Como posso integrar os pagamentos online da Adyen de forma segura?

Proteja seu negócio contra ataques online

Indivíduos (pessoas ou organizações) com intenções maliciosas podem escolher sua empresa como alvo de ataques online. Dependendo de como você integra a Adyen em seus serviços, há medidas de segurança adicionais que você pode considerar para proteger a confidencialidade, a integridade e a disponibilidade dos dados de sua empresa e de seus clientes.

Como você pode ser comprometido

Os ataques podem tentar forjar ou roubar credenciais de login para acessar o seu ambiente (administrativo). Algumas técnicas bem conhecidas são ataques forçados a senhas fracas ou explorar uma autenticação administrativa fraca ou com falha. Phishing ou outros truques de engenharia social são comumente usados para enganar pessoas dentro da empresa para que elas forneçam acesso a informações confidenciais.

Se criminosos tiverem acesso não autorizado às suas páginas, os dados dos cartões podem ser extraídos. Um possível criminoso pode gerar ataques de script a vários sites de diferentes maneiras.

• Redirecionando um pagamento para uma página fraudulenta de modo que os dados de pagamento inseridos sejam enviados aos fraudadores antes que o processo de pagamento continue na página legítima.
• Posicionando camadas sobrepostas à sua página de pagamentos legítima e coletar os dados do cartão antes que o pagamento real seja feito.
• Manipulando a página com código malicioso, por exemplo, por meio dos chamados keyloggers, para coletar os dados do cartão quando o seu consumidor os insere.

Como reduzir o risco de comprometimento

Adotar medidas básicas de segurança pode reduzir significativamente os riscos. Você deve gerenciar corretamente as contas de usuários, sistemas e o ciclo de vida de desenvolvimento da sua plataforma.

Gerenciamento de contas de usuários

• Substitua os nomes de usuário e senhas que o fornecedor informou.
• Use senhas fortes para prevenir ataques de força bruta. Use senhas longas contendo letras maiúsculas e minúsculas, números e caracteres especiais.
• Evite contas que compartilhem credenciais entre várias pessoas.
• Aplique a autenticação multifatorial (Multi-Factor Authentication, MFA), especialmente ao efetuar login em dispositivos disponíveis publicamente.

Gerenciamento de sistemas

• Mantenha os sistemas e softwares atualizados com os patches de segurança mais recentes.
• Leia e adote as recomendações de segurança fornecidas pelo provedor do seu ecommerce ou site.
• Analise a atividade do administrador e dos usuários regularmente para detectar atividades incomuns causadas por um possível criminosos.

Gestão do ciclo de desenvolvimento

• Adote as melhores práticas de segurança nas fases de projeto, desenvolvimento e teste do seu ciclo de vida de desenvolvimento.
• Revise as mudanças em suas páginas de pagamento e no código-fonte relacionado. Faça um monitoramento contínuo para detectar e responder a mudanças inesperadas.
• Gerencie os riscos da cadeia de fornecimento para identificar, responder e prevenir ataques por fornecedores terceirizados.
• Assegure que os recursos colocados pelos clientes em suas páginas sejam carregados a partir de domínios autorizados. Esses recursos podem ser bibliotecas de javascript, CSS, chatbots e análises, entre outros.
• Não gere URLs de Pay by Link em sistemas que são acessíveis ao público. É melhor validar o host da URL automaticamente antes de enviá-la ao seu cliente.
• Adote o Compartilhamento de recursos cruzados e a Integridade de sub-recursos. Consulte nosso Recurso de desenvolvimento para obter maiores informações.
• Adote a Política de segurança de conteúdo (Content Security Policy, CSP) para evitar, entre outras coisas, ataques de script em vários sites. A CSP pode ser adotada adicionando o cabeçalho HTTP de política de segurança de conteúdo ao seu servidor da web e configurando-o para aceitar apenas recursos de fontes confiáveis. Siga apenas as seguintes diretrizes: Adyen, Amazon Pay, PayPal e Google Pay.

Saiba mais

Existem muitas estruturas públicas e outras diretrizes que podem ajudar a proteger seus negócios. Seguindo práticas de codificação seguras, é claro, mas também avaliando continuamente suas medidas de segurança com a ajuda de estruturas de maturidade. Recomendamos os seguintes recursos para saber mais:

• OWASP
• NIST
• SANS