mit Zahlung Gateway und PCI-Compliance

Question

Ich überlege, mit eWay als Zahlungs-Gateway. Sie bieten zwei Möglichkeiten. Eine besteht darin, den Benutzern zu erlauben, Kreditkartendaten auf der von eWay gehosteten Website einzugeben, die andere, mein eigenes Formular zu verwenden und Kreditkartendaten über meinen Server an eWays-Backend zu senden. Die zweite Option (their page with details) scheint für mich passender zu sein, da der Benutzer meine Website niemals verlassen würde und das Branding beibehalten würde. Jetzt sprach ich mit dem Support und sie sagten, dass meine Site PCI-konform sein wird, solange ich SSL verwende. Im Grunde kann ich Benutzern erlauben, CC-Nummern auf meiner Website bereitzustellen und sie über XML an eWays-Backend zu senden. Solange ich keine sensiblen Daten speichere, sondern nur übertrage ist es ok. Bis jetzt dachte ich, solange CC-Daten meinen Server erreichen, muss meine Seite PCI-konform sein, aber jetzt bin ich mir nicht sicher. Wenn mir jemand erklären könnte, wie es wirklich ist, würde das sehr geschätzt werden.

Answer 1

Wenn Ihr System Kartendaten verarbeitet, muss es in den PCI-Bereich fallen und PCI-konform sein.

Frage: An wen wendet sich PCI an?
A: PCI gilt für alle Organisationen oder Händler, unabhängig von ihrer Größe oder Anzahl der Transaktionen, dass akzeptiert, trägt oder speichert alle Karteninhaber Daten. wenn überhaupt Kunden dieser Organisation, sagte eine andere Art und Weise, je den Händler zahlen direkt eine Kreditkarte oder EC-Karte, dann die PCI DSS-Anforderungen

http://www.pcicomplianceguide.org/pcifaqs.php

bearbeiten gelten; "eWays" als Ihr Gateway-Anbieter sind Stufe 1, und es ist ihnen recht, um sicherzustellen, dass Ihre PCI-konform ist, so dass es ein bisschen zweifelhaft von ihnen ist, Sie mit dem SSL-Spiel zu geben.

Answer 2

Wir haben kürzlich Kreditkartentransaktionen für eine E-Commerce-Website unter Verwendung eines anderen Zahlungsgateway-Anbieters implementiert. Das haben wir über die PCI-DSS-Compliance erfahren.

1. Wenn Ihre Geschäftsanforderungen ist die Speicherung von Kundeninformationen mit ihren Kreditkartendaten dann den Server und Netzwerk um sie kompatibel zu PCI
2. jedoch, wenn die Speicherung der Kundeninformationen Kreditkartendaten sollten nicht eine kritische Anforderung ist dann Verwenden Sie die ssl-Form des Payment-Gateway-Providers. Sie sollten Mittel zur Verfügung stellen, um das Formular so anzupassen, dass Sie es entsprechend Ihrer Firma brandmarken können.

Detaillierte PCI DSS Anforderungen werden an diesem Link PCI Data Security Standards

Answer 3

gefunden Es scheint, wie Sie viele widersprüchliche Antworten erhalten haben. Ich arbeite in einem Zahlungsunternehmen und habe ein Level 1 Service Provider-Audit absolviert, und ich beschäftige mich täglich mit Händlern und deren PCI-Anforderungen, daher denke ich, dass ich Ihnen helfen kann, dies für Sie zu klären.

Die Realität ist, dass Sie PCI-konform sein müssen, wenn Sie Kreditkarten akzeptieren, auch wenn Sie ALLE Karteninhaber-Datenfunktionen auslagern. Der Trick ist, dass der Standard, den Sie erfüllen müssen, weit weniger restriktiv ist als der Standard, den das Payment-Gateway erfüllen muss - aber das bedeutet nicht, dass "PCI nicht zutrifft".Sie müssen sich nicht mit den wirklich strengen Netzwerksicherheitsanforderungen auseinandersetzen, aber es gibt Aspekte des PCI DSS, die Sie einhalten müssen, und Sie müssen jährlich ein Self-Assessment-Audit durchführen. `

Für Einzelheiten darüber, mit welchem ​​Teil des DSS Sie sich befassen müssen, gehen Sie auf https://www.pcisecuritystandards.org/saq/instructions_dss.shtml und klicken Sie auf den Link für SAQ Validation Type 1 (Fragebogen A). Dadurch erfahren Sie genau, welche Teile des PCI DSS Sie als Händler mit allen ausgelagerten Karteninhaberfunktionen implementieren müssen.

Hoffe, dies hilft, die Dinge für Sie aufzuräumen!

Answer 4

Kurz gesagt, wenn Sie Zahlungen akzeptieren (auch wenn Sie sie vollständig auslagern), müssen Sie PCI-konform sein. Der größte Faktor bei der Bestimmung, wie viele Sicherheitssteuerelemente Sie erfüllen müssen, ist die Art des Zahlungsgateways, das Sie verwenden.

Ich half ein white paper for the Drupal community Autor, aber die Konzepte gelten auf der ganzen Linie. Ich empfehle es sehr, es zu lesen. Falls Sie Feedback haben, melden Sie bitte ein Problem in der github-Problem-Warteschlange.