необходимо сохранить информацию о кредитной карте. Каков мой лучший вариант?

Question

Я строию сайт аукциона, который взимает небольшую плату за каждую заявку. Существует возможность купить банк предложений, и есть возможность оплачивать отдельно для каждой заявки.

При оплате каждой заявки - я не хочу просить пользователя повторно вводить информацию о кредитной карте каждый раз. С другой стороны, я, конечно, не хочу хранить информацию о кредитной карте в БД, и я прочитал, что сохранить ее как сессионную переменную небезопасно, не говоря уже о куках.

Клиентская кредитная карточка не может хранить кредитную информацию. Все данные cc вводится пользователем под SSL, конечно.

Итак, возможно ли это? Есть ли безопасный (/ более безопасный) способ хранения информации cc в сеансе?

Благодаря

Answer 1

есть части информации о кредитной карте, которые можно хранить в базе данных, но это не включает CVV2 данные (3 значный код на обратной стороне карты). Я считаю, что вся информация, которую вы можете хранить, должна быть зашифрована - ознакомьтесь с информацией здесь https://www.pcisecuritystandards.org/index.shtml

В моем опыте мне было проще просто настроить систему в реальном времени и просто заставить клиента каждый раз заполнять свои данные - я нашел, что это будет намного меньше хлопот

Answer 2

Большинство платежных шлюзов теперь предоставляют услугу теперь, когда вы отправляете данные о карте, и они возвращают идентификатор маркера. Если вы хотите выполнить авторизацию или принять окончательный платеж против карты, вы просто отправляете идентификатор маркера. Это чрезвычайно полезно для облегчения бремени PCI-DSS, которое приходит с помощью платежей по карте, поскольку вы храните только доброкачественный идентификатор токена, а не какую-либо информацию о карте.

Это позволит вам фиксировать данные карты один раз, а затем разрешать так часто, как вам нравится. Стоит сохранить частоту как можно ниже, поскольку шлюз оплаты обычно будет взимать плату за авторизацию.

Имея это в виду, насколько часты заявки? Может стоить суммировать ежедневные ставки, которые пользователь делает, а затем разрешать/взимать плату за них ежедневно/еженедельно/ежемесячно или когда наступает определенное пороговое значение.