Sécurité

Identification

L’identification est une phase qui consiste à établir l’identité de l’utilisateur.
Elle permet répondre à la question : “Qui êtes-vous ?”
Un site Marchand est référencé et identifié auprès des serveurs de Paybox par 3 éléments :

  • Le numéro de site
  • Le numéro de rang
  • Un identifiant

Ces éléments d’identification seront envoyés par mail par Paybox lors de la confirmation de l’inscription du commerçant à l’utilisation de nos services.
Ces informations sont obligatoires dans tous les messages que le site Marchand enverra à nos plateformes de paiement mais il est également nécessaire de les fournir lors de tout contact avec les équipes du support Paybox.
Le chapitre Comptes de tests mutualisés propose plusieurs jeux d’identifiants afin de tester la plateforme et votre intégration sans inscription préalable.

Authentification

L’authentification est une phase qui permet au site Marchand d’apporter la preuve de son identité.
Cette phase ne concerne pas les web services de Paybox Direct et Direct Plus.

Afin de garantir une sécurité maximale aux paiements effectués sur le site Marchand du commerçant, celui-ci est authentifié par une clé secrète qui ne doit être connue que par lui et par Paybox.
Cette clé sera utilisée pour signer tous les échanges entre le site Marchand et les serveurs de Paybox afin de garantir que la demande de paiement provient d’une source authentifiée.
Le commerçant doit générer lui-même sa clé secrète à partir de l’interface du back-office commerçant.

Gestion de la clé d’authentification

Cette clé est indispensable, elle permet d’authentifier tous les messages échangés entre le site Marchand et les serveurs Paybox. Le commerçant doit donc générer sa propre clé unique et confidentielle et l’utiliser pour calculer une empreinte sur ses messages.

Génération
L’interface de génération de la clé secrète d’authentification se trouve dans l’onglet « Paramétrage», quand vous êtes positionné sur le magasin du Back Office Vision, en haut à droite de la page.
Voici à quoi ressemble cette interface :

Figure 5 : Génération d’une clé secrète

Le champ « Phrase de passe » peut être renseigné avec une phrase, un mot de passe, ou tout autre texte.

la jauge à droite de la phrase de passe “qualité de la phrase” est mise à jour automatiquement lorsque la phrase de passe est saisie. elle vous indique le niveau de complexité de votre phrase, un message explicatif s’affiche indiquant les règles à respecter:

La phase de passe doit comporter les éléments suivants
-Minimum 15 caractères
-Au moins une majuscule
-Au moins un caractère spécial exemple: !,@#$%[]^&*?_~

Le bouton « VALIDER » restera inactif tant que ces règles ne sont pas respectées.

La force de la phrase de passe est calculée selon certains critères spécifiques, à savoir le nombre de majuscules, minuscules, caractères spéciaux, etc. Il conviendra donc de varier les caractères saisis, de les alterner et d’éviter les répétitions qui tendent à diminuer le score final.

Le bouton « Générer la clé » permet de calculer la clé d’authentification à partir de la phrase de passe saisie. Ce calcul est une méthode standard assurant le caractère aléatoire de la clé et renforçant sa robustesse. Cette méthode de calcul étant fixe, il est possible à tout moment de retrouver sa clé en retapant la même phrase de passe et en relançant le calcul.

Attention : il est possible que le calcul de la clé prenne quelques secondes, selon la puissance de l’ordinateur.

Une fois le calcul terminé, la clé sera affichée dans le champ « Clé ». Il est alors possible de copier/coller cette clé d’authentification pour l’intégrer dans la base de données du site Marchand, ou autre mode de stockage, de préférence sécurisé.

Après Génération de la clé, un message récapitulatif sera affiché, expliquant qu’un email de demande de confirmation a été envoyé à l’adresse mail du commerçant. La clé qui vient d’être générée ne sera pas active tant que les indications de validation décrites dans cet email n’auront pas été appliquées.
La clé est affichée sur ce récapitulatif. Pour des raisons de sécurité, cette clé ne sera plus transmise ni demandée par nos services. Par conséquent, si cette clé est égarée, il sera nécessaire d’en générer une nouvelle. Il est donc important de veiller à copier la clé d’authentification affichée avant de quitter la page.

La clé est dépendante de la plateforme sur laquelle elle est générée. Cela signifie qu’il faut générer une clé pour l’environnement de test et une pour l’environnement de production.

Validation
Une fois l’enregistrement de la nouvelle clé effectué, un email de demande de confirmation sera envoyé au commerçant. Dans cet email se trouvera un lien pointant sur  “https://guest.paybox.com/vision10.x/validhmac.php”  ou “https://guest1.paybox.com/vision10.x/validhmac.php” par exemple :

https://guest.paybox.com/vision10.0/validhmac.php?id=kjlmkjmjhh...jhgkjhgj

Le paramètre « id » n’est pas la clé saisie, il s’agit d’un « token » généré aléatoirement qui correspond à la clé à valider. Comme dit précédemment, la clé ne sera pas transmise dans l’email.

Après avoir cliqué sur ce lien, si un message annonce « Votre clé est activée », alors la clé est immédiatement en fonction. Ce qui signifie que la clé qui vient d’être validée devrait aussi être en fonction sur le site Marchand.

Expiration
Lorsque la clé est validée, celle-ci se voit affectée une date d’expiration, 1 an après la génération.

Quand cette date sera atteinte, la clé ne sera pas directement désactivée, pour permettre au site Marchand de continuer à fonctionner, mais le commerçant sera averti par email et sur la page d’accueil du Back Office Commerçant que cette clé est expirée. Il est fortement recommandé de générer une nouvelle clé d’authentification dans ce cas-là.

Transmission
La clé secrète d’authentification ne doit en aucun cas être transmise par e-mail. Paybox ne la demandera jamais au commerçant. Les commerçants doivent donc être particulièrement vigilants quant aux demandes suspectes de transmission de la clé d’authentification, il s’agit probablement d’une tentative de phishing ou de social engineering.

En cas de perte de la clé secrète, nous ne serons donc pas en mesure de la redonner, il faudra donc en générer une nouvelle via le Back Office Commerçant.