Seguridad en Stripe

Nuestros usuarios le proporcionan a Stripe sus datos confidenciales y confían en nosotros para que custodiemos los datos de sus clientes finales. Como empresa de infraestructura de pagos, nuestra postura de seguridad evoluciona continuamente para cumplir con los rigurosos estándares de la industria financiera global.

Cumplimiento de normas y reglamentos

Stripe utiliza las mejores prácticas de seguridad para mantener un alto nivel de seguridad.

Certificado PCI

Un auditor certificado por PCI evaluó a Stripe y nos certificó como Proveedor de servicios PCI de nivel 1. Se trata del nivel de certificación más estricto disponible en la industria de pagos. Esta auditoría incluye tanto la Card Data Vault (CDV) de Stripe como el desarrollo de software seguro de nuestro código de integración.

Proporcionamos a nuestros usuarios funciones para automatizar algunos aspectos del cumplimiento de la normativa PCI.

• Analizamos el método de integración del usuario y le informamos dinámicamente qué formulario de validación PCI utilizar.
• Si un usuario se integra con Stripe Elements, Checkout, Terminal SDK o nuestras bibliotecas móviles, brindamos asistencia para completar su formulario de validación de PCI (Cuestionario de autoevaluación A) en el Dashboard.
• Publicamos una Guía de cumplimiento de la normativa PCI para ayudar a educar a nuestros usuarios sobre el cumplimiento relacionado con dicha normativa y cómo Stripe puede ayudar.

Informes de Controles de Sistemas y Organizaciones (SOC)

Los sistemas, procesos y controles de Stripe se auditan regularmente como parte de nuestros programas de cumplimiento SOC 1 y SOC 2. Los informes SOC 1 y SOC 2 Tipo II se producen anualmente y se pueden proporcionar a pedido.

La Junta de Normas de Auditoría de los Criterios de Servicio de Confianza (TSC) del Instituto Americano de Contadores Públicos Certificados (AICPA) desarrolló el informe SOC 3. El SOC 3 de Stripe es un informe público de controles internos sobre seguridad, disponibilidad y confidencialidad. Ver nuestro informe SOC 3 reciente.

Estándar de EMVCo para terminales de tarjetas

Stripe Terminal está certificado de acuerdo con los estándares EMVCo Nivel 1 y 2 de las Especificaciones EMV® para la seguridad e interoperabilidad de tarjetas y terminales. Terminal también está certificado según el Estándar de seguridad de datos de aplicaciones de pago PCI (PA-DSS), el estándar de seguridad global que tiene como objetivo evitar que las aplicaciones de pago desarrolladas para terceros almacenen datos seguros prohibidos.

Marco de ciberseguridad del NIST

El conjunto de políticas de seguridad de la información de Stripe y su diseño general están alineados con el Marco de ciberseguridad del NIST. Nuestras prácticas de seguridad cumplen las normas de nuestros clientes corporativos que deben ofrecer productos seguros como plataformas de almacenamiento y computación en la nube bajo demanda (por ejemplo, Digital Ocean y Slack).

Privacidad y protección de datos

Las prácticas de privacidad de Stripe cumplen con los sistemas de Reglas de Privacidad Transfronteriza (CBPR) y de Reconocimiento de Privacidad para Procesadores (PRP), demostrado con las certificaciones de CBPR y PRP que Stripe ha obtenido. Para ver el estado de nuestras certificaciones, haz clic aquí (CBPR) y aquí (PRP). Stripe también cumple con el Marco de Privacidad de Datos de Estados Unidos (“DPF UE-EE. UU.”), la extensión de dicho marco al Reino Unido y el Marco de Privacidad de Datos de Suiza y Estados Unidos. Para ver nuestras certificaciones, consulta este sitio web.

Implementamos continuamente procesos, procedimientos y mejores prácticas de privacidad y protección de datos en constante evolución en virtud de todos los regímenes de privacidad y protección de datos aplicables. Para obtener más información, consulta los siguientes recursos:

• Política de privacidad
• Centro de privacidad
• Contrato de procesamiento de datos

Aseguramiento de productos de Stripe

La seguridad es uno de los principios rectores de Stripe para todas nuestras decisiones de diseño de productos e infraestructura. Ofrecemos diferentes funciones para ayudar a nuestros usuarios a proteger mejor sus datos de Stripe.

