Переклад наведено для зручності. Юридичну силу має англійська версія.
1. Зберігання ключів
Це найважливіший пункт, прочитайте його двічі. Типово адреси приймання виводяться з ключового матеріалу, який тримає Оператор, а не ви: платежі надходять на адреси Оператора й зараховуються на ваш баланс, а ви виводите їх звідти. Підписання не автоматизоване — у вебзастосунку немає шляху, який сам транслює переказ у мережу; виведення та виплати перевіряє, підписує й надсилає Оператор поза ним. Каса, яка не хоче, щоб Оператор узагалі тримав її кошти, може попросити деривацію з власного xPub; тоді платежі надходять на адреси, якими керує лише ця каса, і ключів від них Оператор не має.
2. Цілісність API та вебхуків
2.1 Підпис
Запити до API та вебхуки підписуються алгоритмом HMAC-SHA256, із часовим вікном, що обмежує повтор, і ключами ідемпотентності, щоб повторений виклик не спрацював двічі. Підписи порівнюються за сталий час.
2.2 Вихідні вебхуки
Вихідні вебхуки захищені від SSRF: лише https, надсилання на налаштовану продавцем адресу, прив’язка до перевіреної IP-адреси; приватні діапазони, а також CGNAT і NAT64 заборонені.
3. Облікові дані при зберіганні
Паролі гешуються алгоритмом bcrypt. Секрет api_secret шифрується при зберіганні алгоритмом AES-256-GCM. Закриті ключі, seed-фрази та номери карток не зберігаються взагалі.
4. Безпека облікового запису
Необов’язкова двофакторна автентифікація TOTP із кодами відновлення. Сеанси відстежуються на сервері й можуть бути відкликані. Токени CSRF захищають запити, що змінюють стан. Обмеження частоти діє на кожну IP і на кожен ключ.
5. Захист транспорту та браузера
HSTS, політика безпеки вмісту, X-Frame-Options зі значенням DENY, X-Content-Type-Options nosniff і Referrer-Policy.
6. Цілісність грошей
Розрахунки записуються в журнал, що допускає лише додавання записів, з унікальним якорем ідемпотентності, тому одне й те саме надходження не може бути зараховано двічі. Рекомендаційні блокування вибудовують зміни балансу в чергу, тому одночасні операції не можуть загнати баланс у хибний стан.
7. Чого ми не заявляємо
У Payora немає сертифікації PCI-DSS, SOC 2 чи ISO 27001 і немає ліцензії регулятора. Кожен, хто стверджує протилежне, помиляється. Програма дає Операторові надійні налаштування за замовчуванням; безпека працюючого екземпляра залежить ще й від сервера, хостингу та порядків самого Оператора.
8. Що залежить від вас
Тримайте секрет API і пароль при собі. Увімкніть двофакторну автентифікацію. Перевіряйте підписи вебхуків, а не довіряйте вмісту. Уважно звіряйте адреси виплат, включно з тегом призначення або memo, бо надіслану транзакцію не відкликати.
9. Повідомити про вразливість
Повідомляйте про проблеми безпеки Операторові на адресу support@payora.money. Будь ласка, дайте достатньо подробиць, щоб відтворити проблему, і не перевіряйте її на чужих облікових записах і даних.
Останнє оновлення: 16 липня 2026 року. Якщо ми внесемо до цієї сторінки суттєві зміни, оновлену версію буде розміщено тут.
