PapelShip
Começar
ComeçarIniciar sessão
Aspeto

Segurança

Segurança integrada em cada venda e em cada licença.

A PapelShip protege comerciantes e clientes no checkout, dentro do software que vendem e nas contas a partir das quais o gerem. Esta página explica como, e o que lhe pedimos em troca.

Comunicar uma vulnerabilidadePolítica de privacidade

Tentativa de pagamento

Pontuação

Pontuação de risco

4 / 100

Limite 60
PaísAlemanha
Endereço IP91.64.•.•
VPN ou proxyNão detetado
Sinais0 de 5

Encomenda PS-20418

A aguardar pagamento
Pagamentoatravés deStripe
Número do cartãoNão guardado pela PapelShip
LicençaPAPEL-7F3K-91XA
EntregaA aguardar

Licença criada automaticamente quando a encomenda é paga

DemoApp.exe

Não iniciada
  • Troca de chaves · X25519
  • Assinatura do servidor · Ed25519
  • Licença ativa
  • Associada a este HWID

Decidido nos servidores da PapelShip

A nossa abordagem

A proteção está onde não pode ser adulterada. As decisões são tomadas nos nossos servidores, e as regras são definidas por si.

  1. 01

    Decidido no servidor

    As verificações de licença, os banimentos e as pontuações de risco são calculados na PapelShip, onde um binário alterado não consegue mudar o resultado.

  2. 02

    Os dados do cartão ficam com os processadores

    Os pagamentos com cartão passam por processadores terceiros, como Stripe, PayPal e WeePay. A PapelShip não guarda números de cartão completos.

  3. 03

    Acessos com âmbito definido

    Os links de equipa, as contas de revendedor e as chaves de API têm apenas as permissões que concede, com os limites e a validade que definir.

  4. 04

    As suas regras, a sua decisão

    As regras de fraude, as respostas à adulteração e os limiares de banimento são definidos por si. O que é bloqueado é sempre uma decisão sua.

Proteção de dados

Os seus dados, encriptados em trânsito e em repouso.

Medidas técnicas e organizativas protegem a informação na PapelShip. A Política de privacidade define o que recolhemos, porquê e quem a trata.

Ler a Política de privacidade
  • Encriptação TLS para dados em trânsito e encriptação AES-256 para dados em repouso.
  • Controlos de acesso baseados em funções e monitorização contínua contra acessos não autorizados.
  • Não vendemos informação pessoal.
  • Peça uma cópia, uma correção ou a eliminação dos seus dados em [email protected].

O que guardamos e como

Política de privacidade
Em trânsito · TLSEm repouso · AES-256Acesso por funções

  • Dados da conta

    Nome, email, empresa

    Na PapelShipEncriptado em repouso

  • Pagamentos com cartão

    Stripe, PayPal, WeePay

    No processadorNúmero completo não guardado

  • Dados de licença

    Chaves, HWID, eventos de validação

    Na PapelShipEncriptado em repouso

  • Dados de utilização

    Dispositivo, endereço IP, páginas vistas

    Na PapelShipEncriptado em repouso

Checkout e fraude

Os pagamentos de risco são travados antes de existir uma encomenda.

A proteção contra fraude está ativa por defeito. Cada tentativa que chega ao seu checkout é pontuada com base em sinais de IP, email, dispositivo e comportamento, e as suas regras decidem o que acontece a seguir.

Como funciona a proteção contra fraude
  • Uma pontuação de risco de 0 a 100 com base em tentativas repetidas, um mesmo email em vários IP ou dispositivos, muitos países e a sua lista de bloqueio.
  • São assinalados VPN, proxies, Tor, redes de alojamento, anonimizadores e o iCloud Private Relay.
  • Regras por IP, email, impressão digital do dispositivo e número de faturas, cada uma definida para bloquear, notificar ou apenas registar.
  • Por produto: bloquear compras por VPN e proxy, limitar as compras por cliente ou pedir um formulário de verificação.

