Чтобы упростить complext тему (компенсация безопасности & регулирование) совсем немного, надеюсь, не опуская критические биты:
Самый большой набор правил, которые торговцы обычно получают «удар», с которыми PCI требования, к которым предъявляются требования из карточных сетей, как следует обрабатывать информацию о карте для защиты целостности этих сетей и счетов держателей карт.
Самый простой способ избежать этих требований - убедиться, что «вы» (ваш код, ваш веб-сайт, ваши администраторы и т. Д.) Абсолютно не касаются (см., Переносят, сохраняют) либо номер карты, либо «высокий value token "(это то, что можно перевести на номер карты или использовать для полной замены номера карты). Номер зашифрованной карты - это токен высокой ценности. «Ручка» или «учетная запись» или что-то другое, что они называют это из карточного процессора (например, полоса, braintree, cybersource), является маркером с высокой стоимостью, если его можно использовать для произвольной зарядки этой карты (в основном, чтобы сделать все, делать).
PayPal email & пароль (или PIN-код) не являются технически «маркером с высокой стоимостью» в глазах сетевой карты, поскольку они предоставляют доступ к учетной записи PayPal, а не к карте, но это так же опасно (если не moreso), и собственный эквивалент PCI-правил PayPal диктует, что вы никогда не сможете коснуться этой информации. Поэтому, когда логин PayPal не подлежит PCI, подумайте об этом.
Таким образом, самый простой способ избежать этой трясины - НИКОГДА не касаться чего-либо подобного, и просто деньги появляются в вашей учетной записи. Вы можете прикоснуться к деньгам :-).
Но это не разрешает перезарядку/периодические платежи/etc. Поэтому иногда этого недостаточно.
К счастью, ограниченный токен не так опасен и поэтому не подвергается такому же вниманию, что и «высокоценный» токен. Что такое ограниченный токен? Это токен, который НЕ МОЖЕТ использоваться для произвольной зарядки исходной учетной записи (и не может быть обменен на или на номер базовой карты).
Ограниченного маркер может быть использован для зарядки счета, но только при условии соблюдения определенных условий, как правило, в том числе только платежей конкретного торговца (вы) и, возможно, дополнительные ограничения, такие как общая сумма расходов и/или временной период.
Некоторые примеры:
Многие процессоры позволяют использовать идентификатор транзакции, чтобы сделать Followup сделки, в том числе rebilling клиента за дополнительную плату. Но поскольку использование ограничено таким образом, удерживание идентификаторов транзакций не подвергает вас PCI (или эквивалентам).
Периодические платежи «соглашения о выставлении счетов» или «соглашения о подписке» от PayPal или других поставщиков платежей, одна и та же сделка: несколько платежей, но ограниченных по своей природе; нет PCI.
В любом случае: любой токен, которому вы можете получить вас, также разрешено поддерживать. Поэтому, если вы можете установить соглашение о возврате платежей, вам также разрешено хранить этот токен соглашения, чтобы вы могли его отменить (и выполнять любые другие операции, которые поддерживает токен, например, перезагрузка, настройка терминов и т. Д.).
Два других предостережений, кратко:
1) Соблазнительно сказать, что до тех пор, пока у вас есть «маркер» вместо номера карты (или PayPal счета мандатную), что вы освобождены от правил PCI. Это неправда! Остерегайтесь значащих токенов, которые теоретически можно обменять на номера карт или использовать их полностью эквивалентно. Убедитесь, что у вас есть ограниченные токены для соответствия нормативным требованиям, а также для вашей безопасности и безопасности ваших клиентов. Вы НЕ хотите быть следующим (mini-) источником прорыва карты. Черные шляпы не очень мотивированы, чтобы взломать ваш сайт, если все, что он содержит, это жетоны, которые могут быть использованы только для распространения чужой подписки на вашу игру. Но если у вас есть кредитные карты ... игра включена.
2) Вам следует следовать рекомендациям по защите ваших клиентов, даже если PCI не применяется. Обратите особое внимание на два атак:
Во-первых, ваша интеграция платежей. Ваши клиенты, вероятно, будут вводить что-то чувствительное (номер карты, логин и т. Д.) Где-то в этом процессе. Если это произойдет, ваш сайт станет отличным началом и поможет с PCI ... но ваш бизнес все равно будет взрываться и потенциально может иметь юридическую ответственность, если ваша страница, перенаправляющая на PayPal, взломается и перенаправляет ваших клиентов на поддельный сайт PayPal. Или если вы попытаетесь стать умнее и поместите страницу PayPal в iframe (или другой механизм интеграции, который нарушает требования PayPal), и ваша страница будет взломана с помощью атаки на межсайтовый скриптинг, которая захватывает логины или номера карт PayPal. И т. Д.
Второй вектор атаки, который вы должны защитить, даже если вы никогда не получали платежи, - это кража учетной записи пользователя и информации для входа. Очевидно, что если у вас есть база данных, полная кредитных карточек, то вы являетесь целью. Это может быть менее очевидно, но любая база данных с паролями полезна для хакеров, учитывая, как часто люди обмениваются паролями через сайты. Даже если вы не крадете свой файл паролей, для проверки комбинаций электронной почты и паролей, которые затем могут быть опробованы на других сайтах, можно использовать неудачную страницу входа, которая позволяет бесконечные повторы. И даже любая база данных с именами пользователей & адресов электронной почты ценна, потому что черные шляпы могут использовать это для создания гораздо более убедительных атак типа «копье-фишинг».
Одним словом, чем меньше информации вы коснетесь (и особенно того, что вы храните), тем меньше вы являетесь целью и безопаснее всех, но безопасность в значительной степени всегда является предметом рассмотрения. Поэтому избегайте номеров карт (и, следовательно, PCI), но не останавливайтесь на достигнутом: продолжайте работать, чтобы защитить своих клиентов.
Спасибо, еще не решили мою проблему, но обзор помогает :) – swK
С удовольствием помогаем с большей детализацией, но я не видел никаких конкретных вопросов, кроме как избежать беспорядка безопасности. Можете ли вы уточнить, что еще вам нужно? – geewiz