Ha az űrlapod fizetési adatokat gyűjt, szigorú biztonsági szabályok vonatkoznak rád, akár tudsz róla, akár nem. A Payment Card Industry Data Security Standard (PCI DSS) követelményeket állít mindenkinek, aki bankkártyaadatokat fogad, tárol vagy dolgoz fel. A PCI DSS megsértése napi több ezer dolláros bírsággal jár, plusz a felelősséggel, ha a kártyaadatokat ellopják.
A PCI DSS alapszabálya egyszerű. Soha ne tárolj magad nyers bankkártyaadatokat. Az érzékeny adatok elkerülése az űrlapokon és a megfelelő fizetésfeldolgozók használata védi a márkádat, a vevőidet, és megfelelővé tart.
Mit fogsz megtanulni: mi a PCI DSS, és mikor vonatkozik rád, milyen fizetési adatokat soha ne gyűjts, hogyan építs fel biztonságosan fizetési űrlapokat, hogyan használd helyesen a fizetésfeldolgozókat, és mit tegyél, ha már gyűjtöttél érzékeny adatokat.
Mi a PCI DSS?
A PCI DSS (Payment Card Industry Data Security Standard) a nagy bankkártya-társaságok által létrehozott biztonsági szabványok csoportja. Minden olyan cégre vonatkozik, amely bankkártyaadatokat fogad, tárol, továbbít vagy dolgoz fel.
A PCI DSS akkor vonatkozik rád, ha:
- Olyan webshopot üzemeltetsz, amely bankkártyát fogad
- Van egy űrlapod, amely fizetési adatokat gyűjt
- E-mailes számlákat használsz fizetési útmutatással
- Ismétlődő számlázáshoz tárolod a vevők fizetési adatait
- Bármelyik alkalmazottnak hozzáférése van bankkártyaadatokhoz
Azt gondolhatod, hogy nem vonatkozik rád a PCI DSS, ha fizetésfeldolgozót használsz, de te vagy a felelős azért, hogyan gyűjtöd az adatokat, mielőtt elérik a feldolgozót.
PCI DSS szintek és kinek kell megfelelnie
A PCI DSS megfelelési követelmények a feldolgozott tranzakciók mennyiségétől függően változnak:
1. szint: Évente 6 millió tranzakciónál többet feldolgozó cégek. Évente külső értékelőnek kell auditálnia. A legszigorúbb követelmények.
2. szint: Évente 1-6 millió tranzakciót feldolgozó cégek. Részletes önértékelést kell kitölteniük.
3. szint: Évente 20 000 és 1 millió közötti tranzakciót feldolgozó cégek. Önértékelést kell kitölteniük.
4. szint: Évente 20 000-nél kevesebb tranzakciót feldolgozó cégek. A legegyszerűbb követelmények. A legtöbb kisvállalkozás ide tartozik.
Még a 4. szintnek (kisvállalkozás) is szigorú követelményei vannak. Nem veheted át a bankkártyaadatokat, ahogy akarod.
A főszabály: soha ne tárolj nyers kártyaadatokat
A legfontosabb PCI DSS szabály: ne gyűjts és ne tárolj teljes bankkártyaszámot, lejárati dátumot vagy biztonsági kódot (CVV) a saját adatbázisodban vagy szervereiden.
SOHA ne gyűjts:
- Teljes bankkártyaszámot (PAN: Primary Account Number)
- Lejárati dátumokat
- Biztonsági kódokat (CVV/CVC)
SOHA ne tárold ezeket, még ha titkosítod is őket.
