Безопасность и платежи
Как защищены платежи
Оплату картой «Мир», Visa, Mastercard, через СБП и T-Pay проводит АО «ТБанк» на своей платёжной странице. Данные карты вы вводите только там: polyapi их не получает, не видит и не хранит.
- Платёжная страница банка соответствует стандарту безопасности данных индустрии платёжных карт PCI DSS.
- Данные карты передаются только по защищённому протоколу TLS.
- Платежи подтверждаются по технологии 3-D Secure: Mir Accept, Visa Secure, Mastercard Identity Check. Банк, выпустивший карту, может запросить одноразовый код.
- После оплаты банк сообщает нам только результат операции, сумму и её идентификатор.
Мы никогда не просим сообщить номер карты, срок действия, CVC/CVV или код из SMS — ни по почте, ни по телефону, ни в мессенджерах. Если вас об этом просят от имени polyapi, это мошенники.
Как защищены данные в сервисе
- Шифрование при передаче. Сайт, личный кабинет и API работают только по HTTPS.
- Вход без пароля. В личный кабинет входят по одноразовому коду из письма. Число попыток ограничено, код действует ограниченное время.
- Ключи API. Ключ показывается один раз при создании, у нас хранится только его хеш. Для каждого ключа задаются лимит расходов и частоты запросов, ключ можно отозвать в любой момент.
- Содержимое запросов. Тексты запросов и ответы моделей не хранятся, хранятся только метаданные для расчёта стоимости.
- Инфраструктура. Серверы, базы данных и биллинг размещены в Российской Федерации в Yandex Cloud. Доступ к ним ограничен и есть только у Исполнителя.
- Сайт. polyapi.ru — статическая страница без форм. Сторонний скрипт на ней один — счётчик Яндекс Метрики, другие не даёт загрузить политика безопасности контента (CSP).
Что делать вам
- Храните ключи API на сервере, в переменных окружения или менеджере секретов. Не публикуйте их в коде, в репозиториях и в клиентских приложениях.
- Задавайте лимит расходов для каждого ключа.
- Если ключ мог утечь, сразу отзовите его в личном кабинете и создайте новый.
Нашли уязвимость?
Напишите на support@polyapi.ru с темой «Безопасность». Ответим в течение 1 рабочего дня.