Sigurnost plaćanja

Plaćanje se odvija na stranici banke

Karticu unosite na sigurnoj stranici koju hostuje Raiffeisen BANK dd Bosna i Hercegovina — nikada na našoj.

Kada plaćate, prosljeđujemo vas banci zajedno s iznosom i referencom narudžbe. Karticu unosite tamo, na sistemima same banke. Kada banka završi, vraća vas nama s rezultatom. Takav dizajn je namjeran: što je manje mjesta na kojima podaci o kartici postoje, to je manje mjesta s kojih mogu procuriti.

Šta nikada ne vidimo

Nijedan dio naše aplikacije, baze podataka ni zapisa nikada ne sadrži ništa od sljedećeg:

• Broj kartice, ni u cijelosti ni djelimično.
• Datum isteka ni CVV/CVC sigurnosni kod.
• PIN, ni bilo koju lozinku korištenu za potvrdu plaćanja.
• Pohranjujemo samo rezultat: uspjelo ili nije, iznos, valutu, datum i referencu banke.

Budući da podaci o kartici nikada ne dolaze do naših sistema, naši sistemi su izvan opsega standarda sigurnosti podataka kartične industrije koji se odnosi na njihovo pohranjivanje. Strana koja njima rukuje — banka — u potpunosti mu podliježe.

Potvrda da je plaćanje vaše

Kartična plaćanja potvrđuje vaša banka, uobičajeno putem 3-D Secure provjere — jednokratnim kodom ili potvrdom u vašoj bankarskoj aplikaciji. Ni mi ni banka prihvatilac ne možemo dovršiti plaćanje koje vaša banka nije potvrdila kao vaše.

U prijenosu

Svaka stranica ove web lokacije i svaki zahtjev između vašeg preglednika i naših servera šifrovani su TLS-om. Stranica koja bilo šta traži nikada se ne poslužuje preko nešifrovane veze.

Vaš korisnički račun

Druga polovina sigurnosti je račun kojem pretplata pripada:

• Lozinke se pohranjuju kao salted heševi i nikada u obliku koji je iko može pročitati — uključujući nas.
• Svaki upit u aplikaciji ograničen je na račun koji ga je postavio. Jedan korisnik ne može doći do dokumenata drugog.
• Sesije se prenose potpisanim kolačićima, a svaki obrazac koji nešto mijenja zaštićen je od CSRF napada.
• Broj pokušaja prijave ograničen je po adresi i po vezi, pa se lozinka ne može pogoditi nasumičnim pokušavanjem — a prijava ispravnom lozinkom nikada ne troši taj limit.

Ko šta može vidjeti

Administrativni pristup produkcijskom sistemu ograničen je na osobe koje ga održavaju i koristi se za održavanje rada usluge, a ne za čitanje onoga što su korisnici napisali. Sigurnosne kopije rade se redovno i čuvaju uz istu zaštitu kao i podaci u radu.

Ako nešto pođe po zlu

Ako je izvršeno plaćanje koje niste odobrili, prvo kontaktirajte izdavaoca vaše kartice — oni mogu blokirati karticu i pokrenuti povrat sredstava (chargeback), što mi ne možemo učiniti umjesto vas. Javite i nama i vratićemo sve što je stiglo do nas.

Za prijavu sigurnosnog problema na ovoj stranici pišite na info@diverd.dev