с использованием платежного шлюза и соответствия PCI

Question

Я рассматриваю возможность использования eWay в качестве платежного шлюза. Они предлагают два варианта. Один из них состоит в том, чтобы позволить пользователям вводить данные кредитной карты на веб-сайте, размещенном на eWay, а другой - использовать мою собственную форму и отправлять данные кредитной карты через мой сервер в eWays. Второй вариант (their page with details) кажется более подходящим для меня, так как пользователь никогда не покинет мой сайт, и брендинг будет сохранен. Теперь я говорил, чтобы поддержать, и они сказали, что мой сайт будет совместим с PCI, если я использую SSL. Поэтому в основном я могу позволить пользователям предоставлять номера CC на моем сайте и отправлять их в eWays через XML. Пока я не храню конфиденциальные данные, но передаю только это нормально. До сих пор я думал, что пока данные CC попадают на мой сервер, мой сайт должен быть совместим с PCI, но теперь я не уверен. Если бы кто-нибудь мог объяснить мне, как это действительно так, это было бы высоко оценено.

Answer 1

Если ваша система обрабатывает данные карты, то она входит в объем PCI и должна соответствовать требованиям PCI.

Вопрос: Кому применяется PCI?
A: PCI распространяется на все организации или продавцов, независимо от размера или числа сделок, что принимает, передает или магазинов любого владельца карты данных. Иначе говоря, если клиент этой организации когда-либо платит торговцу непосредственно с помощью кредитной или дебетовой карты, а затем требования PCI DSS применяются

http://www.pcicomplianceguide.org/pcifaqs.php

Edit; «eWays», поскольку ваш поставщик шлюза - это уровень 1, и его belholden для них, чтобы на самом деле обеспечить совместимость с PCI, поэтому его немного изворотливый, чтобы вы могли использовать SSL с помощью SSL.

Answer 2

Недавно мы осуществили транзакции кредитной карты для сайта электронной торговли с использованием другого поставщика платежных шлюзов. Это то, что мы узнали о соблюдении PCI DSS.

1. Если ваше требование бизнеса хранение информации о клиентах с их кредитной картой, то ваш сервер и сеть вокруг него должен быть PCI совместимого
2. Однако, если хранение информации о клиентах с данными кредитной карты не является критическим требованием, то вы используете ssl для поставщика платежных шлюзов. Они должны предоставлять средства для настройки формы, чтобы вы могли ее маркировать, чтобы отразить вашу компанию.

Подробные требования PCI DSS можно найти по этой ссылке PCI Data Security Standards

Answer 3

Похоже, вы получили много противоречивых ответов. Я работаю в платежной компании и прошел аудит поставщика услуг уровня 1, и ежедневно я занимаюсь торговцами и их требованиями к PCI, поэтому я думаю, что могу помочь вам разобраться в этом.

Реальность заключается в том, что вы должны быть совместимы с PCI, если принимаете кредитные карты, даже если вы передаете все функции данных держателя карты. Фокус в том, что стандарт, который вам нужно встретить, гораздо менее ограничительный, чем стандарт, который должен выполнить платежный шлюз, - но это не означает, что «PCI не применяется».Вам не нужно разбираться в действительно жестких требованиях к сетевой безопасности, но есть аспекты PCI DSS, которые вы должны соблюдать, и вам необходимо ежегодно проводить аудит самооценки. `

Подробнее о том, в какой части DSS вы должны иметь дело, goto https://www.pcisecuritystandards.org/saq/instructions_dss.shtml и щелкните по ссылке для SAQ Validation Type 1 (Questionnaire A). Это скажет вам, какие именно части PCI DSS вы должны реализовать в качестве торговца со всеми функциями держателей карт, переданными на аутсорсинг.

Надеюсь, что это поможет вам разобраться!

Answer 4

Короче говоря, если вы принимаете платежи (даже если вы полностью передаете их на аутсорсинг), вам необходимо быть совместимым с PCI. Самый большой фактор в определении того, сколько средств контроля безопасности вам необходимо выполнить, - это тип используемого вами платежного шлюза.

Я помог автору white paper for the Drupal community, но концепции применяются по всей доске. Я настоятельно рекомендую прочитать его. И если у вас есть обратная связь, сообщите о проблеме в очереди на выпуск github.