Pokud váš formulář sbírá platební údaje, vztahují se na vás přísná bezpečnostní pravidla, ať už si to uvědomujete, nebo ne. Standard PCI DSS (Payment Card Industry Data Security Standard) stanovuje požadavky pro každého, kdo přijímá, ukládá nebo zpracovává data platebních karet. Porušení PCI DSS znamená pokuty v řádu tisíců dolarů denně a k tomu odpovědnost, pokud jsou data karet ukradena.
Základní pravidlo PCI DSS je jednoduché. Nikdy sami neukládejte surová data platebních karet. Vyhýbání se citlivým datům ve formulářích a používání správných platebních bran chrání vaši značku, vaše zákazníky a udržuje vás v souladu s pravidly.
Co se dozvíte: co je PCI DSS a kdy se uplatňuje, jaká platební data nesmíte nikdy sbírat, jak bezpečně vystavět platební formuláře, jak správně používat platební brány a co dělat, pokud jste citlivá data už nasbírali.
Co je PCI DSS?
PCI DSS (Payment Card Industry Data Security Standard) je soubor bezpečnostních standardů, které vytvořily velké společnosti vydávající platební karty. Vztahuje se na každou firmu, která přijímá, ukládá, přenáší nebo zpracovává informace o platebních kartách.
PCI DSS se vás týká, pokud:
- Provozujete e-shop, který přijímá platební karty
- Máte formulář, který sbírá platební údaje
- Posíláte e-mailem faktury s platebními pokyny
- Ukládáte platební údaje zákazníků pro opakované fakturace
- Jakýkoli zaměstnanec má přístup k datům platebních karet
Můžete si myslet, že se na vás PCI DSS nevztahuje, pokud používáte platební bránu, ale odpovídáte za to, jak data sbíráte, než se k bráně dostanou.
Úrovně PCI DSS a kdo musí vyhovět
Požadavky na soulad s PCI DSS se liší podle objemu transakcí, které zpracováváte:
Úroveň 1: Firmy zpracovávající přes 6 milionů transakcí ročně. Musí projít každoročním auditem externího hodnotitele. Nejpřísnější požadavky.
Úroveň 2: Firmy zpracovávající 1 až 6 milionů transakcí ročně. Musí dokončit podrobné vlastní hodnocení.
Úroveň 3: Firmy zpracovávající 20 000 až 1 milion transakcí ročně. Musí dokončit vlastní hodnocení.
Úroveň 4: Firmy zpracovávající méně než 20 000 transakcí ročně. Nejjednodušší požadavky. Sem spadá většina malých firem.
I úroveň 4 (malá firma) má přísné požadavky. Data platebních karet nemůžete přijímat, jak se vám zlíbí.
Hlavní pravidlo: nikdy neukládejte surová data karet
Nejdůležitější pravidlo PCI DSS: nesbírejte ani neukládejte úplná čísla platebních karet, data expirace ani bezpečnostní kódy (CVV) do vlastní databáze nebo na vlastní servery.
NIKDY nesbírejte:
- Úplná čísla platebních karet (PAN: Primary Account Number)
- Data expirace
- Bezpečnostní kódy (CVV/CVC)
NIKDY je neukládejte, ani když je šifrujete.
Pokud váš formulář tato data sbírá a vy je ukládáte sami, porušujete PCI DSS. Sankce jsou přísné:
- Pokuty od 5 000 do 100 000 dolarů za každý měsíc nesouladu
- Odpovědnost, pokud jsou data karet ukradena a zneužita k podvodu
- Odpovědnost za ztráty z podvodů a náklady na informování zákazníků
- Zpracovatelé platebních karet vám mohou odebrat možnost přijímat platby
Co SMÍTE sbírat a ukládat
Některá data související s platbami je bezpečné sbírat:
- Fakturační jméno a adresa: Pro ověření a doručení
- E-mailová adresa: Pro doklad a komunikaci
- Poslední 4 číslice karty: Pro orientaci (například „platební metoda končící 4242“), ale jen pokud nesbíráte úplné číslo
- Částka a datum platby: Pro vedení záznamů
- ID transakce od platební brány: Pro párování a odsouhlasení
Podstatné: smíte ukládat informace o zákaznících, o objednávkách a referenční čísla. Nesmíte ukládat skutečná data platebních karet.
Jak bezpečně nakládat s platebními daty
Nikdy nevytvářejte vlastní platební formulář
Nestavte formulář, který sbírá údaje o kartě přímo. Ve chvíli, kdy platební formulář pošle data karty na váš server, odpovídáte za soulad s PCI DSS.
Používejte platební bránu s hostovanými platebními stránkami
Platební brány nabízejí hostované platební stránky. Jsou to formuláře, které běží na zabezpečených serverech brány, ne na vašich. Když zákazník vyplní platební formulář, data karty jdou přímo k bráně. Váš server úplné číslo karty nikdy neuvidí.
