Ivan, bu kesinlikle muazzam bir konu. Ve burada bir sürü sorunuz var. Yardım etmeye çalışacağım ama bu muhtemelen çok geniş bir şekilde kapanacak.

CC bilgilerini depolamanın yükümlülüklerinin müşteriden numaralar için yeniden sormak zorunda olmamanın getirdiği kolaylıklardan ağır bastığı konusunda üst düzey kuruluşlara bir vaka sunmayı planlıyorum, ancak Amazon ve benzeri satıcıların tekrarlanan satın alma işlemleri için bilgi depolamaktan nasıl kaçtıkları sorulacak ve buna cevabım yok.

Kredi kartı verilerini saklamak tamamen kabul edilebilir, ancak orada bunu nasıl yaptığınızı çevreleyen bir ton kuraldır - nerede, nasıl, denetim vb. Bu konuda çok sayıda kitap var.

Peki, Amazon gibi satıcılar ve aylık olarak fatura kesen herkes, PCI DSS v3 tarafından açıkça yasaklanan CVV bilgileri gibi şeyleri depolamadan gelecekteki ücretleri nasıl yetkilendiriyor?

CVV bilgilerine hiç sahip olmanıza gerek yoktur, bu sadece sahtekarlığa yardımcı olur. İlk kez kontrol ettikten sonra (diske yazmadan da yapılabilir) kartın hileli olmadığını varsayabilirsiniz. Yapması gereken işi yaptı.

Başka bir yerde şerit bilgisi yerine belirteçlerin oluşturulup depolanabileceğini okudum, ancak şerit içeriğini temsil eden bir simgeye sahip olmak şerit bilgisinin kendisi kadar değerli değil mi? Jetona sahip olan herhangi biri hileli ödemeler yapabilir, bu yüzden buna veya gerçek CC / CVV bilgilerine sahip olup olmadıkları kimin umurunda?

Kart sahibi bilgilerini dışarı çıkarmayı başarırsanız, çevrenize ve başkasının bakımına. 'Belirteç', sisteminizin hala geleneksel anlamda hareket etmesine izin veren benzersiz bir tanımlayıcıdır. Sağlayıcınıza bir jeton listesi sağlarsınız ve bunları gerçek sayılara çevirirler.

Bu iyidir çünkü gerçek sayıları saklamak / işlemek / vb. onların sorumluluğundadır. Bu konuda sorumluluğunuz ortadan kalkar.

Ya da jeton dönüştürme, "gerçek PAN / CVV'yi depolamıyoruz" demenin ve düzenlemelere uygunluk sorunlarını bunu gönderen kişiye iletmenin bir yolu mu?

Kesinlikle, ancak işleyen kişilere, jetonları kimin oluşturduğuna değil. :)

Düzenleme: Pek çok işletme uyumsuzluğun maliyetini anlamadan ilgilenmiyor.

Bkz. http://www.pcistandard.com/card-association-fines/

Birkaç yıl geçti, ancak e-ticaret yaparken (daha önce düz metin olarak binlerce kredi kartı numarası depolayan büyük bir şirket için bir iş dahil), tercih ettiğim yöntem Authorize.net'in CIM hizmetini (diğer sağlayıcılar benzer hizmetler var, bu sadece en aşina olduğum hizmet; sizin için en uygun olanı araştırın).

İşleyiş şekli, bilgiyi işlemciye göndermeniz ve onların bir jeton geri vermesiydi. Token, gerçek kart verilerinden daha güvenlidir çünkü bu kartı hesabınıza yalnızca o işlemciyi kullanarak şarj etmek iyidir. Birisi jetonu alıp başka bir yerde kullanamazdı ve eğer alırlarsa, bununla yapabilecekleri tek şey sizden sahte ödemeler yapmak olurdu, bu da hesabınıza para koyar ve sizi kötü gösterir, ancak yapabilirsiniz parayı iade edin ve jetonları iptal edin ve geçici rahatsızlık dışında gerçek bir zarar verilmez - kötü adamlar için para kaybı olmaz ve kartı değiştirmeye gerek yoktur.

Yinelenen ücretler tutarlı ve planlıysa, başka bir kart işleme hizmetleri, başlangıçta kart bilgilerini ne sıklıkla faturalandıracağınızla ilgili bir plan açıklamasıyla birlikte gönderdiğiniz abonelik planları oluşturmanıza olanak tanır. Daha sonra planı iptal edebilirsiniz, ancak ne kart bilgileriniz ne de jetonunuz yoktur, bu nedenle yanlışlıkla onlardan ücret alamazsınız (bir jetonla yapabileceğiniz gibi) veya bir ihlal durumunda kart bilgilerini kaybedemezsiniz.

CVV'yi hiçbir şekilde saklamayın, bu kesinlikle yasaktır. Buna hiç ihtiyacınız yok ve buna sahip olmak büyük bir sorumluluk. En fazla jeton veya abonelik kimliği dışında hiçbir şey saklamanıza gerek yoktur. Son 4 basamak ve kart türü (visa / mastercard / vb.) Müşteri hizmetlerine yardımcı olabilir, ancak gerçekten gerekli değildir.

RSTaylor sizi doğru yönü gösteriyor. Sizin için kredi kartı işlemlerini sağlayacak şirketler var (tabii ki bir ücret karşılığında). Müşterinin numarası hiçbir zaman sunucularınıza, RAM'e bile gitmeyecek, böylece orada tehlikeye atılmayacak şekilde bir site oluşturabilirsiniz.

Sorumluluk Reddi 1: Bu şirketin dürüstlüğüne ve uyumluluğuna güvenmeniz gerekir. Belirli bir şirketi önerecek kadar bilgim yok.

Sorumluluk Reddi 2: Kredi kartı işlevini sitenize sorunsuz bir şekilde yerleştirmek de biraz yanıltıcı olabilir, ancak yapılabilir.

Sorunuz için

Öyleyse, Amazon gibi satıcılar ve aylık fatura kesen herkes, CVV bilgileri gibi şeyleri depolamaksızın, PCI DSS v3 tarafından açıkça yasaklanmış olan gelecekteki ücretleri nasıl yetkilendiriyor?

Bununla ilgili kesin bir senaryo vermek istiyorum.

1. Kindle'ım aracılığıyla Amazon'dan tek tıkla ödeme işlemiyle kitap satın alıyorum ancak ödeme başarısız oluyor. Kredi kartımda yeterli kredi olduğundan eminim ve Amazon'da hep aynı kartla alışveriş yaparım.
2. Sipariş ayrıntılarını kontrol ettiğimde ödeme sürecinde sorun olduğunu söylüyor ve benden başka bir kart kullanmamı istiyor.
3. Kart ve banka bilgilerini kontrol ettiğimde, bankamın bir dolandırıcılık kontrolü olduğunu fark ediyorum çünkü bazı kart verilerini çaldı ve tüm çevrimiçi ödemeler için CVV gerekiyor.

Yani bu, tüccar ve banka arasındaki bir dolandırıcılık kuralıyla ilgili olduğu anlamına geliyor.