Como posso integrar os pagamentos online da Adyen de forma segura?

Proteja seu negócio contra ataques online

Pessoas ou organizações com intenções maliciosas podem escolher sua empresa como alvo de ataques online. Dependendo de como você integra a Adyen aos seus serviços, há outras medidas de segurança para proteger a confidencialidade, a integridade e a disponibilidade dos dados da sua empresa e dos seus clientes.

Como você pode ser comprometido

Os invasores podem tentar forjar ou roubar credenciais de login para acessar seu ambiente. Algumas técnicas conhecidas são ataques de força bruta a senhas fracas ou exploração de uma autenticação administrativa fraca ou quebrada. Phishing ou outros truques de engenharia social são comumente usados para enganar pessoas dentro da empresa para que elas deem acesso a informações confidenciais. 

Se criminosos tiverem acesso não autorizado às suas páginas, os dados dos cartões podem ser extraídos. Um criminoso pode gerar ataques de script a vários sites de diferentes maneiras: 

1. Redirecionando um pagamento para uma página fraudulenta de modo que os dados de pagamento inseridos sejam enviados aos fraudadores antes que o processo de pagamento continue na página legítima. 
2. Posicionando camadas sobrepostas à sua página de pagamentos legítima e coletar os dados do cartão antes que o pagamento real seja feito. 
3. Ao manipular a página com código malicioso, por exemplo, por meio dos chamados keyloggers, para coletar os dados do cartão quando o seu cliente os insere. 

Como reduzir o risco de comprometimento

Adotar medidas básicas de segurança pode reduzir significativamente os riscos. Você deve gerenciar corretamente as contas de usuários, sistemas e o ciclo de vida de desenvolvimento da sua plataforma. 

Gerenciamento de contas de usuários

• Troque os nomes de usuário e senhas que o fornecedor informou.
• Use senhas fortes para prevenir ataques de força bruta. Use senhas longas contendo letras maiúsculas e minúsculas, números e caracteres especiais. 
• Evite contas que compartilhem credenciais entre várias pessoas.
• Aplique a autenticação multifatorial (MFA), principalmente ao efetuar login em aparelhos disponíveis publicamente.

Gerenciamento de sistemas

• Mantenha os sistemas e softwares atualizados com os patches de segurança mais recentes.
• Leia e adote as recomendações de segurança fornecidas pelo provedor do seu ecommerce ou site.
• Analise a atividade do administrador e do usuário regularmente para detectar atividades incomuns causadas por um possível invasor.

Gestão do ciclo de desenvolvimento

• Adote as melhores práticas de segurança nas fases de projeto, desenvolvimento e teste do seu ciclo de vida de desenvolvimento.
• Revise as mudanças nas suas páginas de pagamento e no código-fonte relacionado. Faça um monitoramento contínuo para detectar e responder a mudanças inesperadas.
• Gerencie os riscos da cadeia de fornecimento para identificar, responder e prevenir ataques por fornecedores terceirizados.
• Assegure que os recursos colocados pelos clientes em suas páginas sejam carregados a partir de domínios autorizados. Esses recursos podem ser bibliotecas de javascript, CSS, chatbots e análises, entre outros. 
• Não gere URLs de Pay by Link em sistemas publicamente acessíveis. É melhor validar automaticamente o host da URL antes de enviá-la ao seu cliente. 
• Adote o compartilhamento de recursos cruzados e a integridade de sub-recursos. Veja nossos recursos de desenvolvimento para saber mais.  
• Implemente a Política de Segurança de Conteúdo (CSP) para evitar, entre outras coisas, ataques de script entre sites. Os CSPs podem ser implementados ao adicionar o cabeçalho HTTP Content-Security-Policy no seu servidor web e configurá-lo para aceitar apenas recursos de fontes confiáveis. Use apenas as seguintes diretivas: Adyen, Amazon Pay, PayPal e Google Pay. 

Saiba mais

Existem muitas estruturas públicas e outras diretrizes que podem ajudar a proteger seus negócios. Seguindo práticas de codificação seguras, é claro, mas também avaliando continuamente suas medidas de segurança com a ajuda de estruturas de maturidade. Recomendamos os seguintes recursos para saber mais:

• OWASP
• NIST
• SANS