Fraude

Mesmo dispositivo · 4 tentativas
Visão geralRegrasEventosBanimentos
  • j•••@mail.com18Permitida
  • k•••@mail.com41Permitida
  • m•••@mail.com66Notificada
  • r•••@mail.com88Bloqueada

Regra

A vigiar
Condição
Mais de 3 faturas do mesmo dispositivo
Ação
Bloquear e banir o IP e o navegador durante 24 h

Travada antes de ser criada uma encomenda.

Carteira cripto

Os levantamentos só vão para onde autorizar.

Os pagamentos em cripto vão para a sua própria carteira. A PapelShip aplica verificações a cada levantamento; manter a carteira e as respetivas chaves privadas seguras é da sua responsabilidade.

Pagamentos em cripto
  • Cada levantamento é aprovado com um código de utilização única associado ao endereço, ao montante e à moeda.
  • Uma lista de endereços e uma lista de permissões limitam os destinos dos fundos.
  • Os novos endereços de levantamento ficam ativos após um período de espera de 24 horas.
  • Para Bitcoin e Litecoin, ligue o seu xpub do Electrum ou do Sparrow. As suas chaves privadas nunca saem das suas mãos.

Levantar

A aguardar código
MoedaUSDT · TRC-20
Montante1.250,00 USDT
ParaCarteira do escritório
EndereçoTQ5m…8vRw

Código de utilização única

418027

Válido apenas para este endereço, este montante e esta moeda.

Lista de endereços

Lista de permissões ativa

  • Carteira do escritório

    TQ5m…8vRw
    Ativo

  • Armazenamento a frio

    bc1q…7kd2
    Ativo

  • Novo endereço

    0x8f…31c4
    Ativo em 24 h

Os fundos só podem ir para endereços da lista de permissões.

Proteção de software

A verificação da licença é feita nos nossos servidores, e não no seu binário.

O qPapel Auth decide se uma chave é válida, está ativa e associada ao hardware correto. Cada resposta é assinada, por isso um servidor falso não pode responder em nosso lugar.

Servidor legítimoProxy intermediário
  • troca de chavesX25519ok
  • assinatura do servidorEd25519verificada
  • canalChaCha20-Poly1305encriptado
  • licençaPAPEL-7F3K-91XAativa
  • hardware9F2C·A41E·07BDcoincide
  • chave de sessão4c1e…renovada
Cada mensagem encriptada e assinada.Sessão em execução
  • Troca de chaves X25519, assinaturas de servidor Ed25519 e encriptação ChaCha20-Poly1305 em cada mensagem.
  • As chaves de sessão são renovadas em cada sessão, e uma sessão pode ser bloqueada a um único endereço IP.
  • As chaves ficam associadas ao hardware do comprador. Outro PC com a mesma chave é recusado e registado.
  • Textos e ficheiros ficam no servidor e chegam apenas a uma sessão com licença válida.
  • Os endpoints de autenticação têm limite de pedidos, com limitação automática para tráfego abusivo.

A deteção de adulteração e o qPAnalyzer vigiam a máquina em que o software corre, desde depuradores e hooks inline até ferramentas de cracking renomeadas e personalizadas.

qPapel AuthqPAnalyzer

Contas e acessos

Conceda acesso sem entregar a sua conta.

Os inícios de sessão de administrador são protegidos com autenticação de dois fatores. Os restantes utilizadores têm apenas o acesso que concede, durante o tempo que escolher.

  • Os membros da equipa têm permissões próprias para ver, adicionar, editar e eliminar.
  • Os links de equipa têm âmbitos, limites de utilização e validade, e deixam de funcionar no momento em que os desativar.
  • Chaves de API com permissões de leitura e escrita por recurso, datas de validade e listas de permissões de IP.
  • Os webhooks são assinados com HMAC-SHA256, para que possa verificar que cada evento veio da PapelShip.
  • As ferramentas de IA ligam-se por MCP com OAuth, e as suas alterações ficam em rascunho até publicar.

Início de sessão admin

Dois fatores ativo
Palavra-passeCódigo de dois fatoresAmbos necessários para aceder ao painel

Chave de API · Sincronização de encomendas

Ativa
RecursoLeituraEscrita
  • Encomendas
  • Produtos
  • Clientes
  • Licenças
Expira31 jan 2027
Lista de permissões de IP203.0.113.24
Chamadas1.284 · 0 erros
WebhooksAssinados · HMAC-SHA256

Link de equipa · Suporte

Ativo

Âmbitos

Ver chavesRepor HWIDAdicionar tempo
ProdutosDemoApp
Utilizações12 / 50
ExpiraEm 30 dias
Palavra-passeObrigatória
Link ativo

Responsabilidade partilhada

Parte da segurança é nossa. Outra parte é sua. Eis quem trata de quê.