Příklad průběhu:
- Zákazník vyplní váš objednávkový formulář (jméno, e-mail, adresa doručení)
- Zákazník klikne na „Zaplatit“
- Prohlížeč přesměruje na zabezpečený formulář platební brány
- Zákazník zadá údaje o kartě do formuláře brány
- Brána platbu zpracuje a pošle vám oznámení
- Váš formulář dostane jen ID transakce, ne data karty
S daty karty nikdy nepřijdete do styku, takže za soulad s PCI DSS odpovídá brána.
Použijte pro platbu iframe
Některé brány nabízejí iframe, který můžete vložit do formuláře. Iframe je ve skutečnosti hostovaný na zabezpečených serverech brány, ale zobrazuje se jako součást vaší stránky. Zákazník vidí jeden jednotný formulář, ale platební část je ve skutečnosti na serverech brány.
Použijte platební API s tokenizací
Pokročilé platební brány vám umožňují sbírat platební údaje ve formuláři pomocí jejich knihovny JavaScript. Knihovna data zašifruje v prohlížeči zákazníka dřív, než se dostanou na váš server. Místo skutečných dat karty vám pošle token (bezpečný odkaz). Ukládáte token, ne kartu.
Vyžaduje to pečlivé zavedení, aby se nenakládalo s nešifrovanými daty karty. Používejte to jen tehdy, když celému postupu plně rozumíte.
Co NEDĚLAT
Neposílejte platební údaje e-mailem. Nežádejte zákazníky, aby vám posílali čísla platebních karet e-mailem. E-mail není šifrovaný a není bezpečný.
Nežádejte o CVV, pokud kartu ukládáte. Pokud ukládáte kartu pro opakované platby, neměli byste žádat o CVV ani ho ukládat. CVV je potřeba jen v okamžiku platby.
Nesbírejte data karty v běžném formuláři a neposílejte si je e-mailem. Tím se platební údaje posílají nešifrovaným e-mailem, což je porušení PCI DSS.
Neukládejte data karty do tabulky, textového souboru ani databáze bez šifrování. Pokud jste data karty už nasbírali (což jste neměli), musíte je okamžitě zašifrovat nebo smazat.
Pokud jste citlivá platební data už nasbírali
Pokud máte formulář, který sbíral úplná čísla platebních karet nebo CVV, okamžitě přestaňte:
- Přestaňte data sbírat. Z formuláře okamžitě odstraňte pole pro kartu.
- Zabezpečte, co máte. Pokud jste ukládali data karet, zašifrujte je nebo smažte.
- Přejděte na platební bránu. Nastavte vyhovující způsob platby přes bránu třetí strany.
- Informujte dotčené zákazníky. Pokud došlo k úniku nebo jsou data karet zákazníků stále uložena, informujte je.
- Poraďte se s právníkem. Pokud jste data karet sbírali nebezpečně, můžete být vystaveni regulatornímu riziku. Vyhledejte právní radu.
Tokenizace: bezpečný způsob ukládání platebních metod
Tokenizace je proces, který nahrazuje citlivé platební údaje nenáročným referenčním číslem.
Bez tokenizace: V databázi máte uloženo „4532-1234-5678-9010“.
S tokenizací: Platební brána uloží „4532-1234-5678-9010“ a dá vám token jako „tok_abc123def456“. Ukládáte token.
Když potřebujete kartu znovu zatížit (pro opakované fakturace), pošlete bráně token. Brána pomocí tokenu získá původní data karty a provede platbu. S kartou samotnou nikdy nepřijdete do styku.
Tokeny je bezpečné ukládat. Bez vědomí brány se nedají použít ke zpracování plateb a neprozrazují číslo karty.
Požadavky PCI DSS nad rámec platebních formulářů
I když platební bránu používáte správně, PCI DSS má další požadavky:
- Zabezpečte své servery. Aktualizujte software, používejte firewally, omezte přístup.
- Používejte silná hesla. Pro účet u platební brány a všechny administrátorské účty.
- Šifrujte data při přenosu i uložená. Používejte HTTPS, šifrujte databáze.
- Sledujte a auditujte. Zaznamenávejte přístup k systémům souvisejícím s platbami, pravidelně kontrolujte záznamy.
- Školte zaměstnance. Každý, kdo má přístup k platebním datům, potřebuje bezpečnostní školení.
- Dodržujte standardy zabezpečení sítě. PCI DSS obsahuje 12 hlavních požadavků pokrývajících řízení přístupu, sledování a reakci na incidenty.
Pokud zpracováváte platby, seznamte se se všemi 12 požadavky PCI DSS. Mnohé jdou nad rámec zabezpečení formulářů.
Co WEMASY dělá pro bezpečnost plateb
E-shopové formuláře WEMASY surová platební data nesbírají ani neukládají. Když ve WEMASY nastavíte platební formulář, napojí se na platební brány vyhovující PCI. Platební formulář přesměruje na zabezpečený systém brány nebo vloží zabezpečený iframe od brány. S daty karet nikdy nepřijdete do styku a WEMASY je neukládá.
Víc o tom, jak WEMASY s platbami nakládá bezpečně, najdete v nastavení účtu nebo na ceníku.