Il gateway di pagamento ha citato i livelli di conformità PCI DSS: a quale livello apparteniamo e quanto costa?

Il punto cruciale è l'architettura del checkout. Controllate il codice sorgente del campo in cui si inserisce il numero di carta: se si trova dentro un iframe caricato dal dominio del gateway, siete a cavallo. Se invece prendete i dati direttamente con JavaScript dal vostro form, il perimetro e i requisiti aumentano parecchio.

Abbiamo fatto questa trafila l'anno scorso per il nostro sito da 60 mila transazioni/anno. Siamo entrati nel portale indicato dal gateway e abbiamo compilato il SAQ A (circa 20 domande). Più 350 dollari all'anno per il servizio di scansione certificato: in tutto 2 ore di lavoro.

Accedete alla dashboard del vostro payment provider: nella sezione compliance troverete un wizard guidato. Selezionando che non salvate i dati delle carte e che i pagamenti passano da interfaccia esterna, il questionario si ridurrà automaticamente al minimo indispensabile.

Nel vostro database non state assolutamente salvando numeri di carta date di scadenza o CVV, giusto? Se per sbaglio fate finire i dati delle carte anche solo nei file di log il tipo di questionario e le responsabilità penali cambiano del tutto.

i gateway di pagamento mandano questi avvisi automatici ogni anno e fanno spaventare la gente. cioè se usate un form incorporato ci mettete al massimo 45 minuti a compilarlo nn date assolutamente migliaia di dollari a nessun auditor o simili.

correzione: mi ricordavo male il numero, era un po' più basso.

Sul mercato sono spuntate un sacco di agenzie che chiedono 3.000-5.000 dollari alle piccole imprese con la scusa della "consulenza PCI DSS". Un piccolo venditore che non memorizza i dati delle carte sul proprio server non ha bisogno di spendere nemmeno un centesimo in consulenze del genere.

La logica di base degli standard PCI DSS è azzerare l'area di contatto con i dati delle carte. Quando create la vostra infrastruttura, più tenete lontani i dati di pagamento dal vostro server, più si riducono sia le responsabilità legali che i costi annuali di scansione e conformità.

alla prima mail siamo andati nel panico pensando che ci avrebbero chiuso il conto e abbiamo chiaamto tutti, pure il commercialista. alla fine bisognava solo confermare una checklist online ma non vi allarmate proprio, se avete spostato il sistema su un iframe esterno la procedura è davvero indolore.

Mi chiedo anch'io.

C'è un punto che mi incuriosisce. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Se non lo rendete scritto fin dall'inizio, poi nascono discussioni. Se avete domande, scrivete, rispondo per quanto possibile.

Sono emerse tre opinioni diverse, si completano a vicenda. Inizia con un piccolo test non impegnarti subito su tutto.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Ho lavorato a lungo su questo. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Dopo aver vissuto questa cosa il mio punto di vista è cambiato. Se la verifica in due passaggi è attiva una password rubata da sola non serve a nulla.

Se non lo rendete scritto fin dall'inizio, poi nascono discussioni. insomma questa è la mia opinione, non la scrivo come verità assoluta.

Approfondisco l'aspetto tecnico. I primi tre mesi vanno bene, i problemi emergono al quarto mese.

È tutto, scusate se mi sono dilungato.

concordo pienamente. insoma se non lo rendete scritto fin dall'inizio poi nascono discussioni.

se scrivete qui il risultato, sarà utile anche ad altri.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Può approfondire un po'? Chiunque abbia fretta su livelli conformità pci dss si blocca nello stesso punto.

L'errore commesso da livelli conformità pci dss è generalmente reversibile ma costoso. Lascio una nota, potrebbe servire.

Parlo dal lato opposto io sono dalla parte dei fornitori. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

Se avete domande scrivete, rispondo per quanto possibile.