بوابة الدفع طالبة شهادة PCI-DSS — هل هي ضرورية فعلاً وإيه تكلفتها؟

الموضوع مفيش فيه قلق خالص. طالما أرقام الكروت مش بتمر على سيرفرك التدقيقات الغالية دي متخصكش. افتح نموذج SAQ A، هتلاقي أسئلة زي "هل بتعالج بيانات الكروت؟" هترد إنها متفوضة بالكامل لبوابة الدفع وتوافق. إحنا بنجددها كل سنة في ربع ساعة.

النقطة التقنية دي مهمة جداً: حتى لو الفورم ظاهر في موقعك، لو البيانات بتروح في الخلفية مباشرة لـ API بوابة الدفع هتحتاج SAQ A-EP وفحص ثغرات كل 3 شهور. لكن لو شغال بإعادة توجيه كاملة أو iFrame فالمطلوب بس SAQ A البسيط ومن غير أي فحص خارجي إجباري.

جالنا نفس التحذير ده السنة اللي فاتت وشركات التدقيق طلبت 4.000 €. كلمنا الدعم بتاع بوابة الدفع وحولونا للبوابة اللي هما متعاقدين معاها. دفعنا 60 € اشتراك سنوي للبوابة وملينا الـ 20 سؤال بتوع SAQ A وخدنا الموافقة.

كلم خدمة عملاء بوابة الدفع حالاً. قولهم بنستخدم إعادة التوجيه وعايز أعرف إزاي أرفع نموذج SAQ A من اللوحة. هيوجهوك لصفحة التحقق بتاعتهم أونلاين وهتخلصها في نص ساعة.

ألخص لك الخطوات: 1) اتأكد من نوع الربط عندك (تحويل لصفحة خارجية ولا API؟). 2) حدد النموذج المناسب (غالباً SAQ A). 3) املأ النموذج في بوابة المزود. 4) احفظ وثيقة الامتثال اللي هتطلع على السيستم.

جالنا نفس الإيميل واتخضينا وكلمنا الدعم على طول. طلع الموضوع كله شوية أسئلة بتجاوب عليها في السيستم وخلاص... متدفعش ولا مليم وظبطها من اللوحة عندك.

بوابات الدفع بتكتب الإيميلات دي بصيغة تخوف أكن المفتشين هيطبوا عليك بكرة، وهدفهم الأساسي يبيعوا لك اشتراكات شهرية أو سنوية في المنصات اللي متعاقدين معاها. متقلقش ومتجيبش استشاري من برة.

حتى لو لم يتم تخزين بيانات بطاقة الائتمان، فإن أمان الخادم الذي يُستضاف عليه موقعك يكتسب أهمية في مرحلة توجيه حامل البطاقة. لذلك، حتى على مستوى SAQ A، فإن هذا الالتزام مفروض من قبل أنظمة البطاقات الدولية. أنصحك بإكمال الإشعار في الوقت المحدد.

دعني أترك تنبيهًا. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

صحيح.

عندنا نفس المشكلة. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أختلف معك في هذه النقطة. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها. صححوا لي إن أخطأت.

لم أكن أعلم بهذا. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

عشنا تقريباً نفس التجربة العام الماضي. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

نعم، الوضع في موضوع شهادة pci dss هو بالضبط هكذا. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

دعني أتركها كملاحظة، قد تكون مفيدة.

سأكتب ما حدث لي، ربما يفيدكم. كل من يستعجل في شهادة pci dss يتعثر في نفس النقطة.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أنت محق.

دعوني ألخص ما قيل حتى الآن. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.