Maksete turvalisus su veebipoes: PCI, kaardiga testimine ja mida su majutaja teeb

Kes võtab vastu veebimakseid, puutub kokku kaardifirmade turvareeglitega (PCI DSS), kurjategijatega, kes tahavad kaardiandmeid varastada, ja card testing'uga: varastatud kaartide proovimisega sinu poes. See artikkel selgitab, mida see väikese e-poe jaoks tähendab, mida teed ise ja mida sinu hostija sinu eest korraldab ja mida mitte.

Põhireegel: kaardiandmed ei jõua kunagi sinu poodi

Kaardinumbri, kehtivusaja ja turvakoodi sisestab klient sinu maksepakkuja juures, mitte sinu enda poes. Sinu pood saab teada ainult seda, kas maksti või mitte. See tähendab ka seda, et:

• ei ole kunagi oma vormivälja kaardinumbrite jaoks, isegi mitte telefoni teel tellimise puhul;
• ei võeta kunagi kaardiandmeid vastu e-posti, vestluse või telefoni teel ega panda neid tellimuse juurde märkmesse;
• ei kasutata pluginat, mis salvestab kaardiandmeid sinu enda andmebaasi.

PCI DSS ja SAQ A lihtsas keeles

PCI DSS (Payment Card Industry Data Security Standard) on kaardifirmade turvastandard; praegune versioon on v4.0.1. Ettevõte, kes töötleb kaardiandmeid ise, saab sellega korraliku hulga nõudeid. Väike pood, kes annab makse täielikult edasi, tõendab lühikese küsimustikuga, et vastab nõuetele: SAQ A (Self-Assessment Questionnaire A). Sinu maksepakkuja küsib seda mõnikord.

Edasi andmine on võimalik kahel viisil:

1. Suunamine: pärast tellimist läheb klient maksepakkuja maksehele ja tuleb siis tagasi.
2. Sisseehitatud maksevälja kasutamine: maksevälja asub sinu tasumislehel, kuid on maksepakkuja lehe osa (iframe).

Alates 31. märtsist 2025 kehtib SAQ A uus versioon. Kes kasutab sisseehitatud maksevälja, peab seal kinnitama, et tema sait ei ole haavatav rünnakute suhtes skriptidega, mis võivad makset mõjutada. Kes suunab edasi, ei kuulu selle tingimuse alla. Küsi oma maksepakkujalt, milline küsimustik käib sinu ühenduse juurde.

Tasumislehe kaitsmine

• Hoia tasumisleht lihtsana. Iga skript sellel lehel saab põhimõtteliselt lugeda, mida klient sisestab (e-skimming): vestlusvidinad, sildihaldurid, reklaamipikslid. Laadi sinna ainult see, mis on makse jaoks vajalik.
• Vähe pluginaid, alati uuendatuna. Pahatahtlikud skriptid jõuavad enamasti sisse pluginate turvaaugu või varastatud halduri parooli kaudu.
• https kõikjal, http suunamisega https peale ja HSTS. Vaata Külastajate kohustuslik suunamine https peale ja HSTS ja turvapäised sinu veebisaidi jaoks.

Card testing'u ära tundmine ja piiramine

Card testing'u puhul teevad kurjategijad automaatselt palju väikeseid tellimusi, et näha, millised varastatud kaardid töötavad. Seda tunned ära paljude tellimuste järgi lühikese aja jooksul, sageli sama odava toote kohta, erinevate nimedega ja paljude tellimustega, mille staatus on Ebaõnnestus. See maksab sulle tehingukulusid ja tagasimakseid ning halvimal juhul blokeerib sinu maksepakkuja sinu konto.

• Rate limiting (päringute arvu piiramine ajaühiku kohta). WooCommerce'il on see tasumisplokkide jaoks sisse ehitatud, kuid see on vaikimisi väljas. Lülita see sisse: WooCommerce > Settings > Advanced > Features, valik Rate limiting Checkout block and Store API.
• Captcha tasumisel. Ründajad vahetavad sageli IP-aadressi; rate limiting ja captcha koos töötavad kõige paremini.
• Sinu maksepakkuja pettusefiltrid. Lülita need sisse ja vaata, mida need näitavad.
• 3-D Secure, lisakinnitus panga rakenduses, muudab varastatud kaartide kuritarvitamise keerulisemaks.

Mida sinu hostija teeb ja mida mitte

WebOké juures korraldatud:

• Tasuta Let's Encrypt sertifikaat https jaoks
• HSTS on enamikel serveritel vaikimisi sees
• Veebirakenduse tulemüür on vaikimisi sees ja tõkestab tuntud rünnakuid
• Imunify360 kontrollib uusi faile kohe pahavara suhtes ja skannib sinu paketti regulaarselt
• Iga öö varukoopia kogu sinu paketist, säilitatakse 30 päeva, teises andmekeskuses

Jääb sinu (või sinu veebiarendaja) hooleks:

• WordPressi, WooCommerce'i, teema ja pluginate uuendamine (Installatron saab seda teha automaatselt, vaata Uuendused ja automaatsed uuendused)
• Ühendus ja pettuseseaded sinu maksepakkuja juures
• Millised skriptid on sinu tasumislehel
• Tugevad paroolid ja kaheastmeline kinnitamine haldurite jaoks
• Rate limiting, captcha ja kahtlaste tellimuste ülevaatamine

Tarkvara, mille paigaldad ise, ka Installatroni kaudu, haldad ise. Kui sinu sait siiski häkitakse, järgi tegevusplaani Minu veebisait on häkitud: tegevusplaan. Kui sissemurdmine puudutab klientide isikuandmeid, loe ka Kas see on andmeleke ja kas pean sellest teatama?

Loe edasi

• Tasuta kursus Turvaline veebis, tund 4.2 Sinu veebisait: https, HSTS ja turvapäised
• PCI Security Standards Council SAQ A kohta (inglise keeles)
• WooCommerce card testing'u kohta ja rate limiting (inglise keeles)