Платежный шлюз требует сертификат PCI-DSS — он правда нужен и во сколько это встанет?

Без паники, ничего страшного тут нет. Если номера карт через ваш сервер не идут, дорогущие аудиты вам не грозят. Открываете форму SAQ A и на все вопросы вроде «обрабатываете ли вы данные карт» отвечаете в духе «всё передано платежному шлюзу». Мы эту анкету каждый год за 15 минут продлеваем.

Тут важен технический нюанс: если форма ввода висит прямо на вашем сайте, а данные уходят на API шлюза в фоне — это уже SAQ A-EP, и там раз в квартал требуют сканы уязвимостей. А вот если чистый редирект на их страницу или iFrame, то нужен обычный SAQ A, там внешнее сканирование не требуется.

Нам в прошлом году такое же письмо счастья пришло, аудиторы сразу зарядили ценник в 4.000 €. Написали в саппорт платежки, те дали ссылку на свой партнерский портал. Заплатили 60 € за доступ, заполнили 20 вопросов в SAQ A, и вопрос закрылся.

Наберите сразу поддержку платежного шлюза. Скажите: «У нас редирект, как нам прикрепить форму SAQ A через личный кабинет?». Они кинут ссылку на онлайн-анкету, делов на полчаса.

Краткий план действий: 1) Проверить тип интеграции (редирект или API). 2) Определить нужный опросник (скорее всего, SAQ A). 3) Пройти мастер в кабинете шлюза. 4) Сохранить и отправить полученный сертификат соответствия (AoC).

нам тоже такое прилетало, сначала перепугались, сразу в поддержку побежали. оказалось надо просто на пару вопросов в кабинете кликнуть и всё. никаких деенг платить не надо, делайте сами через панель.

Платежки вечно рассылают такие письма с дико пугающими формулировками, будто завтра нагрянет проверка с ОМОНом. На деле они просто хотят навязать платную подписку на свои партнерские сервисы комплаенса. Не ведитесь и не нанимайте консультантов со стороны.

Даже если данные кредитных карт не сохраняются, безопасность сервера, на котором размещен ваш сайт, имеет ключевое значение на этапе перенаправления держателя карты. Соответственно, даже на уровне SAQ A данное обязательство устанавливается международными платежными системами. Рекомендую завершить подачу сведений в установленный срок.

Хочу предупредить. Первые три месяца все идет хорошо, проблемы всплывают на четвертом.

Если напишете результат здесь, это поможет и другим.

Верно.

У нас так же. Люди защищают не процесс а привычку. Сопротивление идет оттуда.

Решения, работающие в малом масштабе рушатся при росте, я узнал это слишком поздно. Если напишете результат здесь, это поможет и другим.

В этом пункте я с вами не согласен. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Изменение платежных данных никогда не подтверждается через тот же канал. Исправьте если я ошибаюсь.

Не знал об этом. Автоматический отчет о сканировании и пентест — это не одно и то же.

Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

В прошлом году мы столкнулись практически с тем же самым. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Если делаете впервые начните с малого масштабирование потом. Конечно, если ваша ситуация отличается всё меняется.

Да, по теме сертификация pci dss ситуация именно такая. Время обнаружения проблемы напрямую определяет ее стоимость.

Оставлю как заметку, пригодится.

Расскажу что было у меня вдруг пригодится. Все кто торопится с сертификация pci dss, спотыкаются на одном и том же.

Интересно, есть ли те, кто делает иначе.

Вы правы.

Позвольте подвести итог сказанному выше. Изменение платежных данных никогда не подтверждается через тот же канал.

Если напишете результат здесь, это поможет и другим.