Sécurité et modèle non dépositaire

• Elle peut dériver des adresses de réception à partir d'une clé publique que vous fournissez, et les afficher sur une page de paiement.
• Elle peut lire les données publiques de la blockchain et déterminer qu'une facture a été payée.
• Elle peut prévenir votre serveur via un webhook signé et enregistrer l'état d'une commande dans sa propre base de données.

• Elle ne peut pas déplacer, geler, annuler ni rembourser un paiement, car elle ne détient aucune clé capable de signer une transaction blockchain. C'est une propriété d'architecture, pas une politique que nous promettons de suivre.

Un prestataire de paiement ne peut déplacer des fonds que s'il détient une clé capable de signer des transactions. Nous n'en détenons aucune. Quand vous configurez un portefeuille, vous nous donnez soit une adresse de réception, soit une clé publique étendue (xpub). Les deux sont des données publiques. Une xpub peut dériver des adresses de réception, mais elle ne peut mathématiquement pas produire les clés privées nécessaires pour dépenser depuis celles-ci. Nos workers appellent des points d'accès blockchain en lecture seule — les mêmes données publiques que celles derrière Tronscan, BscScan et mempool.space — et aucun chemin de code de la plateforme ne construit, ne signe ni ne diffuse une transaction dépensant les fonds d'un marchand.

• Le point d'accès de configuration du portefeuille rejette toute clé étendue contenant un élément privé — collez une xprv et elle est refusée, pas stockée.
• Le portefeuille de commissions de la plateforme est soumis à la même règle dans tous les environnements : le service refuse de démarrer si ce portefeuille est configuré avec une clé privée au lieu d'une clé publique en lecture seule.
• En production, la validation au démarrage interrompt en outre le processus si une variable d'environnement contient une clé privée, une mnémonique ou une phrase de récupération.
• Les workers on-chain n'utilisent que des adaptateurs de données en lecture seule. Il n'existe dans la plateforme aucun code de signature ni de diffusion de transaction.
• Un test automatisé vérifie que les deux points d'entrée de clés rejettent les clés privées : l'invariant ne peut donc pas être retiré en silence dans une version ultérieure. Et marquer une commande comme remboursée dans le tableau de bord modifie un enregistrement en base — cela ne déplace, et ne peut déplacer, aucune pièce.

Il existe exactement un endroit où NextCryptoPay reçoit des USDT, et ce n'est pas l'argent de vos clients : le solde prépayé que vous rechargez pour régler notre commission de plateforme. C'est notre revenu, payé d'avance par vous, et il est entièrement distinct du flux de paiement entre votre client et vous. Le portefeuille de collecte des commissions est lui aussi configuré en lecture seule dans notre infrastructure — c'est précisément pourquoi le service refuse de démarrer si on lui fournit une clé privée. Nous préférons signaler nous-mêmes cette exception plutôt que vous la laissiez découvrir en vous demandant ce que nous avons encore omis.

Voir la commission en vigueur sur la page tarifs →

• Ce qu'un attaquant pourrait obtenir : les données de comptes marchands, les adresses de réception et xpubs configurées, les métadonnées de commandes, les URL de webhook et leurs secrets. Il pourrait afficher de mauvaises adresses de réception sur de futures pages de paiement.
• Ce qu'un attaquant ne pourrait pas obtenir : vos fonds, ni aucun paiement passé. Aucune clé de nos systèmes ne permet de dépenser depuis un portefeuille marchand : il n'y a donc rien à voler sur les soldes eux-mêmes.
• Ce que cela implique pour vous : comparez l'adresse de réception affichée à la page de paiement avec le portefeuille que vous avez configuré, et vérifiez la signature de chaque webhook avant d'agir.

Prenez l'adresse de portefeuille que vous avez configurée et recherchez-la sur un explorateur de blocs public — Tronscan pour TRC-20, BscScan pour BEP-20, Etherscan pour ERC-20, mempool.space pour Bitcoin. Vous verrez le paiement arriver de l'adresse de votre client directement sur la vôtre, sans saut intermédiaire. Si une adresse que nous contrôlons apparaissait sur ce trajet, elle serait visible là même. Elle n'y est pas.

• Nous ne pouvons ni annuler ni rembourser un paiement. Les transactions on-chain sont définitives. Un remboursement, c'est vous qui l'envoyez, depuis votre propre portefeuille ; notre tableau de bord ne fait qu'enregistrer que vous l'avez fait.
• Nous ne pouvons pas récupérer des fonds envoyés à une mauvaise adresse. Si l'adresse de portefeuille que vous avez configurée est erronée, les paiements partiront vers cette mauvaise adresse et seront perdus. Vérifiez l'adresse et testez d'abord avec un petit montant.
• Nous ne pouvons pas récupérer votre portefeuille. Nous n'avons jamais eu vos clés. Si vous les perdez, nous ne pouvons rien faire — aucun canal d'assistance, aucune exception.
• Nous ne pouvons ni geler ni saisir des fonds, même à votre demande ou à celle d'un tiers. Nous n'en avons pas la capacité.

NextCryptoPay n'a pas fait l'objet d'un audit de sécurité externe, et nous n'allons pas laisser entendre le contraire. Nous ne publions pas non plus l'identité de celles et ceux qui l'exploitent : il n'y a sur ce site ni raison sociale, ni numéro d'immatriculation, ni adresse de bureau, parce qu'il n'existe aucune entité juridique à nommer. Vous devriez peser ces deux faits avant de faire transiter un chiffre d'affaires réel par un service, celui-ci compris. Ce que nous proposons à la place d'un nom et d'un certificat, c'est une conception où notre identité n'a pas besoin d'avoir de l'importance : nous ne détenons jamais de clé capable de déplacer l'argent de vos clients, et chaque affirmation ci-dessus est de celles que l'on peut tester plutôt que croire.

Envoyez vos découvertes à [email protected], ou consultez notre politique de signalement ci-dessous. Nous accusons réception et vous tenons informé du correctif. Merci de ne pas effectuer de tests sur des factures marchandes réelles ni sur les paiements d'autrui.

/.well-known/security.txt