Платёжный шлюз требует соответствия PCI DSS: есть ли чек-лист и с чего начать?

Hande V***в прошлом месяце·47 сообщений·62 тыс. просмотра#чеклист pci dss #безопасность платежей #банковская карта #анкета saq

Hande V***Новый участникУчастник сообщества

Дата регистрации: сент. 2026 г.
Сообщение: 318

в прошлом месяце#1

У нас интернет-магазин в США, продаём крафтовые кофемашины и запчасти. В год выходит около 18 000 транзакций, а годовой оборот в районе 1 200 000 долларов. Платежи на сайте принимаем не напрямую через свой сервер, а через защищённый iFrame платёжного сервиса и внешний редирект, то есть мы были уверены, что данные карт на наш сайт вообще не попадают.

Вчера от нашего платёжного провайдера пришло срочное письмо. Пишут, что мы обязаны пройти ежегодное подтверждение соответствия PCI DSS, иначе за каждую операцию пойдёт штраф, а платёжный шлюз могут заблокировать. Прислали какие-то сложные формы и ссылки на технические стандарты из сотен пунктов.

Как выглядит реальный чек-лист соответствия PCI DSS для такого небольшого мерчанта, как мы? Если карточные данные вообще не проходят через наши серверы, какую именно форму самооценки нужно заполнять и во сколько нам это реально обойдётся?

Kader Ş***Новый участникУчастник сообщества

Дата регистрации: сент. 2026 г.
Сообщение: 297

в прошлом месяцеСамый полезный#2

Короткий ответ: даже если вы физически не касаетесь номеров карт, любой бизнес, принимающий карты, подпадает под действие PCI DSS. Однако, поскольку данные у себя вы не храните, вы относитесь к минимальной категории Level 4 Merchant, и вместо аудита на сотни пунктов вам достаточно заполнить короткий опросник самооценки (SAQ).

Вот конкретные шаги по которым нужно пройтись:

1) Точно определите модель интеграции. Если данные карты вводятся целиком на защищённой странице платёжного сервиса или внутри iFrame, вам нужен документ «SAQ A». В нём всего около 22 пунктов, подтверждающих, что данные карт не хранятся на вашем сервере. Если же платёжная форма на вашем сайте через скрипты передаёт данные шлюзу в фоновом режиме, потребуется «SAQ A-EP», а он намного подробнее.

2) Чек-лист для SAQ A: свежие патчи безопасности на веб-сервере, отдающем платёжную страницу, двухфакторная аутентификация (2FA) для админки, смена дефолтных паролей и контроль целостности сторонних скриптов.

3) Вместе с опросником подпишите лист подтверждения соответствия — Attestation of Compliance (AOC).

По расходам: для уровня SAQ A нанимать внешнего аудитора не нужно. Анкету можно бесплатно скачать на официальном сайте PCI SSC или заполнить прямо в личном кабинете вашего платёжного шлюза. Провайдеры могут брать лишь ежегодную комиссию за ведение комплаенса или сканирование безопасности — в среднем от 100 до 300 долларов в год.

исправление: ошибся в цифре, было чуть меньше.

Hakan A***Участник

Должность: Тимлид разработки
Отрасль: Кейтеринг
Тип организации: компания из 20 человек
Дата регистрации: окт. 2023 г.
Сообщение: 86

в прошлом месяце#3

Тут главная техническая засада — разница между iFrame и редиректом. Если на вашей странице есть сторонний JavaScript, который можно скомпрометировать в браузере клиента, поверх iFrame могут повесить фишинговые поля. Поэтому при проверке безопасности обязательно проверяйте целостность всех внешних скриптов на платёжных страницах.

AylinУчастник

Должность: CRM и электронная почта
Тип организации: Компания на 300 человек
Дата регистрации: июнь 2024 г.
Сообщение: 118

в прошлом месяце#4

Зайдите в личный кабинет платёжки, там обычно есть встроенный мастер комплаенса. Отвечаете на вопросы, и он сам перекинет вас на форму SAQ A. Большинство вопросов там очевидные, в духе «записываете ли вы данные карт на бумажку» и «храните ли на сервере». Делов на два часа.

Mert K***УчастникУчастник сообщества

Дата регистрации: июль 2025 г.
Сообщение: 365

в прошлом месяце#5

В прошлом году словили такое же предупреждение, у нас 25 000 заказов в год. Забили, и провайдер начал списывать по 49 долларов в месяц как «штраф за несоответствие PCI». Как увидели, за 40 минут заполнили SAQ A через портал, и со следующего месяца списания сразу прекратились.

Okan K***УчастникУчастник сообщества

Дата регистрации: февр. 2023 г.
Сообщение: 111

в прошлом месяце#6

Все твердят «SAQ A — это просто, за пару минут сделаешь», но в новой версии стандарта даже туда добавили технические требования по безопасности скриптов и контролю целостности страниц оплаты. Так что просто прокликать галочки уже не выйдет возможно, придётся настраивать хеш-проверку скриптов на сайте.

FeritУчастник

Должность: Автосалон
Тип организации: команда из 8 человек
Дата регистрации: июнь 2024 г.
Сообщение: 72

в прошлом месяце#7

Главное — никогда не сохраняйте у себя CVV и полные 16 цифр карты. Пока этого нет и оплата уходит на стороннюю страницу, расходы на аудит будут практически нулевыми, нужно просто сдать форму.

Aleyna E***УчастникУчастник сообщества

Дата регистрации: авг. 2024 г.
Сообщение: 80

в прошлом месяце#8

Чтобы не путаться, двигайтесь по порядку: 1) Получите от шлюза письменное подтверждение, какой именно тип SAQ им нужен. 2) Заполните опросник на официальном портале и подпишите аттестат соответствия. 3) Настройте ежеквартальное внешнее сканирование сайта, если провайдер его требует.

Lale Y***Участник

Должность: Специалист по социальным сетям
Отрасль: ПО
Тип организации: Компания на 120 человек
Дата регистрации: авг. 2024 г.
Сообщение: 377

в прошлом месяце#9

У нас в панели тоже висит вкладка «PCI Self-Assessment». в общем если мы сами будем заполнять и в техническом вопросе ткнём не туда за это будет юридическая ответственность или штраф или система просто собирает общую декларацию?

P.S.: вопрос уже задавали ниже, ответ во втором сообщении.

İlker Ö***Эксперт

Должность: Продавец-консультант
Отрасль: Производство мебели
Тип организации: семейный бизнес
Дата регистрации: июль 2022 г.
Сообщение: 9

29 дней назад#10

не паникуйте, через это проходит любой подросший магазин и платёжки сами шлют напоминалки до последнего дедлайна лишь бы штрафы не выкатывать... если зависнете на каком-то пункте напишите в саппрот эквайера, они прямо подскажут, где какую галочку ставить.