Maksājumu drošība: PCI un krāpšana

6. modulis: Pārvaldība un drošība · Lasīšanas laiks: 11 min.

Mērķis: Pēc šīs nodarbības Jūs varēsiet izskaidrot, kāpēc interneta veikals nekad pats neapstrādā karšu datus, ko PCI DSS un SAQ A nozīmē nelielam interneta veikalam, kā aizsargāt pasūtījuma noformēšanas lapu un kā atpazīt un ierobežot krāpšanu un karšu testēšanu (card testing).

Pamatjēdzieni: PCI DSS, karšu dati, maksājumu pakalpojumu sniedzējs, pāradresēšana uz maksājumu lapu, iegulta maksājuma veidlapa (iframe), SAQ A, skripti pasūtījuma noformēšanas lapā, e-skimming, https, HSTS, karšu testēšana (card testing), pieprasījumu skaita ierobežošana (rate limiting), captcha, 3-D Secure, maksājuma atcelšana (chargeback), krāpšanas risks

Karšu datiem nav vietas Jūsu interneta veikalā

Kredītkartes numurs, derīguma termiņš un drošības kods noziedzniekiem ir zelta vērtē. Kas tos glabā vai nodod tālāk, uz to attiecas PCI DSS (Payment Card Industry Data Security Standard), karšu organizāciju drošības standarts. Pašreizējā versija ir v4.0.1. Uzņēmumam, kas karšu datus apstrādā pats, tas ir pamatīgs prasību kopums: tīkla nodalīšana, žurnāli, skenēšana, pārbaudes, ko veic atzīta puse.

Nelielam interneta veikalam tajā iesaistīties negribas, un tas arī nav vajadzīgs. Pamatnoteikums: karšu dati nekad nenonāk Jūsu interneta veikalā. Klients tos ievada pie Jūsu maksājumu pakalpojumu sniedzēja (Mollie, Stripe, PayPal, WooPayments vai cita, nodarbība 4.4). Pēc tam interneta veikals uzzina tikai to, vai ir samaksāts vai nav, kopā ar identifikatoru. Ne kartes numuru, ne kodu. Tas nozīmē arī:

• nekad neveidojiet savu veidlapas lauku karšu numuriem, arī ne "tikai uz brīdi, pasūtījumam pa tālruni";
• nekad nepieņemiet karšu datus pa e-pastu, tērzēšanā vai pa tālruni un nepierakstiet tos piezīmē pie pasūtījuma;
• neizmantojiet spraudni, kas glabā karšu datus Jūsu pašu datubāzē.

Pāradresēšana vai iegulšana: SAQ A

Nelieli interneta veikali ar SAQ (Self-Assessment Questionnaire, pašnovērtējuma anketa) apliecina, ka atbilst PCI DSS. Jūsu maksājumu pakalpojumu sniedzējs to dažkārt pieprasa. Vieglākā ir SAQ A, interneta veikaliem, kas maksājumu pilnībā nodod ārpakalpojumā. Interneta veikalā tas var darboties divos veidos:

1. Pāradresēšana. Pēc "pasūtīšanas" klients nonāk maksājumu pakalpojumu sniedzēja maksājumu lapā un pēc tam atgriežas. Interneta veikals karšu datus nekad neredz, arī ne lapu, kurā tie tiek ievadīti.
2. Iegulta veidlapa. Maksājuma lauks atrodas Jūsu pasūtījuma noformēšanas lapā, bet tas ir maksājumu pakalpojumu sniedzēja iframe (lapas fragments). Karšu dati no pārlūkprogrammas nonāk tieši pie maksājumu pakalpojumu sniedzēja.

Kopš 2025. gada 31. marta ir spēkā jauna SAQ A versija. Tajā ir nosacījums, kas galvenokārt skar otro veidu: kas izmanto iegultu veidlapu, tam jāapliecina, ka vietne nav pakļauta uzbrukumiem ar skriptiem, kas var ietekmēt maksājumu sistēmu. Pamatā ir e-skimming: ļaunprātīgs skripts Jūsu pasūtījuma noformēšanas lapā, kas nolasa to, ko klients ievada, vai uzliek viltotu maksājuma lauku virs īstā. Kas pāradresē uz maksājumu pakalpojumu sniedzēja lapu, uz to šis nosacījums neattiecas. Pajautājiet savam maksājumu pakalpojumu sniedzējam, kura SAQ attiecas uz Jūsu savienojumu; tas to zina precīzi.