O que a PapelShip faz

  • Encriptar os dados em trânsito e em repouso, e limitar quem pode aceder a eles.
  • Encaminhar os pagamentos com cartão por processadores terceiros e nunca guardar números de cartão completos.
  • Pontuar as tentativas de pagamento e aplicar as regras que definiu.
  • Validar as licenças nos nossos servidores e limitar os pedidos aos endpoints de autenticação.
  • Analisar denúncias de abuso e de segurança e agir em conformidade.

O que lhe pedimos

  • Mantenha confidenciais os seus dados de acesso e as chaves secretas de API.
  • Avise-nos de imediato em [email protected] se notar um acesso não autorizado.
  • Mantenha a sua carteira cripto e as respetivas chaves privadas seguras.
  • Remova o acesso da equipa e dos revendedores assim que alguém deixar de precisar dele.
  • Recolha apenas os dados de que o seu software precisa através do bloqueio por HWID, das Definições remotas e das estatísticas.
Ler os Termos de serviço

Comunicar uma vulnerabilidade

Encontrou um problema de segurança? Diga-nos primeiro.

Siga a Política de divulgação de vulnerabilidades, atue de boa-fé e conceda-nos um prazo razoável para responder, e não avançaremos com ações legais pela sua investigação. Manteremos o seu contacto até o problema ser resolvido.

Âmbito

  • papelship.com e o painel
  • Checkout alojado e lojas em mypapel.com
  • A API, os webhooks e os servidores de autenticação do qPapel
  • Os SDK do qPapel para C++ e C#

Neste momento não temos um programa de recompensas pagas por erros. Para comunicar uma loja fraudulenta ou uma licença vazada, use Denunciar abuso.

Ler a política

Nova mensagem

Rascunho
Para[email protected]
AssuntoRelatório de segurança
  • O problema e o seu impacto potencial
  • URL, endpoint, versão do SDK ou componente afetados
  • Passos para reproduzir, com uma prova de conceito
  • Como prefere ser creditado
  1. Recebido
  2. Em investigação
  3. Resolvido

Perguntas e respostas

Mais sobre contas, dados e proteção no centro de ajuda.

Visitar o centro de ajuda

Não. Os pagamentos com cartão são processados por processadores terceiros, como Stripe, PayPal e WeePay, e a PapelShip não guarda números de cartão completos. O que guardamos está definido na Política de privacidade.

Não. Os pagamentos em cripto vão diretamente para a sua própria carteira. Os levantamentos são protegidos com códigos de utilização única, uma lista de permissões e um período de espera de 24 horas para novos endereços, mas manter a carteira e as respetivas chaves privadas seguras é da sua responsabilidade.

Nos servidores da PapelShip. O qPapel Auth decide aí se uma chave é válida, está ativa e associada ao hardware correto, e as chaves de sessão são renovadas em cada sessão. O seu binário também fica reforçado contra depuração e despejo de memória. Veja o qPapel Auth.

Sinais de segurança sobre o ambiente em que a sua aplicação corre, capturas de janelas assinaladas, uma captura do ambiente de trabalho se a ativar nas Definições remotas, e os binários que uma análise assinala. Tudo é apresentado no seu painel.

Envie um email para [email protected] de imediato. Os links de equipa deixam de funcionar no momento em que os desativar, por isso desative os que não reconhecer.

Envie um pedido através do formulário de contacto ou escreva para [email protected]. Podemos pedir-lhe que confirme primeiro a sua identidade.

Não temos um programa pago. Recebemos com gosto comunicações ao abrigo da Política de divulgação de vulnerabilidades, e pode dizer-nos como prefere ser creditado.

Use Denunciar abuso. Escolha uma categoria, adicione o URL e as provas que tiver, e a nossa equipa de Confiança e Segurança analisará o caso.