"Prestataire de paiement : HiPay (et ce n'est pas que la vitrine, les codes de carte bleu, etc. passent bien par CloudFlare !)"
Tu es en train de proclamer haut et fort que CF se pose en MITM sur une infra de paiement que tu ne connais pas, pour une société que tu ne connais pas, et dans un contexte que tu ne connais pas.
Premièrement, CF a été choisi pour faire office de frontal contre les attaques volumétriques et autres script kiddies, tu m'excuseras mais on a pas tous 8x40gb d'uplink.
Deuxièmement, que le prestataire technique choisi soit CF, tartampion ou TamaireInc, les numéros de CB passent toujours sur les interwebs , via des AS hors de ton contrôle et des équipements hors de ton contrôle.
Si a un moment donné tu as cru que le TLS apportait ne serait-ce qu'une once de sécurité, c'est peut être le moment de te re pencher sur le sujet.
On n'a pas opté pour l'option de tirer des lignes X25 avec chaque client, on s'est dit que c'était peut être un peu overkill.
Troisièmement, HiPay est certifié PCI-DSS depuis 2013 (CF est également certifié PCI-DSS d'ailleurs).
Je t'invite à jeter un oeil rapide à la liste des requirements dressés par le Council pour avoir son attestation de compliance.
Tu as sûrement une alternative viable techniquement et économiquement, envoie ton CV et on en parlera pendant ton entretien.
Potasse bien le sujet hein ;)
# faut arrêter de tout diaboliser
Posté par dam23 . En réponse au journal CloudFlare au milieu. Évalué à -6.
"Prestataire de paiement : HiPay (et ce n'est pas que la vitrine, les codes de carte bleu, etc. passent bien par CloudFlare !)"
Tu es en train de proclamer haut et fort que CF se pose en MITM sur une infra de paiement que tu ne connais pas, pour une société que tu ne connais pas, et dans un contexte que tu ne connais pas.
Premièrement, CF a été choisi pour faire office de frontal contre les attaques volumétriques et autres script kiddies, tu m'excuseras mais on a pas tous 8x40gb d'uplink.
Deuxièmement, que le prestataire technique choisi soit CF, tartampion ou TamaireInc, les numéros de CB passent toujours sur les interwebs , via des AS hors de ton contrôle et des équipements hors de ton contrôle.
Si a un moment donné tu as cru que le TLS apportait ne serait-ce qu'une once de sécurité, c'est peut être le moment de te re pencher sur le sujet.
On n'a pas opté pour l'option de tirer des lignes X25 avec chaque client, on s'est dit que c'était peut être un peu overkill.
Troisièmement, HiPay est certifié PCI-DSS depuis 2013 (CF est également certifié PCI-DSS d'ailleurs).
Je t'invite à jeter un oeil rapide à la liste des requirements dressés par le Council pour avoir son attestation de compliance.
Tu as sûrement une alternative viable techniquement et économiquement, envoie ton CV et on en parlera pendant ton entretien.
Potasse bien le sujet hein ;)
Sans rancune.