Article 1 — Objet

La présente politique décrit les mesures de sécurité mises en œuvre par WalleoPay et les obligations corrélatives du Marchand. La sécurité d'un paiement repose sur les deux parties : les engagements de la partie A ne produisent leur effet que si les obligations de la partie B sont respectées.

Article 2 — Partie A : engagements de WalleoPay

2.1 Chiffrement des échanges

Tous les échanges avec l'API et l'espace marchand se font en HTTPS, protocole TLS. Le trafic en clair est refusé et redirigé. Aucun secret ne transite par un canal non chiffré.

2.2 Secrets d'API

Les clés secrètes sont stockées sous forme hachée. Elles ne sont affichées en clair qu'une seule fois, au moment de leur création : WalleoPay ne peut pas les retrouver ensuite. Les clés du mode test et celles du mode réel sont distinctes et ne sont jamais interchangeables. Le Marchand peut à tout moment procéder depuis son espace à la rotation ou à la révocation immédiate d'une clé.

2.3 Signature des notifications

Chaque notification adressée à l'adresse de rappel du Marchand est signée au moyen d'un code d'authentification de message de type HMAC, calculé avec le secret du point de terminaison et transmis dans l'en-tête X-WalleoPay-Signature. La signature porte sur l'horodatage et sur le corps exact du message. Une fenêtre de tolérance de 5 minutes limite le rejeu. En cas d'échec de livraison, WalleoPay réessaie selon une temporisation croissante, puis abandonne et signale l'échec dans l'espace marchand.

2.4 Journalisation

Les connexions, les appels d'API et les actions sensibles, notamment la création ou la révocation d'une clé, la modification du numéro de reversement et les demandes de reversement, sont journalisés avec leur horodatage et l'adresse IP d'origine. Les journaux sont conservés selon les durées prévues par l'accord de traitement des données.

2.5 Limitation de débit et protection des authentifications

Le nombre d'appels d'API par période est limité. Les tentatives répétées d'authentification échouées entraînent un ralentissement puis un blocage temporaire, ainsi qu'une alerte adressée au titulaire du compte.

2.6 Cloisonnement et environnements

Les comptes marchands sont strictement cloisonnés : aucune donnée d'un marchand n'est accessible au moyen des identifiants d'un autre. Les environnements de test et de production sont séparés ; les paiements du mode test ne produisent aucun mouvement de fonds réel et ne sont jamais mêlés aux opérations réelles.

2.7 Sauvegardes, correctifs et accès internes

• Sauvegardes régulières des bases de données, conservées de façon chiffrée, avec test périodique de restauration.
• Suivi des correctifs de sécurité du système, du cadriciel applicatif et des dépendances ; application sans délai des correctifs critiques.
• Accès internes accordés selon le principe du moindre privilège, nominatifs, protégés par une authentification renforcée et réexaminés périodiquement.

2.8 Gestion des incidents

WalleoPay qualifie, contient puis corrige tout incident de sécurité. Les marchands concernés sont informés des faits utiles, des mesures prises et des actions attendues de leur part. L'information est également faite dans les conditions prévues par l'accord de traitement des données.

Article 3 — Partie B : obligations du Marchand

3.1 Garde des clés secrètes

Le Marchand conserve la garde exclusive de ses clés secrètes. Une clé secrète ne doit jamais figurer :

• dans du code exécuté par le navigateur ;
• dans une application mobile distribuée aux utilisateurs ;
• dans un dépôt de code, même privé ;
• dans une capture d'écran, un courriel, un message instantané ou un ticket de support.

Toute opération effectuée au moyen d'une clé valide est réputée émaner du Marchand.

3.2 Vérification du statut d'un paiement

Avant toute livraison de bien ou de service, le Marchand vérifie le statut du paiement côté serveur, en interrogeant l'API de WalleoPay. Il ne doit se fier ni au seul retour du navigateur du client, ni au seul contenu d'une notification dont la signature n'a pas été vérifiée. Ces deux éléments sont manipulables.

3.3 Traitement des notifications

Le Marchand vérifie la signature HMAC de chaque notification reçue et rejette celles dont l'horodatage se situe hors de la fenêtre de tolérance. Le traitement doit être idempotent : une même notification reçue plusieurs fois ne doit produire qu'une seule livraison et qu'une seule écriture comptable.

3.4 Hygiène du système d'information

• Maintenir à jour les systèmes, les modules et les extensions utilisés pour l'encaissement.
• Attribuer des comptes utilisateurs nominatifs, sans identifiant partagé.
• Retirer sans délai les accès des collaborateurs ayant quitté l'organisation.
• Ne pas stocker de données sensibles inutiles, en particulier aucune donnée de carte ni aucun code secret de portefeuille.

3.5 Signalement d'un incident

Le Marchand signale tout incident de sécurité ou tout soupçon de compromission dans les vingt-quatre heures à l'adresse support@walleopay.com. Le signalement indique au minimum la date et l'heure de la découverte, les clés et les comptes susceptibles d'être touchés, les références des transactions concernées, les faits constatés et les mesures déjà prises.

3.6 Conséquences d'un manquement

En cas de manquement aux obligations de la présente partie, WalleoPay peut suspendre ou révoquer les clés du Marchand et suspendre les encaissements, sans préavis lorsque la sécurité l'exige. Les pertes qui résultent directement du manquement, notamment les livraisons effectuées sans vérification du statut du paiement et les opérations exécutées au moyen d'une clé compromise, restent à la charge du Marchand.

Article 4 — Tests d'intrusion et divulgation responsable

Aucun test d'intrusion, balayage automatisé ou test de charge ne peut être conduit sur l'environnement de production sans accord écrit préalable de WalleoPay, définissant la période, le périmètre et les adresses sources. Les essais fonctionnels s'effectuent en mode test.

Toute vulnérabilité découverte doit être signalée à support@walleopay.com avant toute divulgation publique, avec les éléments permettant de la reproduire. Le déclarant s'abstient d'accéder aux données d'autrui, de les extraire, de les modifier ou de dégrader le service. WalleoPay accuse réception, tient le déclarant informé du traitement et n'engage aucune poursuite lorsque ces règles ont été respectées et que le signalement est de bonne foi.

Article 5 — Mise à jour de la politique

La présente politique évolue avec les menaces et avec le service. Toute modification substantielle est portée à la connaissance des marchands par courriel ou dans l'espace marchand, avec un préavis raisonnable. Une mesure rendue nécessaire par un risque immédiat peut être appliquée sans préavis et notifiée ensuite. La version applicable est celle publiée sur walleopay.com à la date considérée. Questions : support@walleopay.com.