Plačilna varnost v Vaši spletni trgovini: PCI, testiranje kartic in kaj za to poskrbi Vaš ponudnik gostovanja
Kdor sprejema spletna plačila, se sreča z varnostnimi pravili kartičnih družb (PCI DSS), s kriminalci, ki želijo ukrasti podatke o karticah, in s card testingom: preizkušanjem ukradenih kartic v Vaši trgovini. Ta članek pojasnjuje, kaj to pomeni za majhno spletno trgovino, kaj uredite sami in kaj za Vas uredi ali ne uredi Vaš ponudnik gostovanja.
Glavno pravilo: podatki o karticah nikoli ne pridejo v Vašo trgovino
Številko kartice, datum veljavnosti in varnostno kodo stranka vpiše pri Vašem ponudniku plačil, ne v Vaši lastni trgovini. Vaša trgovina izve le, ali je bilo plačilo izvedeno. To pomeni tudi:
- nikoli lastno polje obrazca za številke kartic, tudi ne za telefonsko naročilo;
- nikoli sprejemanje podatkov o karticah po e-pošti, klepetu ali telefonu ter vnos v opombo pri naročilu;
- brez vtičnika, ki podatke o karticah shranjuje v Vašo lastno zbirko podatkov.
PCI DSS in SAQ A v preprostem jeziku
PCI DSS (Payment Card Industry Data Security Standard) je varnostni standard kartičnih družb; trenutna različica je v4.0.1. Podjetje, ki samo obdeluje podatke o karticah, s tem dobi precej obsežen sklop zahtev. Majhna trgovina, ki plačilo v celoti prepusti zunanjemu izvajalcu, s kratkim vprašalnikom dokaže, da izpolnjuje zahteve: s SAQ A (Self-Assessment Questionnaire A). Vaš ponudnik plačil Vas za to včasih zaprosi.
Prenos na zunanjega izvajalca je mogoč na dva načina:
- Preusmeritev: po oddaji naročila stranka odide na plačilno stran ponudnika in se nato vrne nazaj.
- Vdelano plačilno polje: plačilno polje je na Vaši strani za zaključek nakupa, vendar gre za del strani (iframe) ponudnika.
Od 31. marca 2025 velja nova različica SAQ A. Kdor uporablja vdelano plačilno polje, mora v njem potrditi, da njegovo spletno mesto ni dovzetno za napade s skriptami, ki bi lahko vplivale na plačilo. Kdor uporablja preusmeritev, ta pogoj zanj ne velja. Vprašajte svojega ponudnika plačil, kateri vprašalnik velja za Vašo povezavo.
Zaščita strani za zaključek nakupa
- Stran za zaključek nakupa naj bo čim bolj preprosta. Vsaka skripta na tej strani lahko načeloma soodčituje, kaj stranka vtipka (e-skimming): to velja za klepetalne pripomočke, upravitelje oznak, oglaševalske slikovne pike. Naložite le tisto, kar je potrebno za plačilo.
- Čim manj vtičnikov, vedno posodobljenih. Zlonamerne skripte se največkrat prikradejo prek ranljivosti v vtičniku ali ukradenega administratorskega gesla.
- https povsod, s preusmeritvijo s http na https in HSTS. Oglejte si Obvezna preusmeritev obiskovalcev na https in HSTS in varnostne glave za Vaše spletno mesto.
Prepoznavanje in omejevanje card testinga
Pri card testingu kriminalci samodejno oddajo veliko majhnih naročil, da ugotovijo, katere ukradene kartice delujejo. To prepoznate po velikem številu naročil v kratkem času, pogosto za isti poceni izdelek, z različnimi imeni in veliko naročili s statusom Neuspešno. To Vas stane stroškov transakcij in povračil, v najslabšem primeru pa Vaš ponudnik plačil blokira Vaš račun.
- Omejevanje hitrosti (omejitev števila zahtev v določenem času). WooCommerce ima to vgrajeno za bloke zaključka nakupa, vendar je privzeto izklopljeno. Vklopite ga pri WooCommerce > Nastavitve > Napredno > Funkcije, možnost Rate limiting Checkout block and Store API.
- Captcha pri zaključku nakupa. Napadalci pogosto menjavajo IP naslove; omejevanje hitrosti in captcha skupaj delujeta najbolje.
- Filtri za zaznavanje goljufij Vašega ponudnika plačil. Vklopite jih in spremljajte, kaj sporočajo.
- 3-D Secure, dodatna potrditev v bančni aplikaciji, otežuje zlorabo ukradenih kartic.
Kaj uredi Vaš ponudnik gostovanja in kaj ne
Pri WebOké urejeno:
- Brezplačno Let's Encrypt potrdilo za https
- HSTS je na večini strežnikov privzeto vklopljen
- Požarni zid za spletne aplikacije je privzeto vklopljen in zaustavlja znane napade
- Imunify360 takoj preveri nove datoteke glede zlonamerne programske opreme in redno pregleduje Vaš paket
- Vsako noč varnostna kopija celotnega Vašega paketa, hranjena 30 dni, v drugem podatkovnem centru
Ostane pri Vas (ali Vašem spletnem razvijalcu):
- Posodabljanje WordPressa, WooCommerca, teme in vtičnikov (Installatron lahko to opravi samodejno, glejte Posodobitve in samodejne posodobitve)
- Povezava in nastavitve za zaznavanje goljufij pri Vašem ponudniku plačil
- Katere skripte so prisotne na Vaši strani za zaključek nakupa
- Močna gesla in dvostopenjsko preverjanje pristnosti za skrbnike
- Omejevanje hitrosti, captcha in pregledovanje sumljivih naročil
Programsko opremo, ki jo namestite sami, tudi prek Installatrona, upravljate sami. Če Vaše spletno mesto kljub temu vdrejo, sledite načrtu korakov Moje spletno mesto je vdrto: načrt korakov. Če vdor prizadene osebne podatke strank, preberite tudi Ali gre za podatkovni vdor in ali ga moram prijaviti?
Dodatno branje
- Brezplačen tečaj Varno na spletu, lekcija 4.2 Vaše spletno mesto: https, HSTS in varnostne glave
- PCI Security Standards Council o SAQ A (v angleščini)
- WooCommerce o card testingu in omejevanju hitrosti (v angleščini)