Перевод приведён для удобства. Юридическую силу имеет английская версия.
1. Хранение ключей
Это самый важный пункт, прочитайте его дважды. По умолчанию адреса приёма выводятся из ключевого материала, который держит Оператор, а не вы: платежи приходят на адреса Оператора и зачисляются на ваш баланс, а вы выводите их оттуда. Подписание не автоматизировано — в веб-приложении нет пути, который сам транслирует перевод в сеть; выводы и выплаты проверяет, подписывает и отправляет Оператор вне его. Касса, которая не хочет, чтобы Оператор вообще держал её средства, может попросить деривацию из собственного xPub; тогда платежи приходят на адреса, которыми управляет только эта касса, и ключей от них у Оператора нет.
2. Целостность API и вебхуков
2.1 Подпись
Запросы к API и вебхуки подписываются алгоритмом HMAC-SHA256, с временным окном, которое ограничивает повтор, и ключами идемпотентности, чтобы повторённый вызов не сработал дважды. Подписи сравниваются за постоянное время.
2.2 Исходящие вебхуки
Исходящие вебхуки защищены от SSRF: только https, отправка на настроенный продавцом адрес, привязка к проверенному IP-адресу; частные диапазоны, а также CGNAT и NAT64 запрещены.
3. Учётные данные при хранении
Пароли хешируются алгоритмом bcrypt. Секрет api_secret шифруется при хранении алгоритмом AES-256-GCM. Закрытые ключи, seed-фразы и номера карт не хранятся вовсе.
4. Безопасность учётной записи
Необязательная двухфакторная аутентификация TOTP с кодами восстановления. Сеансы отслеживаются на сервере и могут быть отозваны. Токены CSRF защищают запросы, меняющие состояние. Ограничение частоты действует на каждый IP и на каждый ключ.
5. Защита транспорта и браузера
HSTS, политика безопасности содержимого, X-Frame-Options со значением DENY, X-Content-Type-Options nosniff и Referrer-Policy.
6. Целостность денег
Расчёты записываются в журнал, допускающий только добавление записей, с уникальным якорем идемпотентности, поэтому одно и то же поступление не может быть зачислено дважды. Рекомендательные блокировки выстраивают изменения баланса в очередь, поэтому одновременные операции не могут загнать баланс в неверное состояние.
7. Чего мы не заявляем
У Payora нет сертификации PCI-DSS, SOC 2 или ISO 27001 и нет лицензии регулятора. Всякий, кто утверждает обратное, ошибается. Программа даёт Оператору надёжные настройки по умолчанию; безопасность работающего экземпляра зависит ещё и от сервера, хостинга и порядков самого Оператора.
8. Что зависит от вас
Держите секрет API и пароль при себе. Включите двухфакторную аутентификацию. Проверяйте подписи вебхуков, а не доверяйте содержимому. Внимательно сверяйте адреса выплат, включая тег назначения или memo, потому что отправленную транзакцию не отозвать.
9. Сообщить об уязвимости
Сообщайте о проблемах безопасности Оператору по адресу support@payora.money. Пожалуйста, дайте достаточно подробностей, чтобы воспроизвести проблему, и не проверяйте её на чужих учётных записях и данных.
Последнее обновление: 16 июля 2026 года. Если мы внесём в эту страницу существенные изменения, обновлённая версия будет размещена здесь.
