Платежный провайдер требует соответствие уровням PCI DSS: к какому мы относимся и во сколько это обойдется?

Самое главное — архитектура самой формы оплаты. Гляньте в исходный код страницы с полем ввода карты. Если оно подгружается внутри iframe с домена платежного шлюза, вам повезло, всё пройдет легко. А вот если вы собираете данные на своей форме через JavaScript, геморроя и требований будет в разы больше.

Мы в прошлом году проходили эту процедуру для магазина с 60 тысячами транзакций. Зашли в личный кабинет платежки, ответили примерно на 20 вопросов в опроснике SAQ A. За сертифицированный сканер отдали около 350 долларов за год, всё про всё заняло от силы пару часов.

Откройте личный кабинет вашего платежного провайдера, в разделе комплаенса там будет пошаговый мастер. Укажите, что данные карт не храните, а платежи принимаете через внешний интерфейс и опросник сам ужмется до минимума.

Вы же точно не храните в базе номера карт, сроки действия или CVV? Если даже случайно в логи пишутся данные карт, тип опросника и штрафная ответственность меняются кардинально.

платежки каждый год шлют эти автоуведомления и кошмарят народ. кстати если юзаете встроенную форму (iframe) заполнить опросник займет от силы минут сорок пять ни в коем случае не отдавайте аудиторам тысячи долларов.

исправление: ошибся в цифре, было чуть меньше.

На рынке развелась куча агентств которые под видом «консалтинга по PCI DSS» дерут с малого бизнеса по 3.000–5.000 долларов. Мелкому продавцу, не хранящему данные карт на своем сервере на таких консультантов и копейки тратить не нужно.

Главный принцип требований PCI DSS — свести зону контакта с данными карт к нулю. Чем дальше вы держите платежные данные от своего сервера при настройке инфраструктуры, тем ниже юридическая ответственность и ежегодные расходы на сканирование и аудит.

когда нам пришло первое письмо мы запаниковали, думали заблокируют счет подняли на уши всех вплоть до бухгалтера. оказалось, нужно просто прокликать онлайн-чеклист потом не переживайте, если вы перевели оплату на внешний фрейм процедура абсолютно безболезненная.

Мне тоже интересно.

Есть один момент, который меня интересует. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Если не зафиксировать это письменно с самого начала, потом возникнут споры. Пишите, если есть вопросы, отвечу по мере возможности.

Появились три разных мнения, они дополняют друг друга. Начните с небольшого эксперимента, не привязывайте всё сразу.

Интересно, есть ли те, кто делает иначе.

Я долго занимался этим вопросом. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Интересно, есть ли те, кто делает иначе.

После того случая мой взгляд на вещи изменился. Если включена двухфакторная аутентификация украденный пароль бесполезен.

Если не зафиксировать это письменно с самого начала потом возникнут споры... Это мое мнение не утверждаю что оно единственно верное.

Давайте немного раскрою техническую сторону. Первые три месяца все идет хорошо, проблемы всплывают на четвертом.

На этом всё, извините, если затянул.

полностью согласен потом если не зафиксировать это письменно с смого начала, потом возникнут споры.

если напишете результат здесь это помжет и другим.

В прошлом году мы столкнулись практически с тем же самым. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Не могли бы вы это пояснить? Все кто торопится с уровни соответствия pci dss, спотыкаются на одном и том же.

Ошибка, сделанная на стороне уровни соответствия pci dss, обычно исправима но дорого. Оставлю как заметку, пригодится.

Посмотрю с другой стороны, я на стороне поставщика. Если не зафиксировать это письменно с самого начала потом возникнут споры.

Пишите если есть вопросы, отвечу по мере возможности.