مزود الدفع يطلب الامتثال لـ PCI DSS: هل توجد قائمة تحقق ومن أين نبدأ؟

الفخ التقني الحاسم هنا هو الفرق بين iFrame والتحويل. إذا كان في صفحتك كود JavaScript خارجي يمكن أن يتسلل إلى متصفح العميل، فقد يركّبون حقولًا مزيفة فوق نموذج iFrame. لذلك تأكد في فحوصاتك الأمنية من التحقق من سلامة كل السكربتات الخارجية التي تعمل في صفحات الدفع.

ادخل إلى لوحة تحكم مزود الدفع، عادة يكون فيها معالج امتثال مدمج. كلما أجبت عن الأسئلة سيوجّهك تلقائيًا إلى نموذج SAQ A. معظم الأسئلة بديهية مثل 'هل تكتب بيانات البطاقة على ورق، هل تخزنها على السيرفر'. يمكنك إنهاؤه في ساعتين.

السنة الماضية تلقينا نفس التحذير، وكان لدينا 25.000 عملية سنويًا. لأننا أهملناه بدأ المزود يخصم 49 دولارًا شهريًا باسم 'غرامة عدم الامتثال لـ PCI'. لما انتبهنا ملأنا نموذج SAQ A عبر البوابة في 40 دقيقة وأرسلناه، وتوقف خصم الغرامة فورًا الشهر التالي.

الكل يقول 'SAQ A سهل جدًا وينتهي بسرعة' لكن مع الإصدار الجديد من المعيار أُضيفت إلى نطاق SAQ A التزامات تقنية مثل أمن السكربتات وسلامة صفحة التجارة الإلكترونية. يعني لم يعد بإمكانك فقط وضع علامات والمضي؛ قد تحتاج إلى التحقق من hash السكربتات في موقعك.

لا تخزّن أبدًا CVV أو رقم البطاقة الكامل المكوّن من 16 رقمًا على سيرفرك. طالما أنك لا تفعل ذلك وتحوّل الدفع إلى صفحة خارجية، تبقى تكلفة التدقيق قريبة من الصفر ويكفي أن تسلّم النموذج.

لتبسيط العملية أمامك اتبع هذا الترتيب: 1) احصل من مزودك على تأكيد كتابي بنوع SAQ المطلوب بالضبط. 2) املأ الاستبيان عبر البوابة الرسمية ووقّع إقرار الامتثال. 3) فعّل على موقعك الفحص الأمني الخارجي الربع سنوي إن طلبه المزود.

عندنا أيضًا يظهر في اللوحة تبويب 'PCI Self-Assessment'. إذا أخطأنا في وضع علامة على سؤال تقني أثناء ملء النموذج بأنفسنا، هل تنشأ مسؤولية قانونية أو غرامة مالية مباشرة، أم أن النظام فقط يقوم بفحص الإقرار العام؟

ملاحظة: سُئل هذا أدناه، وكتبت الإجابة في الرسالة الثانية.

لا تخف، هذا يحدث لكل متجر يكبر... شركات الدفع ترسل تذكيرات حتى الموعد النهائي لتفادي فرض الغرامة. إذا علقت في بند أثناء ملء النموذج اسأل الدعم المباشر للمزود، يقولون لك مباشرة أي خيار تختار.

ملخص سريع للجدد: إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

مثبت بالتجربة.

لم أكن أعلم بهذا لكن بصراحة المسألة ليست الرقم، بل الأساس الذي بُني عليه.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

صحيح بشكل عام، لكن هناك جزء ناقص. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

دعني أشرح كيف يتم التطبيق عملياً. يعني عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

بالتوفيق.

دعني أشارك تجربتي. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

أتمنى أن يفيدك هذا.

عانيت من نفس الشيء.

أحسنت في فتح هذا العنوان.

شكراً لكتابة هذا، فهو صحيح تماماً. محاولة فعل هذا بمفردك هي أغلى الطرق.

صححوا لي إن أخطأت.

الإجابة أعلاه لخصت جوهر الأمر. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى. صححوا لي إن أخطأت.

صحيح.