Habilitar el acceso a datos de tarjetas sin procesar
Para dirigir los pagos a través de tu cuenta de Stripe, Dodo Payments envía los datos de la tarjeta a Stripe en tu nombre mediante las raw card data APIs de Stripe. De forma predeterminada, una cuenta de Stripe no puede enviar números de tarjeta sin procesar (PAN) a sus APIs. Stripe habilita este acceso solo después de confirmar que los sistemas que gestionan datos de tarjetas sin procesar cumplen con PCI DSS. Con BYOP, el sistema que gestiona los datos de tarjetas es Dodo Payments, que cumple con PCI DSS Level 1, por lo que demuestras el cumplimiento con la certificación de Dodo Payments en lugar de con la tuya. Solicitas este acceso una vez por cuenta. Cuando solicitas acceso, Stripe pide una breve descripción de cómo se gestionan los datos de las tarjetas. Indica que Dodo Payments, tu proveedor de pagos conforme a PCI DSS Level 1, procesa los datos sin procesar de las tarjetas y que tus propios sistemas nunca almacenan ni manipulan números de tarjeta sin procesar. Como externalizas completamente la gestión de tarjetas a Dodo Payments, no necesitas tu propio SAQ D si cumples los requisitos para el SAQ A. Envía tu propio SAQ A, indicando a Dodo Payments como proveedor de servicios externo en la Parte 2f, e incluye la Dodo Payments Attestation of Compliance (AOC) como prueba de respaldo:Dodo Payments PCI DSS Attestation of Compliance (AOC)
Descarga el AOC actual de Dodo Payments y preséntalo a Stripe cuando solicites acceso a los datos de tarjetas sin procesar.
Enabling access to raw card data APIs
Guía de Stripe para solicitar acceso a las API de datos de tarjetas sin procesar en tu cuenta.
Lo que necesitarás
Después de que Stripe confirme el acceso a los datos de tarjetas sin procesar, conecta Stripe en Settings → BYOP. Necesitas dos valores de tu Stripe Dashboard:Stripe mantiene separadas las credenciales del sandbox (prueba) y del modo live. Usa un sandbox de Stripe para el modo de prueba de Dodo Payments y el modo live de Stripe para el modo live de Dodo Payments.
Paso 1: Obtén tu Secret Key
1
Open API Keys
En Stripe Dashboard, abre la página API keys. Cambia entre el sandbox y el modo live para que coincida con el modo de Dodo Payments que estás configurando.
2
Copy Your Secret Key
Copia la Secret key. En un sandbox comienza con
sk_test_ y en el modo live, con sk_live_. Usa una Secret key estándar: las claves restringidas (rk_...) no son compatibles. En el modo live, Stripe muestra una Secret key que solo puedes crear una vez, así que cópiala antes de cerrar el diálogo.Pega la clave en el campo Secret Key de Dodo Payments.Paso 2: Configura el webhook y el Signing Secret
Cuando guardas la conexión de Stripe, Dodo Payments genera una URL de Webhook Endpoint. Añádela a Stripe como endpoint de webhook y, después, copia el signing secret del endpoint.1
Create an Event Destination
En Stripe Dashboard, abre la pestaña Webhooks en Workbench y selecciona Create an event destination. Selecciona Your account y, después, todos los eventos. Dodo Payments necesita que el endpoint reciba todos los tipos de eventos.
2
Add the Endpoint URL
Selecciona Webhook endpoint como tipo de destino. En Endpoint URL, pega la URL de Webhook Endpoint que generó Dodo Payments. Stripe solo acepta URLs HTTPS accesibles públicamente.
3
Reveal the Signing Secret
En la página de configuración del endpoint, selecciona Reveal secret para ver el Signing secret. Comienza con
whsec_. Cada endpoint tiene su propio secret, por lo que los endpoints del sandbox y del modo live tienen secrets diferentes.4
Paste the Signing Secret into Dodo
En Settings → BYOP, pega el signing secret en el campo Webhook Signing Secret y selecciona Save & continue para finalizar la conexión.
Set up BYOP
Sigue el flujo completo de configuración de Bring Your Own Processor.
Preguntas frecuentes
Do I need my own PCI certification (SAQ D)?
Do I need my own PCI certification (SAQ D)?
No, si cumples los requisitos para el SAQ A. Dodo Payments gestiona los datos de las tarjetas sin procesar en tu nombre y cumple con PCI DSS Level 1, por lo que debes enviar tu propio SAQ A, indicando a Dodo Payments en la Parte 2f, junto con la Dodo Payments Attestation of Compliance (AOC), en lugar de completar el SAQ D o realizar una auditoría independiente.
Why doesn't Stripe enable this by default?
Why doesn't Stripe enable this by default?
Enviar números de tarjeta sin procesar a una API incluye al sistema emisor en el alcance de PCI DSS. Stripe requiere una prueba del cumplimiento de PCI antes de habilitar las API de datos de tarjetas sin procesar, para garantizar que los datos de los titulares de tarjetas permanezcan protegidos. Dodo Payments cumple con PCI DSS Level 1, por lo que proporcionas la AOC de Dodo Payments como prueba.
Can I test BYOP before getting live approval?
Can I test BYOP before getting live approval?
Sí. Solicita a Stripe que habilite las API de datos de tarjetas sin procesar en el modo de prueba, que no requiere documentación de PCI, y conecta Stripe en modo de prueba en Dodo Payments. Necesitas la aprobación del modo live antes de procesar pagos reales.
I lost my secret key or signing secret, what now?
I lost my secret key or signing secret, what now?
Para volver a ver el signing secret, abre el endpoint de webhook en Stripe y selecciona Reveal secret. Para actualizarlo en Dodo Payments, abre Settings → BYOP, selecciona Edit Configuration, edita la conexión de Stripe, pega el secret en Webhook Signing Secret y selecciona Save & continue.Si pierdes una Secret key del modo live que hayas creado, Stripe no puede volver a mostrarla, así que rótala o crea una nueva clave en la página API keys. El dashboard de Dodo no permite cambiar una Secret key guardada. Para reemplazar la Secret key en una conexión existente, contacta con support@dodopayments.com.