Betaalveiligheid in je webshop: PCI, card testing en wat je hoster doet
Wie online betalingen ontvangt, krijgt te maken met de beveiligingsregels van de kaartmaatschappijen (PCI DSS), met criminelen die kaartgegevens willen stelen en met card testing: het uitproberen van gestolen kaarten in jouw winkel. Dit artikel legt uit wat dat voor een kleine webshop betekent, wat je zelf doet en wat je hoster wel en niet voor je regelt.
De hoofdregel: kaartgegevens komen nooit in je shop
Een kaartnummer, de vervaldatum en de beveiligingscode typt de klant in bij je betaalprovider, niet in je eigen winkel. Je shop krijgt alleen te horen of er betaald is. Dat betekent ook:
- nooit een eigen formulierveld voor kaartnummers, ook niet voor een telefonische bestelling;
- nooit kaartgegevens per mail, chat of telefoon aannemen en in een notitie bij een bestelling zetten;
- geen plugin die kaartgegevens in je eigen database bewaart.
PCI DSS en SAQ A in gewone taal
PCI DSS (Payment Card Industry Data Security Standard) is de beveiligingsstandaard van de kaartmaatschappijen; de huidige versie is v4.0.1. Een bedrijf dat zelf kaartgegevens verwerkt, krijgt daarmee een flink pakket eisen. Een kleine shop die de betaling volledig uitbesteedt, toont met een korte vragenlijst aan dat hij voldoet: de SAQ A (Self-Assessment Questionnaire A). Je betaalprovider vraagt daar soms om.
Uitbesteden kan op twee manieren:
- Doorsturen: na het bestellen gaat de klant naar de betaalpagina van de provider en daarna terug.
- Een ingebed betaalveld: het betaalveld staat in je afrekenpagina, maar is een stukje pagina (iframe) van de provider.
Sinds 31 maart 2025 geldt een nieuwe versie van SAQ A. Wie een ingebed betaalveld gebruikt, moet daarin bevestigen dat zijn site niet vatbaar is voor aanvallen met scripts die de betaling kunnen raken. Wie doorstuurt, valt niet onder die voorwaarde. Vraag je betaalprovider welke vragenlijst bij jouw koppeling hoort.
De afrekenpagina beschermen
- Houd de afrekenpagina kaal. Elk script op die pagina kan in principe meelezen wat de klant intypt (e-skimming): chatwidgets, tagmanagers, advertentiepixels. Laad daar alleen wat nodig is voor de betaling.
- Weinig plugins, en altijd bijgewerkt. Kwaadaardige scripts komen meestal binnen via een lek in een plugin of een gestolen beheerderswachtwoord.
- https overal, met doorsturen van http naar https en HSTS. Zie Bezoekers verplicht doorsturen naar https en HSTS en beveiligingsheaders voor je website.
Card testing herkennen en beperken
Bij card testing plaatsen criminelen automatisch veel kleine bestellingen om te zien welke gestolen kaarten werken. Je herkent het aan veel bestellingen in korte tijd, vaak van hetzelfde goedkope product, met wisselende namen en veel bestellingen met de status Mislukt. Het kost je transactiekosten en terugboekingen, en in het ergste geval blokkeert je betaalprovider je account.
- Rate limiting (een grens aan het aantal verzoeken per tijd). WooCommerce heeft dit ingebouwd voor de afrekenblokken, maar het staat standaard uit. Zet het aan bij WooCommerce > Instellingen > Geavanceerd > Functies, optie Rate limiting Checkout block and Store API.
- Een captcha bij het afrekenen. Aanvallers wisselen vaak van IP-adres; rate limiting en een captcha samen werken het best.
- De fraudefilters van je betaalprovider. Zet ze aan en kijk wat ze melden.
- 3-D Secure, de extra bevestiging in de bankapp, maakt misbruik van gestolen kaarten lastiger.
Wat je hoster doet, en wat niet
Bij WebOké geregeld:
- Een gratis Let's Encrypt-certificaat voor https
- HSTS staat op de meeste servers standaard aan
- De Web Applicatie Firewall staat standaard aan en houdt bekende aanvallen tegen
- Imunify360 controleert nieuwe bestanden direct op malware en scant je pakket regelmatig
- Elke nacht een back-up van je hele pakket, 30 dagen bewaard, in een ander datacenter
Blijft bij jou (of je webbouwer):
- WordPress, WooCommerce, thema en plugins bijwerken (Installatron kan dat automatisch doen, zie Updates en automatische updates)
- De koppeling en de fraude-instellingen bij je betaalprovider
- Welke scripts er op je afrekenpagina staan
- Sterke wachtwoorden en tweestapsverificatie voor beheerders
- Rate limiting, captcha en het nalopen van verdachte bestellingen
Software die je zelf installeert, ook via Installatron, beheer je zelf. Wordt je site toch gehackt, volg dan het stappenplan Mijn website is gehackt: stappenplan. Raakt een inbraak persoonsgegevens van klanten, lees dan ook Is dit een datalek en moet ik het melden?
Verder lezen
- Gratis cursus Veilig online, les 4.2 Je website: https, HSTS en beveiligingsheaders
- PCI Security Standards Council over SAQ A (Engels)
- WooCommerce over card testing en rate limiting (Engels)