Autenticación de acciones sensibles

El Dashboard de Stripe admite varias formas de autenticación multifactor (MFA), por ejemplo: SMS, algoritmo de contraseña única basado en el tiempo (TOTP), clave de seguridad de hardware y claves de acceso. También admitimos el inicio de sesión único mediante Lenguaje de marcado de aserción de seguridad (SAML) 2.0, lo que permite a los clientes exigir requisitos de inicio de sesión, configurar el control de acceso e incorporar en forma instantánea a los miembros del equipo a través del aprovisionamiento de cuentas Just-in-Time.

Las solicitudes de soporte de los usuarios deben autenticarse enviando la solicitud desde el Dashboard (después de iniciar sesión) o verificando el acceso a la cuenta antes de que se ofrezca una respuesta de soporte. Al exigir la autenticación, minimizamos el riesgo de proporcionar cualquier información a personas no autorizadas.

Restricción de acceso y auditoría

Desde el Dashboard, los usuarios pueden asignar diferentes funciones detallados para habilitar el acceso menos privilegiado para sus empleados y crear claves de acceso restringido para reducir el riesgo de seguridad y confiabilidad de la exposición de claves de API.

Los usuarios también pueden ver los registros de auditoría de los cambios y la actividad importantes de la cuenta en su historial de seguridad. Estos registros de auditoría contienen registros de la actividad confidencial de la cuenta, como iniciar sesión o cambiar la información de la cuenta bancaria. Monitoreamos los inicios de sesión y observamos:

• Si son de los mismos dispositivos o de los habituales
• Si provienen de direcciones IP coherentes
• Intentos fallidos

Los usuarios pueden exportar información histórica de los registros. Para las actividades urgentes, como los inicios de sesión desde IP y dispositivos desconocidos, enviamos notificaciones automáticas para que los registros no tengan que revisarse manualmente.

HTTPS and HSTS for secure connections

Encargamos el uso de HTTPS en todos los servicios utilizando TLS (SSL), incluso en el sitio web público y en el Dashboard. Auditamos regularmente los detalles de nuestra implementación, incluidos los certificados que servimos, las autoridades de certificación que utilizamos y los cifrados que apoyamos. Utilizamos HSTS para garantizar que los navegadores interactúen con Stripe solo a través de HTTPS. Stripe también está en las listas precargadas de HSTS para todos los navegadores principales modernos.

Toda la comunicación de servidor a servidor se cifra utilizando la seguridad de la capa de transporte mutuo (mTLS) y Stripe tiene claves PGP dedicadas para que los usuarios cifren las comunicaciones con Stripe o verifiquen los mensajes firmados que reciben de Stripe. Nuestros sistemas bloquean automáticamente las solicitudes realizadas con versiones más antiguas y menos seguras de TLS, que requieren el uso de al menos TLS 1.2.

El dominio stripe.com, incluido el Dashboard y los subdominios de API, se encuentran en la lista de dominios principales de Chrome, lo que proporciona una protección adicional contra los ataques homógrafos. Esto hace más difícil crear páginas falsas que se parezcan a stripe.com en Chrome (por ejemplo, strípe.com), que se renderiza como punycode (xn-strpe-1sa.com)). A su vez, esto dificulta que las credenciales de Stripe sean víctimas de phishing.

Supervisión proactiva de Internet

Escaneamos proactivamente Internet en busca de las claves API de nuestros establecimientos. Si encontramos una clave comprometida, tomamos las medidas apropiadas, notificando al usuario que debe cambiar su clave API. Usamos el Escáner de tokens de GitHub para alertarnos cuando las claves de API de un usuario se han filtrado en GitHub. Si encontramos páginas de phishing externas que puedan engañar a nuestros usuarios, trabajamos de manera proactiva con nuestros proveedores para eliminarlas e informarlas a Google Safe Browsing.

Protecciones de infraestructura

Nuestros equipos de seguridad prueban nuestra infraestructura regularmente buscando vulnerabilidades y realizando pruebas de penetración y ejercicios de equipo rojo. Contratamos a empresas de seguridad líderes en la industria para que realicen análisis de terceros de nuestros sistemas y abordamos de inmediato sus hallazgos. Nuestros servidores se reemplazan con frecuencia y automáticamente para mantener el estado del servidor y descartar conexiones o recursos obsoletos. Los sistemas operativos de los servidores se actualizan mucho antes de la fecha de finalización de la vida útil (EOL) de la seguridad.

Tecnología de tarjeta exclusiva

Stripe cifra los datos confidenciales tanto en tránsito como en reposo. La infraestructura de Stripe para almacenar, descifrar y transmitir los números de cuenta primaria (PAN), como los números de tarjeta de crédito, se gestiona en una infraestructura de alojamiento independiente y no comparte ninguna credencial con el resto de nuestros servicios. Un equipo dedicado gestiona nuestro CDV en un entorno aislado de Amazon Web Services (AWS) que está separado del resto de la infraestructura de Stripe. El acceso a este entorno separado está restringido a un pequeño número de ingenieros especialmente capacitados y el acceso se revisa trimestralmente.

