Сигурност на плащанията във Вашия онлайн магазин: PCI, card testing и какво прави Вашият хостинг доставчик

Който получава онлайн плащания, се сблъсква с правилата за сигурност на картовите компании (PCI DSS), с престъпници, които искат да откраднат данни от карти, и с card testing: изпробване на откраднати карти във Вашия магазин. Тази статия обяснява какво означава това за малък уебшоп, какво правите сами и какво Вашият хостинг доставчик урежда и какво не.

Основното правило: данните на картата никога не попадат във Вашия магазин

Номерът на картата, датата на валидност и кодът за сигурност клиентът въвежда при Вашия доставчик на разплащания, не във Вашия собствен магазин. Вашият магазин получава само информация дали е платено. Това означава и:

• никога собствено поле във формуляр за номера на карти, дори не и за поръчка по телефона;
• никога не приемайте данни от карти по имейл, чат или телефон и не ги записвайте в бележка към поръчка;
• никакъв плъгин, който съхранява данни от карти във Вашата собствена база данни.

PCI DSS и SAQ A на прост език

PCI DSS (Payment Card Industry Data Security Standard) е стандартът за сигурност на картовите компании; настоящата версия е v4.0.1. Фирма, която сама обработва данни от карти, получава с това значителен набор от изисквания. Малък магазин, който напълно възлага плащането на външен доставчик, доказва със кратък въпросник, че отговаря на условията: SAQ A (Self-Assessment Questionnaire A). Вашият доставчик на разплащания понякога изисква това.

Възлагането може да стане по два начина:

1. Пренасочване: след поръчката клиентът отива на страницата за плащане на доставчика и след това се връща обратно.
2. Вградено поле за плащане: полето за плащане се намира на Вашата страница за плащане, но е част от страница (iframe) на доставчика.

От 31 март 2025 г. важи нова версия на SAQ A. Който използва вградено поле за плащане, трябва в него да потвърди, че сайтът му не е уязвим за атаки чрез скриптове, които могат да засегнат плащането. Който пренасочва, не попада под това условие. Попитайте Вашия доставчик на разплащания кой въпросник се отнася за Вашата връзка.

Защита на страницата за плащане

• Поддържайте страницата за плащане обикновена. Всеки скрипт на тази страница по принцип може да проследява какво въвежда клиентът (e-skimming): чат уиджети, мениджъри на тагове, рекламни пиксели. Зареждайте там само това, което е необходимо за плащането.
• Малко плъгини, и винаги актуализирани. Злонамерените скриптове обикновено проникват чрез уязвимост в плъгин или откраднато администраторско парола.
• https навсякъде, с пренасочване от http към https и HSTS. Вижте Задължително пренасочване на посетители към https и HSTS и заглавия за сигурност за Вашия уебсайт.

Разпознаване и ограничаване на card testing

При card testing престъпниците автоматично правят много малки поръчки, за да видят кои откраднати карти работят. Разпознавате го по много поръчки за кратко време, често за един и същ евтин продукт, с различни имена и много поръчки със статус Неуспешна. Това Ви струва такси за транзакции и връщания на плащания, а в най-лошия случай Вашият доставчик на разплащания блокира акаунта Ви.

• Rate limiting (ограничение на броя заявки за определено време). WooCommerce има това вградено за блоковете за плащане, но то е изключено по подразбиране. Включете го в WooCommerce > Настройки > Разширени > Функции, опция Rate limiting Checkout block and Store API.
• Капча при плащането. Нападателите често сменят IP адреса си; rate limiting и капча заедно работят най-добре.
• Филтрите за измами на Вашия доставчик на разплащания. Включете ги и проверявайте какво показват.
• 3-D Secure, допълнителното потвърждение в банковото приложение, прави злоупотребата с откраднати карти по-трудна.

Какво прави Вашият хостинг доставчик и какво не

Уредено при WebOké:

• Безплатен Let's Encrypt сертификат за https
• HSTS е включен по подразбиране на повечето сървъри
• Защитната стена за уеб приложения (Web Applicatie Firewall) е включена по подразбиране и спира известни атаки
• Imunify360 проверява новите файлове веднага за злонамерен софтуер и редовно сканира Вашия пакет
• Всяка нощ се прави резервно копие на целия Ви пакет, съхранявано 30 дни, в друг дейта център

Остава за Вас (или за Вашия уеб разработчик):

• Актуализиране на WordPress, WooCommerce, тема и плъгини (Installatron може да прави това автоматично, вижте Актуализации и автоматични актуализации)
• Връзката и настройките за измами при Вашия доставчик на разплащания
• Кои скриптове се намират на Вашата страница за плащане
• Силни пароли и двустепенна проверка за администратори
• Rate limiting, капча и проверка на подозрителни поръчки

Софтуер, който инсталирате сами, дори чрез Installatron, управлявате сами. Ако сайтът Ви все пак бъде хакнат, следвайте плана за действие Моят уебсайт е хакнат: план за действие. Ако пробив засегне лични данни на клиенти, прочетете също Това пробив в данните ли е и трябва ли да го съобщя?

Допълнително четене

• Безплатен курс Безопасно онлайн, урок 4.2 Вашият уебсайт: https, HSTS и заглавия за сигурност
• PCI Security Standards Council относно SAQ A (на английски)
• WooCommerce относно card testing и rate limiting (на английски)

Искате да научите повече? Преминете безплатния курс Онлайн магазин с WooCommerce, урок 6.3 Сигурност на плащанията: PCI и измами.