Sécurité
Ce que SigmaPay met en place, concrètement, pour protéger les paiements, les données et les comptes marchands.
Connexions chiffrées
Toutes les communications avec SigmaPay (site, tableau de bord, API, page de paiement, notifications) passent par HTTPS, chiffrées en TLS.
Clés de test et de production séparées
Chaque marchand dispose de deux clés API. La clé de test simule les paiements : elle n'atteint jamais un opérateur réel. La clé de production n'est disponible qu'après vérification du compte. Les clés ne sont affichées qu'une seule fois et ne sont conservées que sous forme d'empreinte : même notre équipe ne peut pas les relire. Une clé perdue se régénère depuis le tableau de bord.
Notifications signées
Chaque notification (webhook) envoyée au site du marchand est signée en HMAC-SHA256 avec son secret, et renvoyée automatiquement en cas d'échec. Nos plugins WooCommerce, Drupal et Moodle vérifient cette signature, puis relisent le statut réel du paiement auprès de SigmaPay avant de valider une commande : un faux message ne suffit pas.
Protection contre les doubles débits
Chaque création de paiement porte une clé d'idempotence : une requête rejouée après une coupure réseau renvoie le même paiement au lieu d'en créer un second. Un double clic ou un second onglet ne déclenche jamais deux débits, et les remboursements simultanés ne peuvent pas rendre plus que le montant payé.
Données chiffrées au repos
Les pièces d'identité envoyées pour la vérification et les secrets des webhooks sont chiffrés en AES-256-GCM sur nos serveurs. Les pages publiques ne montrent jamais un numéro de téléphone complet. Les mots de passe sont stockés hachés.
Limitation du nombre de requêtes et journal d'audit
Le nombre de requêtes est limité pour freiner les abus. Les actions sensibles sont enregistrées : connexions et échecs de connexion, régénération des clés, configuration des webhooks, remboursements, décisions de vérification et reversements.
Paiement par carte
Le paiement par carte n'est pas encore ouvert : aucun numéro de carte ne transite aujourd'hui par SigmaPay. À son ouverture, les données de carte seront saisies chez un processeur certifié PCI DSS, jamais conservées par SigmaPay.
Sauvegardes
Les données de la plateforme sont sauvegardées chaque jour.
Signaler une faille
Vous pensez avoir trouvé une faille de sécurité ? Écrivez-nous à support@sigmapay.sn en décrivant le problème, sans l'exploiter ni accéder aux données d'autrui. Voir aussi notre politique de confidentialité.