Yêu cầu tuân thủ PCI với Liên kết dòng tiền?

Question

Tôi đã thử gọi PayPal, và đại diện trên điện thoại thậm chí không biết Payflow Link có thể hoạt động theo cách này, vì vậy tôi không tin lời khuyên của anh ấy. Tất cả tìm kiếm của tôi đã gặp phải các câu trả lời hỗn hợp.

Tôi đang xây dựng trang web thương mại điện tử bằng cách sử dụng Liên kết dòng tiền, trong đó xử lý CC được xử lý trên các trang được lưu trữ trên Paypal. Tuy nhiên, tôi xem xét việc triển khai phương pháp tích hợp nâng cao, theo đó khách hàng nhập tất cả thông tin CC vào biểu mẫu được máy chủ của tôi lưu trữ, nhưng biểu mẫu được POST qua SSL trực tiếp đến máy chủ của Paypal. Sử dụng phương pháp này, tôi có thể duy trì thương hiệu của trang web của mình ngoại trừ trang reciept Paypal yêu cầu.

Thông tin CC, sử dụng phương pháp này, không bao giờ được chạm vào máy chủ của tôi. Họ có cần tuân thủ PCI không? Từ một quan điểm kỹ thuật, tôi không thể hiểu tại sao nó nên, nhưng từ một quan điểm pháp lý, tôi bị lạc trong thuật ngữ của các tài liệu PCI-DSS. Trang web có khoảng 1000 giao dịch mỗi năm.

Answer 1

Tôi đang khám phá cùng một vấn đề. Từ nói chuyện với nhà cung cấp tuân thủ PCI của chúng tôi, có vẻ như MikeH không chính xác. Bởi vì chúng tôi đang lưu trữ các hình thức trên trang web của chúng tôi, máy chủ chính nó cần phải được PCI tuân thủ. Đó là vì biểu mẫu có thể bị tấn công nếu máy chủ không an toàn.

tôi thấy hai lựa chọn:

1. Giữ mẫu trên trang web của chúng tôi. Làm cho máy chủ an toàn (máy chủ web của chúng tôi hiện không vượt qua quá trình quét PCI, chúng đang hoạt động trên đó). Điền vào Loại xác thực SAQ dài hơn và chi tiết hơn 5 (Bảng câu hỏi D).

2. Sử dụng biểu mẫu thẻ tín dụng của Liên kết dòng tiền. Sẽ không cần phải lo lắng về máy chủ, sau đó có thể sử dụng SAQ Validation Type 1 (Bảng câu hỏi A) ngắn hơn nhiều. Tuy nhiên, chúng tôi mất thương hiệu và có thể mất doanh số vì các trang Liên kết thanh toán trông rất khác nhau.

Các SAQ D là xấu xí :-(

Answer 2

Nếu bạn chấp nhận thanh toán bằng thẻ tín dụng thông qua trang web của mình, bạn phải tuân thủ PCI. Bạn cần đi bao xa tùy thuộc vào việc triển khai của bạn. Nếu bạn đang lưu trữ biểu mẫu mà người dùng đang sử dụng để thực hiện thanh toán, bạn cần phải sử dụng chứng chỉ SSL để trang được mã hóa (ngay cả khi chỉ để đảm bảo biểu tượng khóa xuất hiện trong trình duyệt của người dùng. thực hiện 1000 giao dịch mỗi năm nữa).

Answer 3

Sử dụng mô hình bạn đang đề xuất, bạn thực sự phải tuân thủ PCI, nhưng ở mức ít hạn chế hơn nhiều so với khi dữ liệu chạm vào máy chủ của bạn.

Để biết chi tiết, hãy goto https://www.pcisecuritystandards.org/saq/instructions_dss.shtml và nhấp vào liên kết cho SAQ Validation Type 1 (Bảng câu hỏi A). Điều này sẽ cho bạn biết chính xác những phần nào của PCI DSS bạn phải thực hiện như một thương gia với tất cả các chức năng của chủ thẻ được thuê ngoài.

Hy vọng điều này sẽ hữu ích!