Il gateway di pagamento chiede la certificazione PCI-DSS: è davvero obbligatoria? Quanto costa?

Niente panico, tranquilli. Se i numeri di carta non passano per i vostri server, non avete nulla a che fare con audit costosi. Aprite il modulo SAQ A: alle domande tipo "trattate dati di carte di credito?" rispondete semplicemente che è tutto delegato al gateway e confermate. Noi lo rinnoviamo ogni anno in 15 minuti.

C'è una distinzione tecnica fondamentale: se il form appare sul vostro sito ma i dati in background vanno direttamente all'API del gateway, serve il SAQ A-EP e sono richieste scansioni trimestrali di vulnerabilità. Ma se usate un reindirizzamento completo o un iFrame, basta il semplice SAQ A, senza obbligo di scansioni esterne.

L'anno scorso è arrivato lo stesso identico avviso anche a noi, le società di audit ci avevano chiesto 4.000 €. Abbiamo scritto all'assistenza del gateway e ci hanno girato al portale convenzionato con loro. Abbiamo pagato 60 € all'anno di portale, compilato il questionario SAQ A da 20 domande e ottenuto l'approvazione.

Chiama subito l'assistenza del tuo gateway di pagamento. Spiega che usi il redirect e chiedi come inviare il documento SAQ A dal pannello. Ti manderanno alla loro pagina di verifica online, ci metti mezz'ora ed è fatta.

Vi riassumo la procedura punto per punto: 1) Verificate il tipo di integrazione (redirect o API?). 2) Individuate il modulo corretto (molto probabilmente SAQ A). 3) Compilate la procedura guidata sul portale del gateway. 4) Salvate a sistema l'Attestazione di Conformità generata.

era arrivata la stessa mail pure a noi, ci eravamo spaventati e abbiamo scritto subito all'assistenza.. e alla fine bastava solo rispondere a un paio di domande sul sistema... onestamente non dovete pagare niente, si risolve dal pannello.

I fornitori di pagamento usano toni davvero allarmistici in queste email, sembra quasi che il giorno dopo debbano mandarti gli ispettori alla porta. Il loro vero scopo è vendere abbonamenti mensili o annuali ai loro portali partner. Non fatevi prendere dal panico e non ingaggiate consulenti esterni.

Anche se non vengono memorizzati i dati delle carte di credito, la sicurezza del server su cui risiede il vostro sito è fondamentale durante la fase di reindirizzamento del titolare della carta. Di conseguenza, pur trattandosi del livello SAQ A, questo adempimento è imposto dai circuiti internazionali delle carte. Vi consiglio di completare la dichiarazione entro i termini.

Lascio un avvertimento. I primi tre mesi vanno bene, i problemi emergono al quarto mese.

Se scrivete qui il risultato, sarà utile anche ad altri.

Corretto.

Anche da noi è così. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Le soluzioni che funzionano su piccola scala crollano quando si cresce l'ho imparato tardi. Se scrivete qui il risultato, sarà utile anche ad altri.

Su questo punto non sono d'accordo. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza. Correggetemi se sbaglio.

Non lo sapevo. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Se è la prima volta inizia in piccolo, il ridimensionamento viene dopo. Naturalmente cambia se la vostra situazione è diversa.

Sì per quanto riguarda certificazione pci dss la situazione è esattamente così. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Lascio una nota, potrebbe servire.

Racconto cosa mi è successo, magari vi è utile. Chiunque abbia fretta su certificazione pci dss si blocca nello stesso punto.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Ha ragione.

Riassumo quanto detto finora. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Se scrivete qui il risultato, sarà utile anche ad altri.