Ödeme sağlayıcı PCI-DSS sertifikası istiyor — gerçekten gerekli mi, maliyeti ne?

Ali Y***5 ay önce·29 mesaj·5,5 B görüntülenme#pci dss #kart güvenliği #ödeme sistemleri #e ticaret

Ali Y***Katılımcı

Görev: Şantiye şefi
Sektör: E-ticaret
Yapı: 40 kişilik üretim firması
Katılım: Oca 2024
Mesaj: 129

5 ay önce#1

Berlin merkezli özel tasarım ahşap mobilyalar satan butik bir e-ticaret sitemiz var. Yılda yaklaşık 4.000 işlem gerçekleştiriyoruz ve yıllık ciromuz 650.000 € civarında. Ödeme altyapısı olarak müşteriyi harici bir sayfaya yönlendiren popüler bir ödeme sağlayıcı kullanıyoruz.

Geçen hafta ödeme sağlayıcımızdan resmi bir e-posta bildirimi aldık; hesabımızın askıya alınmaması için PCI-DSS uyumluluk sertifikası sunmamız veya doğrulamayı tamamlamamız gerektiği belirtiliyor. Biz kendi sunucumuzda hiçbir kredi kartı bilgisi saklamıyoruz, müşteri bilgileri doğrudan ödeme sağlayıcının güvenli formuna giriyor. Bu sertifika bizim ölçeğimizdeki bir işletme için gerçekten zorunlu mu? Binlerce euro denetim ücreti ödememiz gerekecek mi, bu süreç en az maliyetle nasıl çözülür?

Jale P***KatılımcıTopluluk üyesi

Katılım: Mar 2024
Mesaj: 207

5 ay önceEn çok yardımcı olan#2

Kısa cevap: Kredi kartı verisini kendi sunucunuzda tutmasanız dahi kartla ödeme kabul eden her e-ticaret işletmesi PCI-DSS standartlarına uymakla yükümlüdür. Ancak sizin ölçeğinizdeki bi işletme icin harici denetçilere binlerce euro ödeme yapma zorunluluğu yoktur; süreç sadece ücretsiz veya sembolik ücretli bi öz değerlendirme formuyla çözülür.

İşlem hacminiz yıllık 1 milyon adedin altında olduğu icin Seviye 4 tüccar kategorisindesiniz. Bu seviyede kapsamlı yerinde denetimler veya güvenlik açığı taramaları talep edilmez. Ödemeyi müşteriyi harici bir ödeme sayfasına yönlendirerek veya gömülü bir çerçeve aracılığıyla aldığınız icin sizin doldurmanız gereken belge Öz Değerlendirme Anketi A yani SAQ A belgesidir.

SAQ A yaklaşık yirmi temel sorudan oluşan ve sunucunuzda kart verisi tutmadığınızı, sistemlerinizin güvenli şifreleme kullandığını teyit eden bir beyandır. Ödeme sağlayıcılarının büyük çoğunluğu bu süreci kendi yönetim panelleri üzerinden ya da anlaşmalı oldukları bir uyumluluk platformu aracılığıyla sunar.

İzlemeniz gereken yol şudur: Ödeme sağlayıcınızın paneline girip uyumluluk sihirbazını başlatın. Entegrasyon yöntemi olarak yönlendirme seçeneğini işaretleyin; sistem size otomatik olarak SAQ A formunu getirecektir. Soruları yanıtlayıp formu onayladığınızda Uyumluluk Belgeniz anında üretilir ve hesabınız güvenceye alınır.

Zafer Y***Uzman

Görev: Yazılım takım lideri
Sektör: Mücevherat
Yapı: 8 kişilik ekip
Katılım: Haz 2023
Mesaj: 214

5 ay önce#3

Korkulacak bir durum yok. Kart numarasını sunucunuzda görmüyorsanız pahalı denetimler sizi bağlamaz. SAQ A formunu açın, zaten kart bilgilerini işliyor musunuz gibi sorulara sağlayıcıya devredildi minvalinde yanıtlar verip onaylıyorsunuz. Biz her yıl 15 dakikada yeniliyoruz.

Yağmur C***KatılımcıTopluluk üyesi

Katılım: May 2023
Mesaj: 274

5 ay önce#4

Teknik ayrım çok kritik: Form sitenizde görünse bile veriler arka planda doğrudan ödeme sağlayıcının API adresine gidiyorsa SAQ A-EP gerekir ve üç ayda bir güvenlik açığı taraması istenir. Ama tam yönlendirme veya iFrame kullanıyorsanız sadece basit SAQ A istenir, dış tarama zorunluluğu yoktur.

Selin U***KatılımcıTopluluk üyesi

Katılım: Mar 2026
Mesaj: 2

5 ay önce#5

Biz geçen sene aynı uyarıyı aldık, denetim firmaları 4.000 € teklif verdi. Sonra ödeme sağlayıcımızın destek ekibine yazdık, bizi kendi anlaşmalı portallarına yönlendirdiler. Yılda 60 € portal ücreti ödeyip 20 soruluk SAQ A anketini doldurduk ve onay aldık.

Veli T***KatılımcıTopluluk üyesi

Katılım: Eki 2023
Mesaj: 152

5 ay önce#6

Hemen ödeme sağlayıcınızın müşteri hizmetlerini arayın. Yönlendirme kullanıyoruz SAQ A belgesini panelden nasıl iletebilirim diye sorun. Sizi kendi online doğrulama sayfalarına yönlendirirler, yarım saatte biter.

Ömer Ö***Katılımcı

Görev: Sosyal medya sorumlusu
Sektör: Matbaa
Yapı: zincir mağaza
Katılım: Şub 2023
Mesaj: 64

5 ay önce#7

Süreci adım adım özetleyeyim: 1) Entegrasyon tipinizi doğrulayın (yönlendirme mi, API mi?). 2) Uygun formu tespit edin (büyük ihtimalle SAQ A). 3) Sağlayıcının portalındaki sihirbazı doldurun. 4) Oluşan Uyumluluk Belgesini sisteme kaydedin.

Aslı Ç***Katılımcı

Görev: Üretim planlama
Sektör: Danışmanlık
Yapı: 300 kişilik kurum
Katılım: Ara 2025
Mesaj: 124

Doki · KVKK uyum danışmanlığı · 2026

5 ay önce#8

bize de gelmişti aynı mail korkup heemmen destekle konuştuk. meğer sadece sistemden birkaç soru cevaplamak gerekiyormuş ama hiç para vermenize gerek yok kendi panelinizden halledin.

Oya O***Katılımcı

Görev: Muhasebe elemanı
Sektör: Medya ve yayıncılık
Yapı: iki şubeli işletme
Katılım: Ara 2024
Mesaj: 113

5 ay önce#9

Ödeme sağlayıcıları bu e-postaları çok korkutucu bi dille yazıyor, sanki yarın kapınıza denetçi gelecekmiş gibi. Asıl amaçları kendi anlaşmalı oldukları portallardan aylık veya yıllık abonelik satmak. Panik yapıp dışarıdan danışman tutmayın.

ErcanKatılımcı

Görev: Muhasebeci
Katılım: Eyl 2024
Mesaj: 92

5 ay önce#10

Kredi kartı verisi saklanmasa dahi, sitenizin barındırıldığı sunucunun güvenliği kart hamilinin yönlendirilmesi aşamasında önem arz etmektedir. Dolayısıyla SAQ A seviyesinde de olsa bu yükümlülük uluslararası kart şemaları tarafından şart koşulmaktadır. Bildirimi süresi içinde tamamlamanızı tavsiye ederim.