Ha az űrlapod gyűjti ezeket az adatokat, és te magad tárolod, megsérted a PCI DSS-t. A szankciók súlyosak:
- Havi 5000-100 000 dolláros bírság a meg nem felelésért
- Felelősség, ha a kártyaadatokat ellopják és csalárd módon használják
- Felelősség a csalási veszteségekért és az ügyfelek értesítésének költségeiért
- A bankkártya-feldolgozók visszavonhatják a fizetések fogadásának lehetőségét
Mit gyűjthetsz és tárolhatsz
Néhány fizetéssel kapcsolatos adat biztonságosan gyűjthető:
- Számlázási név és cím: Ellenőrzéshez és szállításhoz
- E-mail-cím: A nyugtához és a kommunikációhoz
- A kártyaszám utolsó 4 számjegye: Hivatkozásként (például "4242-re végződő fizetési mód"), de csak ha nem gyűjtöd a teljes számot
- Fizetési összeg és dátum: Nyilvántartáshoz
- A fizetésfeldolgozótól kapott tranzakcióazonosító: Egyeztetéshez és elszámoláshoz
A lényeg: tárolhatsz vevői adatokat, rendelési adatokat és hivatkozási számokat. A tényleges bankkártyaadatokat nem tárolhatod.
Hogyan kezeld biztonságosan a fizetési adatokat
Soha ne hozz létre egyedi fizetési űrlapot
Ne építs olyan űrlapot, amely közvetlenül gyűjt bankkártyaadatokat. Abban a pillanatban, hogy egy fizetési űrlap kártyaadatokat küld a szervered felé, te vagy felelős a PCI DSS megfelelésért.
Használj hosztolt fizetési oldalakkal rendelkező fizetésfeldolgozót
A fizetésfeldolgozók hosztolt fizetési oldalakat biztosítanak. Ezek olyan űrlapok, amelyek a feldolgozó biztonságos szerverein vannak, nem a tieden. Amikor a vevő kitölti a fizetési űrlapot, a kártyaadatok közvetlenül a feldolgozóhoz mennek. A szervered soha nem látja a teljes kártyaszámot.
Példa a folyamatra:
- A vevő kitölti a rendelési űrlapodat (név, e-mail-cím, szállítási cím)
- A vevő a "Fizetés" gombra kattint
- A böngésző átirányít a fizetésfeldolgozó biztonságos űrlapjára
- A vevő megadja a kártyaadatait a feldolgozó űrlapján
- A feldolgozó feldolgozza a fizetést, és értesítést küld neked
- Az űrlapod csak egy tranzakcióazonosítót kap, nem a kártyaadatokat
Soha nem kezeled a kártyaadatokat, így a PCI DSS megfelelés a feldolgozó felelőssége.
Használj iframe-et a fizetéshez
Egyes feldolgozók iframe-et biztosítanak, amelyet beágyazhatsz az űrlapodba. Az iframe valójában a feldolgozó biztonságos szervereire van hosztolva, de az oldalad részeként jelenik meg. A vevő egy egységes űrlapot lát, de a fizetési rész valójában a feldolgozó szervereken van.
Használj tokenizálást alkalmazó fizetési API-t
A fejlett fizetésfeldolgozók lehetővé teszik, hogy a JavaScript-könyvtárukkal gyűjts fizetési adatokat az űrlapodon. A könyvtár a vevő böngészőjében titkosítja az adatot, mielőtt eléri a szerveredet. Tokent (biztonságos hivatkozást) küld neked a tényleges kártyaadatok helyett. A tokent tárolod, nem a kártyát.
Ez gondos megvalósítást igényel, hogy elkerüld a titkosítatlan kártyaadatok kezelését. Csak akkor használd, ha teljesen értesz a folyamathoz.
Mit NE csinálj
Ne e-mailezz fizetési adatokat. Ne kérd a vevőket, hogy bankkártyaszámot küldjenek neked e-mailben. Az e-mail nem titkosított, és nem biztonságos.
Ne kérj CVV-t, ha tárolod a kártyát. Ha ismétlődő fizetésekhez tárolsz egy kártyát, nem szabad kérned vagy tárolnod a CVV-t. A CVV csak a fizetés pillanatában kell.
Ne gyűjts kártyaadatokat egy sima űrlapon, és ne küldd el magadnak e-mailben. Ez titkosítatlan e-mailben küld fizetési adatokat, ami a PCI DSS megsértése.