Todos los números de tarjeta se encriptan en reposo con AES-256. Las claves de descifrado se almacenan en máquinas separadas. Tokenizamos las PAN internamente, aislando los números brutos del resto de nuestra infraestructura. Ninguno de los servidores internos y demonios de Stripe puede obtener números de tarjeta de texto sin formato, pero puede solicitar que las tarjetas se envíen a un proveedor de servicios en una lista de permisos estática. La infraestructura de Stripe para almacenar, descifrar y transmitir los números de tarjeta se gestiona en un entorno de alojamiento independiente y no comparte ninguna credencial con los servicios principales de Stripe, como nuestra API y nuestro sitio web. No solo las PAN se tokenizan de esta manera; tratamos otros datos confidenciales, como la información de la cuenta bancaria, de manera similar.

Tecnología corporativa

Stripe adopta un enfoque de confianza cero para la gestión del acceso de los empleados. Los empleados se autentican aprovechando SSO, autenticación de dos factores (2FA) utilizando un token basado en hardware y mTLS a través de un certificado criptográfico en máquinas emitidas por Stripe. Después de conectarse a la red, los sistemas internos confidenciales y los que están fuera del alcance del trabajo estándar del empleado requieren permisos de acceso adicionales.

Supervisamos los registros de auditoría para detectar anomalías, intrusiones y actividades sospechosas, y también supervisamos los cambios en los archivos confidenciales de nuestra base de código. Todo el código de Stripe pasa por una revisión multipartita y pruebas automatizadas. Los cambios de código se registran en un registro inmutable y a prueba de manipulaciones. Recopilamos constantemente información sobre las computadoras portátiles emitidas por Stripe para monitorear procesos maliciosos, conexiones a dominios fraudulentos y actividad de intrusos. Tenemos un proceso integral para permitir la lista de qué software se puede instalar en las computadoras portátiles de los empleados, evitando la instalación de aplicaciones no aprobadas.

Mantenimiento de la postura de seguridad

Nuestros desarrolladores trabajan con expertos de seguridad al principio del ciclo de vida de un proyecto. Como parte de nuestro proceso de revisión de seguridad, los expertos de seguridad desarrollan modelos de amenazas y fijan límites de confianza que guían la implementación del proyecto. Los desarrolladores utilizan este mismo proceso para hacer cambios en las partes sensibles del código.

Expertos dedicados de guardia

Tenemos varios equipos de seguridad exclusivos que se especializan en distintas áreas de seguridad, como la infraestructura, las operaciones, la privacidad, los usuarios y las aplicaciones. Los expertos en seguridad están disponibles las 24 horas del día, los 7 días de la semana, a través de las rotaciones de guardia. Nos centramos en elevar constantemente el nivel de las mejores prácticas para minimizar los riesgos de ciberseguridad.

La seguridad es el trabajo de todos los empleados de Stripe

Requerimos que cada empleado de Stripe complete la capacitación de seguridad anualmente, y brindamos cursos en desarrollo de software seguro a los ingenieros de Stripe. Ejecutamos campañas internas de phishing para probar el reconocimiento de intentos de phishing y marcarlos al equipo de seguridad apropiado.

Cómo gestionar el control de acceso

Tenemos un proceso formal para otorgar acceso a sistemas e información; revisamos regularmente y eliminamos automáticamente el acceso inactivo. Las acciones dentro de las áreas más sensibles de la infraestructura necesitan una revisión humana. Para habilitar las mejores prácticas para el control de acceso, nuestros expertos en seguridad crean herramientas básicas para ayudar a los equipos de Stripe a implementar el principio de privilegio mínimo. Para minimizar nuestra exposición, contamos con una política de retención de datos que minimiza los datos que conservamos mientras cumplimos con los requisitos reglamentarios y comerciales.

Programa de recompensas y divulgación de vulnerabilidades

Mantenemos un programa de divulgación y recompensa de vulnerabilidades (“bug bounty”) que compensa a los investigadores de seguridad independientes que nos ayudan a mantener a nuestros usuarios seguros. Al enviar un error o vulnerabilidad de seguridad a Stripe a través de HackerOne, you acknowledge that you’ve read and agreed to the program terms and conditions. Consulta nuestra política sobre HackerOne para obtener más información sobre cómo participar en nuestro programa de recompensas por divulgación de errores.