Maksājumu drošība Jūsu tiešsaistes veikalā: PCI, card testing un ko dara Jūsu hostinga pakalpojumu sniedzējs
Tiem, kas saņem tiešsaistes maksājumus, jārēķinās ar karšu uzņēmumu drošības noteikumiem (PCI DSS), ar noziedzniekiem, kuri vēlas nozagt karšu datus, un ar card testing: nozagtu karšu izmēģināšanu Jūsu veikalā. Šajā rakstā paskaidrots, ko tas nozīmē nelielam tiešsaistes veikalam, ko Jūs darāt pats un ko Jūsu hostinga pakalpojumu sniedzējs Jūsu vietā gan nokārto, gan nenokārto.
Galvenais noteikums: karšu dati nekad nenonāk Jūsu veikalā
Kartes numuru, derīguma termiņu un drošības kodu klients ievada pie Jūsu maksājumu pakalpojumu sniedzēja, nevis Jūsu paša veikalā. Jūsu veikals saņem tikai informāciju par to, vai maksājums ir veikts. Tas arī nozīmē:
- nekad neveidot pašam savu formas lauku kartes numuriem, arī ne telefoniskam pasūtījumam;
- nekad nepieņemt karšu datus pa e-pastu, tērzēšanu vai telefonu un neierakstīt tos piezīmēs pie pasūtījuma;
- nelietot spraudni, kas karšu datus saglabā Jūsu paša datubāzē.
PCI DSS un SAQ A vienkāršā valodā
PCI DSS (Payment Card Industry Data Security Standard) ir karšu uzņēmumu drošības standarts; pašreizējā versija ir v4.0.1. Uzņēmumam, kas pats apstrādā karšu datus, tādēļ jāizpilda plašs prasību kopums. Neliels veikals, kas maksājumu pilnībā nodod ārpakalpojumā, to apliecina ar īsu anketu: SAQ A (Self-Assessment Questionnaire A). Jūsu maksājumu pakalpojumu sniedzējs to dažkārt pieprasa.
Ārpakalpojumu izmantošanai ir divi veidi:
- Novirzīšana: pēc pasūtījuma veikšanas klients tiek novirzīts uz pakalpojumu sniedzēja maksājumu lapu un pēc tam atpakaļ.
- Iegults maksājumu lauks: maksājumu lauks atrodas Jūsu norēķinu lapā, bet ir pakalpojumu sniedzēja lapas daļa (iframe).
Kopš 2025. gada 31. marta ir spēkā jauna SAQ A versija. Tiem, kas izmanto iegultu maksājumu lauku, jāapstiprina, ka Jūsu vietne nav pakļauta uzbrukumiem ar skriptiem, kas var ietekmēt maksājumu. Uz novirzīšanas gadījumiem šis nosacījums neattiecas. Jautājiet savam maksājumu pakalpojumu sniedzējam, kura anketa attiecas uz Jūsu savienojumu.
Norēķinu lapas aizsardzība
- Uzturiet norēķinu lapu vienkāršu. Jebkurš skripts šajā lapā principā var lasīt to, ko klients ievada (e-skimming): tērzēšanas logrīki, tagu pārvaldītāji, reklāmu pikseļi. Ielādējiet tur tikai to, kas nepieciešams maksājumam.
- Maz spraudņu, un vienmēr atjauninātu. Ļaunprātīgi skripti parasti nokļūst sistēmā caur ievainojamību spraudnī vai nozagtu administratora paroli.
- https visur, ar novirzīšanu no http uz https un HSTS. Skatiet Apmeklētāju obligāta novirzīšana uz https un HSTS un drošības galvenes Jūsu vietnei.
Card testing atpazīšana un ierobežošana
Veicot card testing, noziedznieki automātiski veic daudz nelielu pasūtījumu, lai noskaidrotu, kuras nozagtās kartes darbojas. To var atpazīt pēc liela pasūtījumu skaita īsā laikā, bieži par vienu un to pašu lētu produktu, ar dažādiem vārdiem un daudziem pasūtījumiem ar statusu Neveiksmīgs. Tas rada darījumu izmaksas un atmaksājumus, un sliktākajā gadījumā Jūsu maksājumu pakalpojumu sniedzējs bloķē Jūsu kontu.
- Rate limiting (pieprasījumu skaita ierobežojums laikā). WooCommerce tas ir iebūvēts norēķinu blokiem, taču pēc noklusējuma ir izslēgts. Ieslēdziet to sadaļā WooCommerce > Iestatījumi > Advanced > Features, opcija Rate limiting Checkout block and Store API.
- Captcha norēķinu brīdī. Uzbrucēji bieži maina IP adresi; rate limiting un captcha kopā darbojas vislabāk.
- Jūsu maksājumu pakalpojumu sniedzēja krāpšanas filtri. Ieslēdziet tos un skatiet, ko tie ziņo.
- 3-D Secure, papildu apstiprinājums bankas lietotnē, apgrūtina nozagtu karšu ļaunprātīgu izmantošanu.
Ko nokārto Jūsu hostinga pakalpojumu sniedzējs un ko ne
WebOké nokārtotais:
- Bezmaksas Let's Encrypt sertifikāts https lietošanai
- HSTS vairumā serveru pēc noklusējuma ir ieslēgts
- Web Application Firewall pēc noklusējuma ir ieslēgts un aptur zināmus uzbrukumus
- Imunify360 nekavējoties pārbauda jaunus failus uz ļaunprogrammatūru un regulāri skenē Jūsu pakotni
- Katru nakti tiek izveidota visas Jūsu pakotnes rezerves kopija, kas tiek glabāta 30 dienas citā datu centrā
Paliek Jūsu (vai Jūsu vietnes izstrādātāja) ziņā:
- WordPress, WooCommerce, tēmas un spraudņu atjaunināšana (Installatron to var darīt automātiski, skatiet Atjauninājumi un automātiskie atjauninājumi)
- Savienojums un krāpšanas iestatījumi pie Jūsu maksājumu pakalpojumu sniedzēja
- Kādi skripti atrodas Jūsu norēķinu lapā
- Stipras paroles un divu faktoru autentifikācija administratoriem
- Rate limiting, captcha un aizdomīgu pasūtījumu pārbaude
Programmatūru, ko instalējat pats, arī izmantojot Installatron, Jūs pārvaldāt pats. Ja Jūsu vietne tomēr tiek uzlauzta, sekojiet soļu plānam Mana vietne ir uzlauzta: soļu plāns. Ja ielaušanās skar klientu personas datus, izlasiet arī Vai šis ir datu noplūde un vai man tas jāpaziņo?
Vairāk lasīt
- Bezmaksas kurss Droši tiešsaistē, nodarbība 4.2 Jūsu vietne: https, HSTS un drošības galvenes
- PCI Security Standards Council par SAQ A (angļu valodā)
- WooCommerce par card testing un rate limiting (angļu valodā)