peuvent être implémentées en ajoutant l’en-tête HTTP Content-Security-Policy dans votre serveur Web et en le configurant pour accepter uniquement les ressources en provenance de sources fiables. Utilisez uniquement les directives suivantes : Adyen, Amazon Pay, PayPal et Google Pay. 

En savoir plus

Il existe de nombreux cadres règlementaires et d'autres directives pouvant vous permettre de sécuriser votre entreprise. Les pratiques de codage sécurisé ainsi que l'évaluation permanente de vos mesures de sécurité à l'aide de cadres de maturité en font naturellement partie. Nous recommandons les ressources suivantes pour en savoir plus :

• OWASP
• NIST
• SANS