\n\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\n\t\t\t\tSyst\u00e8mes de caisse<\/span>\t\t\t\t<\/span>\n\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\tOmEs pay\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t13 septembre 2026<\/time>\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t<\/ul>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Les int\u00e9grations de paiement n'utilisent pas toujours, au sens strict, une seule cl\u00e9 API. Certains prestataires utilisent des identifiants client, des secrets, des certificats ou OAuth. Le principe de s\u00e9curit\u00e9 reste le m\u00eame : seules les applications et les personnes concern\u00e9es b\u00e9n\u00e9ficient de l'acc\u00e8s strictement n\u00e9cessaire.<\/p>

Ne stockez jamais de secrets dans du code public<\/strong><\/h4>
Ne placez pas les cl\u00e9s de production dans le JavaScript du navigateur, les paquets d'applications mobiles, les d\u00e9p\u00f4ts publics ou les documents largement diffus\u00e9s. Tout ce qui est fourni c\u00f4t\u00e9 client peut en principe \u00eatre lu.<\/p>
Utilisez un gestionnaire de secrets c\u00f4t\u00e9 serveur ou une configuration d'environnement s\u00e9curis\u00e9e \u00e0 acc\u00e8s restreint.<\/p>
S\u00e9paration entre les essais et la production<\/strong><\/h4>
Un environnement de test et un environnement de production doivent utiliser des identifiants et des points de terminaison diff\u00e9rents. Les donn\u00e9es de test ne doivent pas figurer dans les rapports de production et une cl\u00e9 de test ne doit pas permettre d'effectuer un remboursement ou un paiement r\u00e9el.<\/p>
Rendez l'environnement visuellement reconnaissable afin de limiter les erreurs pendant le d\u00e9veloppement.<\/p>
Vous h\u00e9sitez entre un plugin et une API ? D\u00e9couvrez alors comment choisir la bonne solution choisissez un plugin ou une API.<\/strong><\/a><\/p>
Limiter les droits et la port\u00e9e<\/strong><\/h4>
N'attribuez \u00e0 une int\u00e9gration que les p\u00e9rim\u00e8tres dont elle a besoin. Une application qui consulte les statuts de paiement n'a peut-\u00eatre pas besoin d'\u00eatre autoris\u00e9e \u00e0 effectuer des remboursements ou des modifications de compte. Limitez, dans la mesure du possible, les adresses IP, les domaines ou les commer\u00e7ants autoris\u00e9s.<\/p>
Utilisez des identifiants distincts pour chaque application ou fournisseur afin de pouvoir r\u00e9voquer l'acc\u00e8s de mani\u00e8re cibl\u00e9e.<\/p>
Lors d'un couplage, il est important que vous Connectez-vous en toute s\u00e9curit\u00e9 \u00e0 votre terminal de paiement ou \u00e0 votre API de paiement<\/strong> <\/a>est associ\u00e9.<\/p>
Tournez le volant et freinez \u00e0 temps<\/strong><\/h4>
Mettez \u00e0 jour les identifiants conform\u00e9ment \u00e0 la politique du fournisseur et imm\u00e9diatement en cas de suspicion de fuite, de changement de personnel ou de fin de contrat avec un fournisseur. Testez la rotation sans temps d'arr\u00eat prolong\u00e9 en faisant en sorte que les anciens et les nouveaux identifiants se chevauchent de mani\u00e8re contr\u00f4l\u00e9e pendant une p\u00e9riode temporaire, lorsque le fournisseur prend en charge cette fonctionnalit\u00e9.<\/p>
Enregistrez le nom du propri\u00e9taire, la date de cr\u00e9ation, les droits et la date d'expiration pr\u00e9vue sans inscrire la valeur elle-m\u00eame dans le registre.<\/p>
Connectez-vous en toute s\u00e9curit\u00e9<\/strong><\/h4>
Les journaux peuvent contenir des r\u00e9f\u00e9rences, des horodatages et des codes d'erreur, mais ne doivent pas contenir de code PIN, de donn\u00e9es compl\u00e8tes relatives aux cartes ou de secrets. Masquez les jetons et les en-t\u00eates sensibles. Limitez la dur\u00e9e de conservation et l'acc\u00e8s.<\/p>
Surveillez les utilisations inhabituelles, les authentifications infructueuses r\u00e9p\u00e9t\u00e9es et les tentatives de remboursement inattendues.<\/p>
Liste de contr\u00f4le des incidents<\/strong><\/h4>R\u00e9vocation ou rotation imm\u00e9diate des identifiants<\/li>
Informer le fournisseur et les parties concern\u00e9es<\/li>
V\u00e9rification des journaux et des transactions<\/li>
Bloquer les actions non autoris\u00e9es potentielles<\/li>
D\u00e9terminer la cause et l'\u00e9tendue<\/li>
D\u00e9ploiement et test en toute s\u00e9curit\u00e9 d'une nouvelle cl\u00e9<\/li>
Am\u00e9liorer les proc\u00e9dures et les droits<\/li><\/ul>
Le bon choix commence par votre fonctionnement<\/h4>
La s\u00e9curit\u00e9 des API n'est pas une configuration ponctuelle. Elle n\u00e9cessite un inventaire, des droits d'acc\u00e8s minimaux, un stockage s\u00e9curis\u00e9, une surveillance ainsi qu'un plan de rotation et de gestion des incidents.<\/p>
En savoir plus sur la s\u00e9curit\u00e9 API de paiement et int\u00e9gration \u00e0 la caisse<\/strong><\/a> Vous trouverez plus d'informations \u00e0 ce sujet dans notre guide sur les int\u00e9grations.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t
Configurez correctement les identifiants dans votre int\u00e9gration<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
OmEs pay coordonne la configuration du prestataire avec votre d\u00e9veloppeur. Le d\u00e9veloppeur reste responsable de la s\u00e9curit\u00e9 du stockage et du code de l'application ; ensemble, nous testons le flux de paiement convenu.<\/p><\/div><\/div><\/div><\/div><\/div><\/section><\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t