Jeśli Twój formularz zbiera dane płatnicze, podlegasz surowym zasadom bezpieczeństwa, czy zdajesz sobie z tego sprawę, czy nie. Standard bezpieczeństwa danych branży kart płatniczych (PCI DSS, Payment Card Industry Data Security Standard) ustala wymagania dla każdego, kto przyjmuje, przechowuje lub przetwarza dane kart płatniczych. Naruszenie PCI DSS grozi karami rzędu tysięcy dolarów dziennie, a do tego dochodzi odpowiedzialność w razie kradzieży danych kart.
Podstawowa zasada PCI DSS jest prosta. Nigdy sam nie przechowuj surowych danych kart płatniczych. Unikanie danych wrażliwych w formularzach i korzystanie z odpowiednich operatorów płatności chroni Twoją markę i klientów oraz zapewnia zgodność z przepisami.
Czego się dowiesz: czym jest PCI DSS i kiedy ma zastosowanie, jakich danych płatniczych nigdy nie wolno zbierać, jak bezpiecznie zbudować formularze płatności, jak poprawnie używać operatorów płatności i co zrobić, jeśli dane wrażliwe zostały już zebrane.
Czym jest PCI DSS?
PCI DSS (Payment Card Industry Data Security Standard) to zestaw standardów bezpieczeństwa stworzonych przez największe organizacje kartowe. Dotyczy każdej firmy, która przyjmuje, przechowuje, przesyła lub przetwarza dane kart kredytowych.
PCI DSS dotyczy Ciebie, jeśli:
- Prowadzisz sklep internetowy przyjmujący karty kredytowe
- Masz formularz zbierający dane płatnicze
- Używasz faktur wysyłanych e-mailem z instrukcjami płatności
- Przechowujesz dane płatnicze klientów do rozliczeń cyklicznych
- Jakikolwiek pracownik ma dostęp do danych kart płatniczych
Możesz myśleć, że PCI DSS Cię nie dotyczy, jeśli korzystasz z operatora płatności, ale odpowiadasz za sposób zbierania danych, zanim trafią do operatora.
Poziomy PCI DSS i kto musi spełniać wymogi
Wymogi zgodności z PCI DSS różnią się w zależności od wolumenu przetwarzanych transakcji:
Poziom 1: firmy przetwarzające ponad 6 milionów transakcji rocznie. Muszą być co roku audytowane przez zewnętrznego audytora. Najsurowsze wymogi.
Poziom 2: firmy przetwarzające od 1 do 6 milionów transakcji rocznie. Muszą wypełnić szczegółową samoocenę.
Poziom 3: firmy przetwarzające od 20 000 do 1 miliona transakcji rocznie. Muszą wypełnić samoocenę.
Poziom 4: firmy przetwarzające poniżej 20 000 transakcji rocznie. Najprostsze wymogi. Większość małych firm należy tutaj.
Nawet poziom 4 (małe firmy) ma surowe wymogi. Nie możesz po prostu przyjmować danych kart płatniczych, jak chcesz.
Główna zasada: nigdy nie przechowuj surowych danych kart
Najważniejsza zasada PCI DSS: nie zbieraj ani nie przechowuj pełnych numerów kart kredytowych, dat ważności ani kodów zabezpieczających (CVV) we własnej bazie danych ani na własnych serwerach.
NIGDY nie zbieraj:
- Pełnych numerów kart kredytowych (PAN: Primary Account Number)
- Dat ważności
- Kodów zabezpieczających (CVV/CVC)
NIGDY nie przechowuj ich, nawet jeśli je szyfrujesz.
Jeśli Twój formularz zbiera te dane, a Ty przechowujesz je samodzielnie, naruszasz PCI DSS. Kary są dotkliwe:
- Kary od 5000 do 100 000 dolarów miesięcznie za brak zgodności
- Odpowiedzialność, jeśli dane kart zostaną skradzione i użyte do oszustw
- Odpowiedzialność za straty z oszustw i koszty powiadamiania klientów
- Operatorzy kart kredytowych mogą odebrać Ci możliwość przyjmowania płatności
Co MOŻESZ zbierać i przechowywać
Niektóre dane związane z płatnościami można bezpiecznie zbierać:
- Imię i nazwisko oraz adres rozliczeniowy: do weryfikacji i wysyłki
- Adres e-mail: do wysyłania potwierdzeń i komunikacji
- Ostatnie 4 cyfry numeru karty: w celach referencyjnych (np. „metoda płatności kończąca się na 4242"), ale tylko jeśli nie zbierasz pełnego numeru
- Kwota i data płatności: do prowadzenia dokumentacji
- Identyfikator transakcji od operatora płatności: do dopasowywania i uzgadniania
Klucz: możesz przechowywać dane klienta, dane zamówienia i numery referencyjne. Nie możesz przechowywać faktycznych danych karty płatniczej.
Jak bezpiecznie obsługiwać dane płatnicze
Nigdy nie twórz własnego formularza płatności
Nie buduj formularza, który zbiera dane kart kredytowych bezpośrednio. W chwili, gdy formularz płatności wysyła dane karty na Twój serwer, odpowiadasz za zgodność z PCI DSS.
Użyj operatora płatności ze stronami płatności hostowanymi u niego
Operatorzy płatności udostępniają hostowane strony płatności. To formularze działające na bezpiecznych serwerach operatora, a nie na Twoich. Gdy klient wypełnia formularz płatności, dane karty trafiają bezpośrednio do operatora. Twój serwer nigdy nie widzi pełnego numeru karty.