Ko darīt jebkurā gadījumā:

• Uzturiet pasūtījuma noformēšanas lapu vienkāršu. Katrs skripts šajā lapā principā var nolasīt datus: tērzēšanas logrīki, tagu pārvaldnieki, reklāmas pikseļi, A/B testēšanas rīki. Pasūtījuma noformēšanas lapā ielādējiet tikai to, kas nepieciešams maksājumam. Tagu pārvaldnieks pasūtījuma noformēšanas lapā ir vārti, pa kuriem ikviens ar piekļuvi šim kontam var pievienot skriptus.
• Maz spraudņu, un tie atjaunināti (nodarbība 6.2). Lielākā daļa e-skimming WordPress vietnēs iekļūst caur spraudņa ievainojamību vai nozagtu administratora paroli.
• Content-Security-Policy (galvene, kas nosaka, no kuriem domēniem drīkst ielādēt skriptus) ierobežo kaitējumu, ja kaut kas tomēr iekļūst. Tas ir darbs kādam, kurš to prot pārbaudīt; nepareiza CSP sabojā Jūsu maksāšanas pogu.

https un HSTS pasūtījuma noformēšanas lapā

Tas, ka viss Jūsu interneta veikals darbojas ar https, ir pašsaprotami (WordPress kursa nodarbība 3.1). Pasūtījuma noformēšanas lapai klāt nāk vēl divas lietas:

• http jāpāradresē uzreiz uz https, ar pastāvīgu pāradresāciju (301 vai 308). Klientam, kurš kādreiz ievada http://shop.example.com/afrekenen/, nedrīkst parādīties nešifrēta lapa.
• HSTS (HTTP Strict Transport Security) ir galvene, ar kuru Jūs uzdodat pārlūkprogrammai kādu laiku atvērt Jūsu vietni tikai ar https. Tā Jūs novēršat, ka kāds atvērtā Wi-Fi tīklā pārtver pirmo nešifrēto pieprasījumu. max-age vismaz 180 dienas ir ierasts minimums. Ieslēdziet HSTS tikai tad, kad viss, arī apakšdomēni, kurus iekļaujat, darbojas ar https: pārlūkprogramma, kas ir redzējusi HSTS, pēc tam atsakās no http. KB 6752 paskaidro, kā to iestatīt.

Jaukts saturs (skripts vai stila lapa ar http https lapā) pasūtījuma noformēšanas lapā ir īpaši bīstams: tieši šādu failu var aizstāt pa ceļam.

Karšu testēšana (card testing)

Karšu testēšanā (card testing) noziedznieki izmanto Jūsu interneta veikalu, lai izmēģinātu nozagtus karšu numurus. Viņi automātiski veic simtiem nelielu pasūtījumu. Katrs izdevies maksājums viņiem pavēsta, ka karte darbojas. Jūs saņemat kaudzi neizdevušos pasūtījumu, maksas par katru darījumu, maksājumu atcelšanas un sliktākajā gadījumā maksājumu pakalpojumu sniedzēju, kas bloķē Jūsu kontu.

Kā atpazīt: daudz pasūtījumu īsā laikā, bieži vien viena un tā paša lēta produkta, ar dažādiem vārdiem, bet vienādām vai dīvainām adresēm, un daudz pasūtījumu ar statusu Neizdevās.

Kā ierobežot:

• Pieprasījumu skaita ierobežošana (rate limiting, robeža pieprasījumu skaitam laika vienībā). WooCommerce Store API, ko izmanto groza un pasūtījuma noformēšanas bloki, ir iebūvēta pieprasījumu skaita ierobežošana, bet tā pēc noklusējuma ir izslēgta. Sadaļā WooCommerce > Iestatījumi > Uzlabots > Iespējas varat ieslēgt "Rate limiting Checkout block and Store API" pasūtījumu veikšanai. Ar kodu (filtru) varat robežu iestatīt pats; noklusējums ir 25 pieprasījumi 10 sekundēs, un tiek skaitīta tikai pasūtīšana un citas rakstīšanas darbības. Ja Jūsu interneta veikals atrodas aiz starpniekservera (proxy) vai CDN, jāieslēdz starpniekservera atbalsts, citādi visi apmeklētāji tiek skaitīti kā viens.
• Captcha vai līdzīgs šķērslis pasūtījuma noformēšanā. WooCommerce pats norāda, ka pieprasījumu skaita ierobežošana un captcha vislabāk darbojas kopā: uzbrucēji bieži maina IP adresi.
• Jūsu maksājumu pakalpojumu sniedzēja iestatījumi. Maksājumu pakalpojumu sniedzējiem ir savi krāpšanas filtri un limiti. Ieslēdziet tos un sekojiet, ko tie ziņo.
• 3-D Secure (papildu apstiprinājums bankas lietotnē, daļa no stingras klienta autentifikācijas ES) apgrūtina noziedzniekus un strīda gadījumā bieži vien pārnes atbildību uz kartes turētāja banku.

Cita krāpšana

Ne katra krāpšana ir automatizēta. Pazīmes, kas kopā dod iemeslu nedaudz nogaidīt ar nosūtīšanu:

• rēķina un piegādes adrese dažādās valstīs vai piegādes adrese pie pārsūtīšanas pakalpojuma;
• pirmais pasūtījums tikai ar dārgiem, viegli pārdodamiem produktiem un ar steidzamu piegādi;
• vairāki mēģinājumi ar dažādām kartēm;
• klients, kurš pēc samaksas lūdz nosūtīt uz citu adresi.

