Защита платежей через API Приват24

Question

[kirbak]

Долго думаем над вопросом, как организовать защиту при отправке платежей через api Приват24 (ПриватБанк Украина). Сам банк предоставляет защиту только в виде ID/Пароль/ограничение по ip

Соответственно если взломают сайт, все эти данные легко утекут злоумышленнику, он сам сделает запрос на отправку средств, только уже на свою карту.

Ссылка на api: api.privatbank.ua/article/5/

Answer 1

[Максим Дьяченко]

В похожей ситуации мы ни до чего лучше не додумались как вынести взаимодействие с таким АПИ на отдельный домен, на отдельном ВДС, запросы на который с сайта шли через почти такое же АПИ, лишь чуть подправленное.
Удаленный безопасный сервер сломать сложнее ибо там меньше точек соприкосновения, принимает запросы он только от нашего сайта и т.п. Конечно имея реквизиты полученные на сайте и внеся изменения в сам сайт можно отправлять свои запросы, но не все взломы позволяют изменять код, плюс на защищенной стороне были добавлены несколько эвристик на подозрительные запросы, на количество запросов за период, объемы и т.п. Что-то получало задержку, что-то выполнялось но с отправкой смс администратору…

Comments

[kirbak]

Написал вам в личку, гляньте пожалуйста

Answer 2

[Sergey Cherepanov]

Так там же любая операция через смс, разве нет?

Comments

[kirbak]

Да, но только если это переводы вручную из онлайн банкинга, а у нас проблема именно с API, когда идет взаимодействие сайта с онлайном счета

Answer 3

[codecity]

А что может улучшить банк с вашей точки зрения? Установить лимиты? Или вместо пароля использовать цифровую подпись (если да, то чем это лучше)?

Comments

[kirbak]

Без понятия :)