Respaldo PCI-DSS en cada pago
Todos los pagos en línea de Winora se procesan con nuestro procesador de pagos, certificado PCI-DSS, el estándar de seguridad de la industria de tarjetas. Tarjeta, PSE y Nequi pasan por la misma plataforma certificada.
Seguridad
Tu dinero y tus datos, con cuidado.
Lo que hacemos para proteger cada cobro, tu cuenta y la información de tus clientes. Y también lo que todavía no tenemos.
Pagos
Cada cobro, protegido.
La tarjeta, en un formulario certificado
El número y el código de seguridad se escriben en el formulario seguro del procesador, dentro del checkout. Winora nunca recibe el número completo ni el código: guarda solo los 6 primeros y los 4 últimos dígitos.
Adquirentes autorizados
Winora es la pasarela: los pagos los procesan adquirentes autorizados para operar en Colombia.
Antifraude que tú configuras
Topes por transacción y por día, límite de intentos por correo y por IP, y listas de bloqueo por correo, IP o documento.
Avisos firmados
Cada webhook va firmado con HMAC-SHA256 y marca de tiempo, para que tu sistema compruebe que lo envió Winora.
Tu cuenta
Solo entra quien debe.
Doble factor
Activa un código de una app autenticadora para entrar al panel. Si lo activas, la API también lo exige. El equipo de Winora lo usa siempre.
Roles para tu equipo
Dueño, administrador y solo lectura: quien solo necesita ver pagos no puede cobrar ni cambiar nada.
Sesiones bajo control
El panel se cierra solo tras una hora sin uso, y puedes cerrar tus sesiones abiertas en otros equipos.
Auditoría que no se borra
Los cambios importantes de tu cuenta quedan en un registro que no se puede editar ni borrar, y lo ves desde tu panel.
Datos
Lo que guardamos, guardado bien.
Credenciales cifradas
Las credenciales del adquirente y las cuentas bancarias se guardan cifradas con AES-256-GCM.
Llaves de API como huella
Guardamos solo una huella (hash) de tus llaves secretas: si pierdes una, creas otra.
Conexión cifrada
El sitio, el panel, el checkout y la API se sirven por HTTPS y le piden al navegador usar siempre HTTPS (HSTS).
Copias de respaldo
La base de datos tiene una copia diaria cifrada, que se guarda 30 días.
Datos personales
Pedimos lo mínimo.
La política de tratamiento de datos explica qué datos tratamos y cómo ejercer tus derechos (Ley 1581 de 2012). En cartera, para consultar una deuda, tu cliente se verifica con un segundo dato, y los intentos tienen tope para que nadie adivine.
Con claridad
Lo que todavía no tenemos.
Un acuerdo de disponibilidad publicado
No publicamos un SLA. Puedes ver en cualquier momento si la plataforma responde en la página de estado.
¿Encontraste algo raro?
Si ves un problema de seguridad en Winora, escríbenos a soporte@winorapay.com. Lo revisamos con prioridad.