Siguranța plăților în magazinul dvs. online: PCI, testarea cardurilor și ce face hosterul dvs.

Cine primește plăți online se confruntă cu regulile de securitate ale companiilor de carduri (PCI DSS), cu infractori care doresc să fure datele cardurilor și cu card testing: testarea cardurilor furate în magazinul dumneavoastră. Acest articol explică ce înseamnă acest lucru pentru un magazin online mic, ce puteți face dumneavoastră și ce rezolvă sau nu hosterul dumneavoastră pentru dumneavoastră.

Regula principală: datele cardului nu ajung niciodată în magazinul dumneavoastră

Un număr de card, data de expirare și codul de securitate sunt introduse de client la furnizorul de plăți, nu în magazinul dumneavoastră propriu. Magazinul dumneavoastră primește doar informația dacă s-a efectuat plata. Aceasta înseamnă și:

• niciodată un câmp propriu de formular pentru numere de card, nici măcar pentru o comandă telefonică;
• niciodată nu preluați date de card prin e-mail, chat sau telefon și nu le introduceți într-o notă la o comandă;
• niciun plugin care salvează date de card în propria bază de date.

PCI DSS și SAQ A în termeni simpli

PCI DSS (Payment Card Industry Data Security Standard) este standardul de securitate al companiilor de carduri; versiunea actuală este v4.0.1. O companie care procesează ea însăși date de card primește astfel un pachet amplu de cerințe. Un magazin mic care externalizează complet plata demonstrează conformitatea printr-un chestionar scurt: SAQ A (Self-Assessment Questionnaire A). Furnizorul dumneavoastră de plăți solicită uneori acest lucru.

Externalizarea se poate face în două moduri:

1. Redirecționare: după plasarea comenzii, clientul este direcționat către pagina de plată a furnizorului și apoi revine.
2. Un câmp de plată integrat: câmpul de plată se află în pagina dumneavoastră de finalizare a comenzii, dar reprezintă o secțiune a paginii (iframe) furnizată de furnizor.

Începând cu 31 martie 2025, se aplică o nouă versiune a SAQ A. Cine folosește un câmp de plată integrat trebuie să confirme în acesta că site-ul său nu este vulnerabil la atacuri cu scripturi care pot afecta plata. Cine redirecționează nu se încadrează în această condiție. Întrebați furnizorul dumneavoastră de plăți ce chestionar corespunde integrării dumneavoastră.

Protejarea paginii de finalizare a comenzii

• Păstrați pagina de finalizare a comenzii curată. Fiecare script de pe acea pagină poate, în principiu, citi ceea ce introduce clientul (e-skimming): widgeturi de chat, manageri de etichete, pixeli de publicitate. Încărcați acolo doar ceea ce este necesar pentru plată.
• Puține pluginuri, și întotdeauna actualizate. Scripturile rău intenționate ajung de obicei printr-o vulnerabilitate dintr-un plugin sau o parolă de administrator furată.
• https peste tot, cu redirecționare de la http la https și HSTS. Consultați Redirecționarea obligatorie a vizitatorilor către https și HSTS și headere de securitate pentru site-ul dumneavoastră.

Recunoașterea și limitarea card testing

În cazul card testing, infractorii plasează automat multe comenzi mici pentru a verifica ce carduri furate funcționează. Puteți recunoaște acest lucru prin multe comenzi într-un timp scurt, adesea pentru același produs ieftin, cu nume diferite și multe comenzi cu statusul Eșuat. Acest lucru vă costă comisioane de tranzacție și retrageri de fonduri, iar în cel mai rău caz furnizorul dumneavoastră de plăți vă blochează contul.

• Rate limiting (o limită la numărul de cereri pe unitate de timp). WooCommerce are această funcție integrată pentru blocurile de finalizare a comenzii, dar este dezactivată implicit. Activați-o la WooCommerce > Setări > Avansat > Funcții, opțiunea Rate limiting Checkout block and Store API.
• Un captcha la finalizarea comenzii. Atacatorii schimbă adesea adresa IP; rate limiting și un captcha împreună funcționează cel mai bine.
• Filtrele antifraudă ale furnizorului dumneavoastră de plăți. Activați-le și verificați ce semnalează.
• 3-D Secure, confirmarea suplimentară din aplicația bancară, îngreunează utilizarea abuzivă a cardurilor furate.

Ce face hosterul dumneavoastră și ce nu

Asigurat de WebOké:

• Un certificat gratuit Let's Encrypt pentru https
• HSTS este activat implicit pe majoritatea serverelor
• Firewall-ul pentru aplicații web este activat implicit și blochează atacurile cunoscute
• Imunify360 verifică imediat fișierele noi pentru malware și scanează periodic pachetul dumneavoastră
• În fiecare noapte se face o copie de siguranță a întregului dumneavoastră pachet, păstrată timp de 30 de zile, într-un alt centru de date

Rămâne în responsabilitatea dumneavoastră (sau a dezvoltatorului dumneavoastră web):

• Actualizarea WordPress, WooCommerce, temei și pluginurilor (Installatron poate face acest lucru automat, consultați Actualizări și actualizări automate)
• Integrarea și setările antifraudă la furnizorul dumneavoastră de plăți
• Ce scripturi se află pe pagina dumneavoastră de finalizare a comenzii
• Parole puternice și autentificare în doi pași pentru administratori
• Rate limiting, captcha și verificarea comenzilor suspecte

Software-ul pe care îl instalați dumneavoastră, inclusiv prin Installatron, este administrat de dumneavoastră. Dacă site-ul dumneavoastră este totuși compromis, urmați planul de pași Site-ul meu a fost compromis: plan de pași. Dacă o intruziune afectează datele personale ale clienților, citiți și Este aceasta o breșă de date și trebuie să o raportez?

Citiți mai departe

• Cursul gratuit Siguranță online, lecția 4.2 Site-ul dumneavoastră: https, HSTS și headere de securitate
• PCI Security Standards Council despre SAQ A (în limba engleză)
• WooCommerce despre card testing și rate limiting (în limba engleză)