Maksājuma atcelšana (chargeback) ir kartes maksājuma apgriešana, ko veic klienta banka. Jūs zaudējat summu, bieži vien ar papildu izmaksām, un produkts ir prom. Tāpēc glabājiet nosūtīšanas un piegādes pierādījumus. iDEAL maksājumu (Nīderlande) līdz šim nevarēja šādi apgriezt; kā tas notiek ar Wero, uzziniet no sava maksājumu pakalpojumu sniedzēja (nodarbība 4.4). Latvijā kā maksājumu metodes izmanto internetbankas maksājumus un maksājumu kartes; kartes maksājumiem maksājuma atcelšana ir iespējama.

Kopsavilkums

• Karšu dati nekad nenonāk Jūsu interneta veikalā: ne veidlapās, ne piezīmēs, ne e-pastos. Tos apstrādā maksājumu pakalpojumu sniedzējs.
• Pāradresēšana uz maksājumu lapu vai maksājumu pakalpojumu sniedzēja iegults lauks ļauj Jums palikt pie vieglākās PCI anketas (SAQ A); ar iegultu lauku Jūsu pasūtījuma noformēšanas lapai jābūt aizsargātai pret skriptu uzbrukumiem.
• Uzturiet pasūtījuma noformēšanas lapu vienkāršu, ar https, ar 301 no http un ar HSTS vismaz 180 dienas.
• Karšu testēšanu ierobežo ar pieprasījumu skaita ierobežošanu (pēc noklusējuma izslēgta), captcha un maksājumu pakalpojumu sniedzēja filtriem.
• Pievērsiet uzmanību krāpšanas pazīmēm un glabājiet piegādes pierādījumus pret maksājumu atcelšanu; Latvijā tas īpaši attiecas uz maksājumiem ar maksājumu kartēm.

Tests (quiz)

Uzdevums

Uzdevums A6.3: Vai Jūsu pasūtījuma noformēšanas lapa ir droša? Ievadiet sava interneta veikala adresi un savas pasūtījuma noformēšanas lapas adresi. Programma pārbauda sertifikātu, pieprasa pasūtījuma noformēšanas lapu ar http (bez pāradresācijas) un ar https (ar tukšu grozu, nekas netiek pasūtīts). Zaļš, ja sertifikāts ir derīgs, http ar 301 vai 308 pāradresē uz https, galvenei Strict-Transport-Security ir max-age vismaz 180 dienas, nav jaukta satura un skriptus lapā ielādē ne vairāk kā pieci citi domēni (programma tos parāda). Oranžs, ja nav HSTS vai tā ir pārāk īsa, ir pagaidu pāradresācija (302 vai 307), vairāk nekā pieci skriptu domēni vai tagu pārvaldnieks, vai kartes numura lauks pašu HTML, nevis pie maksājumu pakalpojumu sniedzēja. Sarkans, ja https vai sertifikāts nav kārtībā, http nepāradresē vai skripti vai stila lapas tiek ielādētas ar http. Nekad neglabājiet karšu datus paši. Šī pārbaude redz tikai to, kas lapā ir bez groza.

Jautājums Jums pašiem (netiek vērtēts): vai Jūsu maksājumu spraudnis pāradresē uz maksājumu pakalpojumu sniedzēju, vai maksājuma lauks atrodas Jūsu lapā? Kura SAQ ir piemērojama pēc Jūsu maksājumu pakalpojumu sniedzēja teiktā?

Zaļa atzīme nozīmē, ka šī pārbaude pašlaik ir kārtībā, nevis to, ka Jūsu interneta veikals ir drošs.

Papildu lasāmviela

Darbības panelī attiecas uz WebOké; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.

• Bezmaksas WordPress kurss 3.1: Https un sertifikāts
• HSTS un drošības galvenes Jūsu tīmekļa vietnei
• Obligāti novirzīt apmeklētājus uz https
• DirectAdmin rokasgrāmata 6.4: Apmeklētājus vienmēr novirzīt uz https
• Bezmaksas kurss Droši tiešsaistē uzņēmējiem 4.2: Jūsu tīmekļa vietne: https, HSTS un drošības galvenes
• SAQ A atjauninājumi (PCI Security Standards Council, angļu valodā): https://blog.pcisecuritystandards.org/important-updates-announced-for-merchants-validating-to-self-assessment-questionnaire-a
• Store API pieprasījumu skaita ierobežošana (developer.woocommerce.com, angļu valodā): https://developer.woocommerce.com/docs/apis/store-api/rate-limiting/
• Card testing attacks and the Store API (developer.woocommerce.com, angļu valodā): https://developer.woocommerce.com/2024/12/18/card-testing-attacks-and-the-store-api/