PCI DSS (Payment Card Industry Data Security Standard) - kart məlumatlarını qəbul edən hər biznes üçün məcburi təhlükəsizlik standartıdır. Uyğunluq olmasa - hər tranzaksiyada cərimə.
PCI DSS kim üçündür?
Hər kart qəbul edən şirkət
WooCommerce mağaza, Stripe ilə işləyirsinizsə - PCI DSS uyğun olmalısınız.
4 PCI səviyyəsi
Level 4
İllik 20,000-dən az tranzaksiya. Əksər kiçik mağazalar buradadır.
Level 3
20K-1M tranzaksiya/il.
Level 2
1M-6M tranzaksiya/il.
Level 1
6M+ tranzaksiya/il - ən sərt yoxlama.
12 PCI tələbi
- Firewall qurmaq
- Vendor default şifrələri dəyişdirmək
- Kart məlumatlarını şifrələmək
- Şəbəkədə şifrələnmiş ötürmə
- Anti-virus istifadəsi
- Təhlükəsiz sistem qurmaq
- Kart məlumatlarına access məhdudlaşdırmaq
- Unique ID hər user üçün
- Fiziki access məhdudlaşdırmaq
- Bütün access izləmək (log)
- Mütəmadi test
- Information Security siyasəti
Self-Assessment Questionnaire (SAQ)
SAQ A
Tam outsourced - Stripe Checkout, PayPal Hosted - kart bilavasitə sizin serverdə görsənmir.
SAQ A-EP
Stripe Elements - kart formu sizin saytda, lakin Stripe.js render edir.
SAQ D
Tam custom payment - kart serverdə saxlanır. Ən mürəkkəb compliance.
Sadə yol: SAQ A
Stripe Checkout
Müştəri Stripe-in hostlu səhifəsində kart daxil edir - sizin serverdə kart heç vaxt görsənmir.
PayPal Hosted
Eyni - PayPal-da ödəniş.
Stripe Elements (SAQ A-EP)
Niyə daha yaxşı UX?
Kart sizin saytda görsənir (Stripe iframe ilə) - müştəri başqa səhifəyə getmir.
Tələblər
- HTTPS hər səhifədə
- Daily server scan (Nessus, Qualys)
- Quarterly vulnerability scan
Hostinq.az PCI
Hosting səviyyəsində
Hostinq.az PCI uyğun mühit təklif edir - SSL, firewall, anti-virus, log. Müştərinin öz sayt-da compliance-ni siz təmin edirsiniz.
SSL məcburi
TLS 1.2 minimum
TLS 1.0 və 1.1 PCI tərəfindən qadağandır - yalnız TLS 1.2 və 1.3.
Şifrə siyasəti
Admin şifrələri
- Minimum 7 simvol
- Hərflər + rəqəmlər
- 90 gündə bir dəyişdirmə
- Son 4 şifrə təkrar edilməsin
Audit log
Wordfence audit log
Hər admin əməliyyat qeyd olunur - kim, nə vaxt, nə dəyişdirdi.
PCI scan xidmətləri
Trustwave
Quarterly vulnerability scan - $300-500/il.
SecurityMetrics
SAQ wizard + scan. Kiçik mağazalar üçün.
Uyğunsuzluq cəzaları
Aylıq cərimə
$5,000-100,000/ay - kart şirkətlərinə görə.
Tranzaksiya bloku
Visa, Mastercard tranzaksiya qəbul etməyi dayandıra bilər.
Insider tövsiyə
Stripe Checkout
SAQ A - ən sadə compliance. Kart məlumatları heç sizin serverə dəxli yoxdur.
WooCommerce + PCI
Pluginlər
Stripe for WooCommerce, PayPal - hamısı PCI uyğun arxitektura təklif edir.
Hostinq.az hosting - PCI uyğun WooCommerce mağazası üçün uyğun.