Przykładowy przepływ:
- Klient wypełnia Twój formularz zamówienia (imię i nazwisko, e-mail, adres wysyłki)
- Klient klika „Zapłać"
- Przeglądarka przekierowuje do bezpiecznego formularza operatora płatności
- Klient wpisuje dane karty w formularzu operatora
- Operator przetwarza płatność i wysyła Ci powiadomienie
- Twój formularz otrzymuje tylko identyfikator transakcji, a nie dane karty
Nigdy nie obsługujesz danych karty, więc zgodność z PCI DSS leży po stronie operatora.
Użyj iframe do płatności
Niektórzy operatorzy udostępniają iframe, który możesz osadzić w swoim formularzu. Iframe jest w rzeczywistości hostowany na bezpiecznych serwerach operatora, ale wygląda jak część Twojej strony. Klient widzi jeden spójny formularz, ale sekcja płatności jest tak naprawdę na serwerach operatora.
Użyj API płatności z tokenizacją
Zaawansowani operatorzy płatności pozwalają zbierać dane płatnicze w Twoim formularzu za pomocą ich biblioteki JavaScript. Biblioteka szyfruje dane w przeglądarce klienta, zanim trafią na Twój serwer. Wysyła Ci token (bezpieczne odniesienie) zamiast faktycznych danych karty. Przechowujesz token, a nie kartę.
Wymaga to starannego wdrożenia, by uniknąć obsługi niezaszyfrowanych danych kart. Używaj tylko wtedy, gdy w pełni rozumiesz proces.
Czego NIE robić
Nie wysyłaj danych płatniczych e-mailem. Nie proś klientów o wysyłanie numerów kart kredytowych e-mailem. E-mail nie jest szyfrowany i nie jest bezpieczny.
Nie proś o CVV, jeśli przechowujesz kartę. Jeśli przechowujesz kartę do płatności cyklicznych, nie należy prosić o CVV ani go zapisywać. CVV jest potrzebne tylko w chwili płatności.
Nie zbieraj danych kart w zwykłym formularzu i nie wysyłaj ich sobie e-mailem. To wysyła dane płatnicze niezaszyfrowanym e-mailem, co jest naruszeniem PCI DSS.
Nie przechowuj danych kart w arkuszu kalkulacyjnym, pliku tekstowym ani bazie danych bez szyfrowania. Jeśli dane kart zostały już zebrane (czego nie powinno być), musisz je zaszyfrować lub natychmiast usunąć.
Jeśli dane wrażliwe zostały już zebrane
Jeśli masz formularz, który zbierał pełne numery kart kredytowych lub kody CVV, natychmiast przestań:
- Przestań zbierać dane. Natychmiast usuń pola karty z formularza.
- Zabezpiecz to, co masz. Jeśli zapisano dane kart, zaszyfruj je lub usuń.
- Przejdź na operatora płatności. Skonfiguruj zgodną metodę płatności z użyciem zewnętrznego operatora.
- Powiadom poszkodowanych klientów. Jeśli doszło do wycieku albo dane kart klientów nadal są przechowywane, powiadom ich.
- Skonsultuj się z prawnikiem. Jeśli dane kart były zbierane w niebezpieczny sposób, możesz podlegać odpowiedzialności regulacyjnej. Zasięgnij porady prawnej.
Tokenizacja: bezpieczny sposób przechowywania metod płatności
Tokenizacja to proces zastępowania wrażliwych danych płatniczych niewrażliwym numerem referencyjnym.
Bez tokenizacji: zapisujesz „4532-1234-5678-9010" w swojej bazie danych.
Z tokenizacją: operator płatności przechowuje „4532-1234-5678-9010" i daje Ci token, np. „tok_abc123def456". Ty zapisujesz token.
Gdy musisz ponownie obciążyć kartę (przy rozliczeniach cyklicznych), wysyłasz token do operatora. Operator używa tokenu, by odzyskać oryginalne dane karty i zrealizować obciążenie. Nigdy nie obsługujesz samej karty.
Tokeny można bezpiecznie przechowywać. Nie da się ich użyć do przetwarzania płatności bez wiedzy operatora i nie ujawniają numeru karty.
Wymogi PCI DSS wykraczające poza formularze płatności
Nawet jeśli poprawnie używasz operatora płatności, PCI DSS ma inne wymogi:
- Zabezpiecz swoje serwery. Aktualizuj oprogramowanie, używaj zapór, ograniczaj dostęp.
- Używaj silnych haseł. Dla konta u operatora płatności i wszystkich kont administracyjnych.
- Szyfruj dane w tranzycie i w spoczynku. Używaj HTTPS, szyfruj bazy danych.
- Monitoruj i audytuj. Rejestruj dostęp do systemów związanych z płatnościami, regularnie przeglądaj logi.
- Szkol pracowników. Każdy z dostępem do danych płatniczych potrzebuje szkolenia z bezpieczeństwa.
- Przestrzegaj standardów bezpieczeństwa sieci. PCI DSS obejmuje 12 głównych wymogów dotyczących kontroli dostępu, monitorowania i reagowania na incydenty.
Jeśli przetwarzasz płatności, zapoznaj się ze wszystkimi 12 wymogami PCI DSS. Wiele z nich wykracza poza samo bezpieczeństwo formularzy.
Co WEMASY robi w zakresie bezpieczeństwa płatności
Formularze e-commerce w WEMASY nie zbierają ani nie przechowują surowych danych płatniczych. Gdy konfigurujesz formularz płatności w WEMASY, integruje się on z operatorami płatności zgodnymi z PCI. Formularz płatności przekierowuje do bezpiecznego systemu operatora albo osadza bezpieczny iframe udostępniony przez operatora. Nigdy nie obsługujesz danych kart, a WEMASY ich nie przechowuje. Twoja firma pozostaje zgodna z PCI DSS automatycznie.
Dowiedz się więcej o tym, jak WEMASY bezpiecznie obsługuje płatności, w ustawieniach konta albo na stronie z cennikiem.