Bezpieczeństwo płatności w sklepie internetowym: PCI, card testing i działania Państwa dostawcy hostingu
Kto przyjmuje płatności online, ma do czynienia z zasadami bezpieczeństwa organizacji kartowych (PCI DSS), z przestępcami chcącymi wykraść dane kart oraz z card testing: wypróbowywaniem skradzionych kart w Państwa sklepie. Ten artykuł wyjaśnia, co to oznacza dla małego sklepu internetowego, co należy zrobić samodzielnie, a co załatwia za Państwa hoster.
Zasada podstawowa: dane kart nigdy nie trafiają do Państwa sklepu
Numer karty, datę ważności oraz kod bezpieczeństwa klient wpisuje u dostawcy płatności, a nie w Państwa własnym sklepie. Państwa sklep otrzymuje jedynie informację, czy płatność się powiodła. Oznacza to również:
- nigdy nie należy tworzyć własnego pola formularza na numery kart, również przy zamówieniach telefonicznych;
- nigdy nie należy przyjmować danych kart przez e-mail, czat lub telefon i zapisywać ich w notatce przy zamówieniu;
- żadna wtyczka nie powinna przechowywać danych kart we własnej bazie danych.
PCI DSS i SAQ A w prostych słowach
PCI DSS (Payment Card Industry Data Security Standard) to standard bezpieczeństwa organizacji kartowych, obecna wersja to v4.0.1. Firma, która samodzielnie przetwarza dane kart, musi spełnić obszerny zestaw wymagań. Mały sklep, który w pełni zleca obsługę płatności, potwierdza zgodność za pomocą krótkiej ankiety: SAQ A (Self-Assessment Questionnaire A). Czasami prosi o to Państwa dostawca płatności.
Zlecenie obsługi może przebiegać na dwa sposoby:
- Przekierowanie: po złożeniu zamówienia klient trafia na stronę płatności dostawcy, a następnie wraca z powrotem.
- Osadzone pole płatności: pole płatności znajduje się na Państwa stronie podsumowania zamówienia, ale jest fragmentem strony (iframe) dostawcy.
Od 31 marca 2025 obowiązuje nowa wersja SAQ A. Kto korzysta z osadzonego pola płatności, musi potwierdzić, że jego strona nie jest podatna na ataki skryptami, które mogłyby wpłynąć na płatność. Kto korzysta z przekierowania, nie podlega temu warunkowi. Proszę zapytać swojego dostawcę płatności, która ankieta dotyczy Państwa integracji.
Ochrona strony podsumowania zamówienia
- Strona podsumowania zamówienia powinna być maksymalnie uproszczona. Każdy skrypt na tej stronie może w zasadzie odczytywać to, co wpisuje klient (e-skimming): widżety czatu, menedżery tagów, piksele reklamowe. Proszę ładować tam tylko to, co jest niezbędne do płatności.
- Jak najmniej wtyczek, zawsze aktualnych. Złośliwe skrypty najczęściej dostają się do systemu przez lukę w wtyczce lub skradzione hasło administratora.
- https wszędzie, z przekierowaniem z http na https oraz HSTS. Zobacz Obowiązkowe przekierowanie odwiedzających na https oraz HSTS i nagłówki bezpieczeństwa dla Państwa strony.
Rozpoznawanie i ograniczanie card testing
Podczas card testing przestępcy automatycznie składają wiele małych zamówień, aby sprawdzić, które skradzione karty działają. Można to rozpoznać po dużej liczbie zamówień w krótkim czasie, często tego samego taniego produktu, z różnymi nazwiskami i wieloma zamówieniami o statusie Nieudane. Kosztuje to Państwa opłaty transakcyjne i obciążenia zwrotne, a w najgorszym przypadku dostawca płatności zablokuje Państwa konto.
- Rate limiting (ograniczenie liczby żądań w czasie). WooCommerce ma to wbudowane dla bloków podsumowania zamówienia, ale domyślnie jest to wyłączone. Proszę włączyć tę funkcję w WooCommerce > Ustawienia > Zaawansowane > Funkcje, opcja Rate limiting Checkout block and Store API.
- Captcha przy składaniu zamówienia. Atakujący często zmieniają adres IP, dlatego rate limiting i captcha razem działają najlepiej.
- Filtry antyfraudowe dostawcy płatności. Proszę je włączyć i sprawdzać, co zgłaszają.
- 3-D Secure, dodatkowe potwierdzenie w aplikacji bankowej, utrudnia nadużycie skradzionych kart.
Co robi Państwa hoster, a czego nie
Zapewnione przez WebOké:
- Bezpłatny certyfikat Let's Encrypt dla https
- HSTS jest domyślnie włączony na większości serwerów
- Web Application Firewall jest domyślnie włączony i blokuje znane ataki
- Imunify360 sprawdza nowe pliki natychmiast pod kątem złośliwego oprogramowania i regularnie skanuje Państwa pakiet
- Codzienna kopia zapasowa całego pakietu, przechowywana przez 30 dni, w innym centrum danych
Pozostaje po Państwa stronie (lub po stronie Państwa twórcy strony):
- Aktualizacja WordPressa, WooCommerce, motywu i wtyczek (Installatron może robić to automatycznie, zobacz Aktualizacje i automatyczne aktualizacje)
- Integracja i ustawienia antyfraudowe u Państwa dostawcy płatności
- Jakie skrypty znajdują się na Państwa stronie podsumowania zamówienia
- Silne hasła i weryfikacja dwuetapowa dla administratorów
- Rate limiting, captcha oraz kontrola podejrzanych zamówień
Za oprogramowanie instalowane samodzielnie, również za pomocą Installatron, odpowiadają Państwo sami. Jeśli mimo wszystko dojdzie do włamania na Państwa stronę, proszę postępować zgodnie z planem działania Moja strona została zhakowana: plan działania. Jeśli włamanie dotyczy danych osobowych klientów, proszę zapoznać się także z artykułem Czy to jest naruszenie ochrony danych i czy muszę je zgłosić?
Więcej informacji
- Bezpłatny kurs Bezpiecznie online, lekcja 4.2 Twoja strona: https, HSTS i nagłówki bezpieczeństwa
- PCI Security Standards Council o SAQ A (po angielsku)
- WooCommerce o card testing oraz rate limiting (po angielsku)