Bezpieczeństwo i Przechowywanie Kluczy, polityka dotycząca plików cookie i analityki, jak długo przechowywane są rekordy płatności, podprocesory bramki płatności

Tłumaczenie to jest dostarczane dla wygody. Wersja angielska jest wersją wiążącą prawnie.

1. Przechowywanie kluczy

To jest ważne, więc przeczytaj to dwa razy. Domyślnie adresy odbiorcze są pochodnymi materiału kluczowego przechowywanego przez Operatora, a nie przez Ciebie: płatności trafiają na adresy Operatora i są przypisywane do Twojego salda, a Ty wypłacasz stamtąd. Podpisywanie nie jest zautomatyzowane — aplikacja internetowa nie ma ścieżki, która sama nadaje transfer; wypłaty i płatności są przeglądane, podpisywane i nadawane przez Operatora poza nią. Handlowiec, który nie chce, aby Operator trzymał jego środki, może poprosić o pochodzenie z własnego xPub; wtedy płatności osiedlają się tylko na adresach, które kontroluje ten handlowiec, a Operator nigdy nie ma do nich kluczy.

2. Integralność API i webhooków

2.1 Podpisywanie

Żądania API i webhooki są podpisywane za pomocą HMAC-SHA256, z oknem znaczników czasowych, aby ograniczyć powtórzenia, oraz kluczami idempotencyjnymi, aby ponowne wywołanie nie działało dwa razy. Podpisy są porównywane w stałym czasie.

2.2 Webhooki wychodzące

Webhooki wychodzące są chronione przed SSRF: tylko https, wysyłane do adresu URL skonfigurowanego przez sprzedawcę, przypięte do zweryfikowanego adresu IP, z zablokowanymi zakresami prywatnymi, CGNAT i NAT64.

3. Poświadczenia w spoczynku

Hasła są haszowane za pomocą bcrypt. api_secret jest szyfrowany w spoczynku za pomocą AES-256-GCM. Klucze prywatne, frazy nasienne i numery kart nigdy nie są przechowywane.

4. Bezpieczeństwo konta

Opcjonalna autoryzacja dwuskładnikowa TOTP z kodami odzyskiwania. Sesje są śledzone po stronie serwera i mogą być unieważnione. Tokeny CSRF chronią żądania zmieniające stan. Ograniczenia szybkości stosuje się na podstawie adresu IP i klucza.

5. Wzmocnienie transportu i przeglądarki

HSTS, Polityka Bezpieczeństwa Treści, X-Frame-Options ustawione na DENY, X-Content-Type-Options nosniff oraz Polityka Odsyłacza.

6. Integralność pieniędzy

Rozliczenia są rejestrowane w dzienniku tylko do dodawania z UNIKALnym kotwiczeniem idempotencyjnym, więc ta sama wpłata nie może być zaksięgowana dwukrotnie. Blokady doradcze serializują zmiany salda, więc równoczesne operacje nie mogą wprowadzić salda w niewłaściwy stan.

7. Czego nie rościmy

Payora nie posiada certyfikacji PCI-DSS, SOC 2 ani ISO 27001, ani licencji regulacyjnej. Każdy, kto mówi inaczej, się myli. Oprogramowanie zapewnia Operatorowi silne domyślne ustawienia; bezpieczeństwo działającej instancji zależy również od serwera, hostingu i praktyk Operatora.

8. Twoja strona tego

Zachowaj swój sekret API i hasło w tajemnicy. Włącz uwierzytelnianie dwuskładnikowe. Weryfikuj podpisy webhooków zamiast ufać ładunkowi. Dokładnie sprawdź adresy wypłat, w tym wszelkie tagi docelowe lub notatki, ponieważ wysłanej transakcji nie można cofnąć.

9. Zgłaszanie podatności

Zgłoś problemy z bezpieczeństwem do Operatora pod support@payora.money. Proszę podać wystarczająco szczegółowe informacje, aby to odtworzyć, i proszę nie testować na kontach lub danych innych osób.

Ostatnia aktualizacja: 16 lipca 2026. Jeśli wprowadzimy istotne zmiany na tej stronie, zaktualizowana wersja zostanie opublikowana tutaj.

Prawo

Każda polityka, w jednym miejscu.

Dokumenty regulujące tę instancję Payora. Tłumaczenia są dostarczane dla wygody; wersja angielska jest wersją prawnie wiążącą.

Warunki korzystania z usługiKonta, przechowywanie funduszy, opłaty i odpowiedzialność.Polityka prywatnościJakie dane są przechowywane, pliki cookie i twoje prawa.Polityka akceptowalnego użytkowaniaDo czego usługa nie może być używana i jak jest egzekwowana.Polityka plików cookieJakie pliki cookie są ustawione i dlaczego.Umowa o przetwarzaniu danychWarunki przetwarzania danych między sprzedawcą a Operatorem.PodprocesoryKażda strona trzecia, z którą kontaktuje się usługa.Polityka przechowywania danychJak długo przechowywane są poszczególne rodzaje zapisów.

BezpieczeństwoKontrole bezpieczeństwa i sposób przechowywania kluczy.Jesteś tutaj

Informacja o ryzykuPrawdziwe ryzyka związane z akceptowaniem i przechowywaniem kryptowalut.Zwroty i chargebackiBrak zwrotów, a co tak naprawdę oznacza zwrot.

FAQ

Najczęściej zadawane pytania

Proste odpowiedzi, w tym te niewygodne: przechowywanie, opłaty i co się dzieje, gdy coś pójdzie nie tak.

Centrum pomocy

Gdzie są klucze prywatne?

Nie na serwerze. Adresy odbiorcze są generowane wyłącznie z materiału klucza publicznego, takiego jak xPub, główny klucz publiczny lub pulę wygenerowaną offline, a żaden klucz wydania nie jest przechowywany na serwerze. Wypłaty są podpisywane na własnej maszynie Operatora i stamtąd nadawane.

Czy Payora ma certyfikat PCI-DSS, SOC 2 lub ISO 27001?

Nie. Payora nie posiada takiej certyfikacji ani licencji regulacyjnej i nie rości sobie do nich praw. Oprogramowanie zapewnia silne domyślne ustawienia, ale bezpieczeństwo działającej instancji zależy również od serwera Operatora, hostingu i praktyk.

Jak zapobiega się podwójnemu zaksięgowaniu depozytu?

Rozliczenia trafiają do dziennika tylko do dodawania z UNIKALnym kotwiczeniem idempotencyjnym, więc ta sama wpłata nie może być zaksięgowana dwukrotnie, a blokady doradcze serializują zmiany salda, więc równoczesne operacje nie mogą wprowadzić salda w niewłaściwy stan.

Jak mogę wiedzieć, że webhook naprawdę pochodzi z Payora?

Weryfikuj podpis HMAC-SHA256 zamiast ufać ładunkowi. Podpisy używają okna znaczników czasowych, aby ograniczyć powtórzenia i klucze idempotencyjne, aby ponowne wysłanie nie działało dwa razy, i są porównywane w stałym czasie.