Sécurité

Des cautions sécurisées, sans que Kauti ne voie jamais une carte bancaire

Kauti organise la caution : le montant, les dates, les rappels, la libération. Tout ce qui touche à la carte — saisie, stockage, prélèvement — est confié à Stripe, l'un des prestataires de paiement les plus audités au monde.

Paiements traités par Stripe, certifié PCI DSS niveau 1
Aucun numéro de carte ne passe par Kauti
Société française, 980 073 704 RCS Paris

Moyens de paiement acceptés

Paiement sécurisé par Stripe

Le parcours d'une carte

Les données bancaires du locataire suivent un chemin qui ne croise jamais les serveurs de Kauti.

1
Le locataire saisit sa carte chez Stripe
Le champ de saisie affiché sur la page de caution est fourni et hébergé par Stripe. Le numéro, la date et le cryptogramme partent directement chez Stripe, sans passer par les serveurs de Kauti.
2
Sa banque l'authentifie
Lorsque la banque l'exige, le locataire confirme avec 3-D Secure, comme pour un achat en ligne, conformément à la directive européenne DSP2.
3
Kauti ne reçoit qu'une référence
Stripe renvoie un identifiant qui ne permet de rien faire hors du compte Stripe de la caution. Kauti ne stocke ni le numéro, ni la date d'expiration, ni le cryptogramme, ni même les quatre derniers chiffres.

Ce qui protège le locataire

Un locataire qui confie sa carte doit savoir exactement ce qui peut arriver à son argent. Les règles sont fixées avant qu'il ne s'engage, et Kauti les applique.

Une caution, pas un paiement

Enregistrer sa carte ne débite rien et ne bloque rien. Sans incident, la caution prend fin automatiquement à la date annoncée et la carte est effacée, sans démarche du locataire.

Un plafond accepté à l'avance

Avant d'enregistrer sa carte, le locataire voit le bénéficiaire, le montant maximal et les dates. Aucun encaissement ne peut dépasser ce montant.

Un encaissement encadré dans le temps

Le loueur ne peut prélever qu'après avoir déclaré un incident, et seulement le montant qu'il justifie. Faute de décision dans les 48 heures, la caution est libérée.

La preuve de ce qui a été accepté

Le texte des conditions présenté au locataire est conservé tel quel, avec son empreinte SHA-256, la date, l'heure et l'adresse IP de l'acceptation. Il n'est jamais modifié après coup.

Un e-mail à chaque étape

Le locataire est prévenu quand on lui demande sa carte, en cas de prélèvement et à la fin de la caution. Il peut répondre directement au loueur.

Ce que Kauti met en place

Des liens de caution impossibles à deviner

Chaque caution a son propre lien, tiré de 256 bits aléatoires. Il expire 30 jours après la libération et n'est ni mis en cache ni transmis aux sites tiers.

Une base de données verrouillée

Chaque compte ne lit que ses propres cautions. Aucune écriture n'est possible directement depuis un navigateur : toute modification passe par le serveur, qui vérifie les droits.

Des notifications Stripe authentifiées

Chaque notification de paiement reçue de Stripe est vérifiée par sa signature cryptographique avant d'être prise en compte, et traitée une seule fois.

Un accès par personne

Chaque collaborateur a ses propres identifiants. Le propriétaire du compte peut retirer un accès à tout moment depuis l'espace Compte.

Un historique de chaque caution

Création, enregistrement de la carte, incident, prélèvement, libération : chaque étape est datée et conservée.

Des échanges chiffrés

Tout le site est servi en HTTPS, imposé aux navigateurs (HSTS), avec des en-têtes qui empêchent notamment l'intégration de Kauti dans une page tierce.

Stripe, le prestataire de paiement

Stripe traite les paiements de millions d'entreprises dans le monde. Les données bancaires des locataires relèvent de ses garanties, qu'il publie et fait auditer.

PCI DSS niveau 1: Stripe est certifié prestataire de services PCI DSS de niveau 1, le niveau le plus strict du secteur des paiements, après audit par un auditeur certifié PCI indépendant.
Chiffrement: Les numéros de carte sont chiffrés en AES-256 et les clés de déchiffrement sont conservées sur des machines distinctes, dans une infrastructure isolée du reste de Stripe. Les échanges passent par HTTPS, en TLS 1.2 au minimum.
Audits indépendants: Les systèmes et contrôles de Stripe sont audités chaque année dans le cadre de rapports SOC 1 et SOC 2 de type II.
Surveillance continue: Stripe teste son infrastructure en permanence, avec des équipes de sécurité disponibles jour et nuit et un programme de récompense pour les failles signalées.

Source : la page sécurité de Stripe.