Gyakori kérdések és adatvédelem
PCI-DSS megfelelés és a WooCommerce
Mi a PCI-DSS, mikor vonatkozik a boltodra, és mit tehetsz azért, hogy a webhelyed megfeleljen.
A PCI-DSS (Payment Card Industry Data Security Standard) a bankkártyás fizetések adatbiztonsági szabványa. Célja, hogy világszerte egységes legyen a kártyaadatok védelme, és csökkenjen a bankkártyás csalások száma.
Kire vonatkozik?
A szabály mindenkire vonatkozik, aki kártyabirtokosi adatot tárol, feldolgoz vagy továbbít.
- Ha olyan fizetési átjárót használsz, amely a fizetést külső oldalon vagy beágyazott, külső mezőkben intézi (például Stripe, PayPal vagy WooPayments), a webhelyed nem kezeli közvetlenül a nyers kártyaadatot. Mivel a pénztár oldalt továbbra is te szolgálod ki, a PCI-DSS rád is vonatkozik, de a megfelelés hatóköre jóval szűkebb.
- A WooCommerce alapbővítménye nem PCI-tanúsítványú, mert nem kezel kártyaadatot, és nem dolgoz fel fizetést. Amint a boltod bankkártyás fizetést fogad, akár biztonságos, külső átjárón át is, a szabvány hatálya alá kerül.
- A megfelelés végső soron a boltüzemeltető felelőssége. A fizetési szolgáltatód gyakran ki is kényszeríti: kérhet kitöltendő önértékelő kérdőívet (SAQ), vagy jóváhagyott letapogató szolgáltató (ASV) általi átvizsgálást.
- Sok követelmény a tágabb környezetre vonatkozik: a tárhelyre, a használt bővítményekre, a felhasználói jogosultságokra, a frissítésekre és a biztonsági vizsgálatokra.
A 12 alapkövetelmény
| Cél | Követelmények |
|---|---|
| Biztonságos hálózat és rendszerek | Hálózatbiztonsági vezérlők telepítése és karbantartása. Biztonságos beállítások minden rendszerelemen. |
| Fiókadatok védelme | A tárolt fiókadatok védelme. A kártyaadat erős titkosítása nyílt, nyilvános hálózaton való továbbításkor. |
| Sérülékenységkezelés | Minden rendszer és hálózat védelme kártékony szoftverek ellen. Biztonságos rendszerek és szoftverek fejlesztése és karbantartása. |
| Erős hozzáférés-vezérlés | A rendszerelemekhez és a kártyaadathoz való hozzáférés korlátozása a munkához szükséges mértékre. A felhasználók azonosítása és hitelesítése. A kártyaadathoz való fizikai hozzáférés korlátozása. |
| Hálózatok rendszeres figyelése és tesztelése | Minden hozzáférés naplózása és figyelése. A rendszerek és hálózatok biztonságának rendszeres tesztelése. |
| Információbiztonsági szabályzat | Szervezeti szabályzatok és programok az információbiztonság támogatására. |
Mit tehetsz?
- Dolgozz együtt a tárhelyszolgáltatóddal a tűzfalak megfelelő beállításán.
- Használj erős jelszavakat, és gondoskodj a tárhely biztonságáról.
- A WooCommerce soha nem tárolja a kártyaadatot, a hivatalos fizetési átjárók pedig csak részleges adatot őriznek a fizetési tokenek használatakor (például a kártya utolsó 4 számjegyét).
- Használj SSL-t a pénztár oldalon, és ellenőrizd, hogy a tárhelyed támogatja. Részletek: SSL-kérdések.
- Kérdezd meg a tárhelyszolgáltatót a kártevő elleni védelemről és a rendszerek biztonságos karbantartásáról.
- Használd a WordPress szerepköreit, és kövesd a biztonsági ajánlásokat az adminisztrátori felhasználók kezelésekor.
- Ahol lehet, naplózd és nézd át az adminisztrátori tevékenységet, és korlátozd a hozzáférést az érzékeny területekhez.
- Egyeztess a tárhelyszolgáltatóddal vagy a fejlesztőddel az adatok elérésének és tárolásának védelméről.
- Ha a fizetési szolgáltatód megköveteli, vegyél igénybe jóváhagyott letapogató szolgáltatót (ASV).
- Készíts és tarts karban PCI-DSS szabályzatot, és időnként végezz kockázatfelmérést.
Első lépések a megfeleléshez
- Válassz biztonságos, a PCI-követelményekkel tisztában lévő tárhelyszolgáltatót.
- Használj erős jelszavakat, és a lehető legkevesebb embernek adj hozzáférést az admin felülethez.
- Soha ne tárolj bankkártyaadatot a szervereden vagy a webhelyeden.
- Titkosítsd SSL-lel a pénztár és a fiókoldalak forgalmát.
- Tartsd naprakészen a bővítményeket, a témákat, a WordPresst és a WooCommerce-t.
- Rendszeresen vizsgáltasd át a webhelyet ASV-vel.