Ne tárolj kártyaadatokat táblázatban, szöveges fájlban vagy adatbázisban titkosítás nélkül. Ha már gyűjtöttél kártyaadatokat (amit nem kellett volna), titkosítanod kell őket, vagy azonnal törölnöd.
Ha már gyűjtöttél érzékeny fizetési adatokat
Ha van egy űrlapod, amely teljes bankkártyaszámokat vagy CVV-ket gyűjtött, azonnal állj le:
- Hagyd abba az adatgyűjtést. Azonnal vedd ki a kártyamezőket az űrlapból.
- Védd meg, amid van. Ha tároltál kártyaadatokat, titkosítsd vagy töröld őket.
- Válts fizetésfeldolgozóra. Állíts be megfelelő fizetési módot egy külső feldolgozóval.
- Értesítsd az érintett vevőket. Ha adatvédelmi incidensed volt, vagy ha a vevők kártyaadatai még tárolva vannak, értesítsd őket.
- Konzultálj jogi tanácsadóval. Ha biztonságtalanul gyűjtöttél kártyaadatokat, szabályozási kitettséged lehet. Kérj jogi tanácsot.
Tokenizálás: a fizetési módok biztonságos tárolásának módja
A tokenizálás az érzékeny fizetési adatok nem érzékeny hivatkozási számmal való helyettesítésének folyamata.
Tokenizálás nélkül: Az adatbázisodban a "4532-1234-5678-9010" számot tárolod.
Tokenizálással: A fizetésfeldolgozó tárolja a "4532-1234-5678-9010" számot, és ad neked egy tokent, például "tok_abc123def456". Te a tokent tárolod.
Amikor újra terhelni kell a kártyát (ismétlődő számlázáshoz), elküldöd a tokent a feldolgozónak. A feldolgozó a token segítségével előhívja az eredeti kártyaadatot, és feldolgozza a terhelést. Soha nem kezeled magát a kártyát.
A tokenek biztonságosan tárolhatók. A feldolgozó tudta nélkül nem használhatók fizetések feldolgozására, és nem fedik fel a kártyaszámot.
PCI DSS követelmények a fizetési űrlapokon túl
Még ha helyesen használsz is fizetésfeldolgozót, a PCI DSS-nek vannak más követelményei is:
- Védd a szervereidet. Frissítsd a szoftvert, használj tűzfalakat, korlátozd a hozzáférést.
- Használj erős jelszavakat. A fizetésfeldolgozó-fiókodhoz és az összes adminisztrátori fiókhoz.
- Titkosítsd az adatot átvitel közben és nyugalmi állapotban. Használj HTTPS-t, titkosítsd az adatbázisokat.
- Figyelj és auditálj. Naplózd a fizetéssel kapcsolatos rendszerekhez való hozzáférést, rendszeresen nézd át a naplókat.
- Képezd az alkalmazottakat. Mindenkinek, aki hozzáfér fizetési adatokhoz, biztonsági képzésre van szüksége.
- Felelj meg a hálózatbiztonsági szabványoknak. A PCI DSS 12 fő követelményt tartalmaz, amelyek a hozzáférés-szabályozást, a megfigyelést és az incidenskezelést fedik le.
Ha fizetéseket dolgozol fel, ismerkedj meg mind a 12 PCI DSS követelménnyel. Sok közülük túlmutat az űrlapbiztonságon.
Mit tesz a WEMASY a fizetési biztonságért
A WEMASY webshop-űrlapjai nem gyűjtenek és nem tárolnak nyers fizetési adatokat. Amikor fizetési űrlapot állítasz be a WEMASY-ban, az PCI-megfelelő fizetésfeldolgozókkal integrálódik. A fizetési űrlap átirányít a feldolgozó biztonságos rendszerére, vagy beágyaz egy, a feldolgozó által biztosított biztonságos iframe-et. Soha nem kezeled a kártyaadatokat, és a WEMASY sem tárolja őket. A vállalkozásod automatikusan megfelel a PCI DSS-nek.
Tudj meg többet arról, hogyan kezeli a WEMASY biztonságosan a fizetéseket, a fiókbeállításaidban vagy az árazási oldalon.