Банк надіслав лист про PCI DSS, а я не розумію, що від мене хочуть.
Читаємо вимоги еквайєра, визначаємо ваш рівень і тип опитувальника SAQ (Self-Assessment Questionnaire, самооцінка). Пояснюємо список дій простою мовою.
Приймайте картки без зайвих ризиків: PCI DSS для вашого магазину
PCI DSS (стандарт безпеки карткових платежів) вимагають банки-еквайєри та платіжні системи. Ми з'ясуємо, що саме це означає для вашого сайту, прибираємо зайве з зони ризику і готуємо документи.
Кошторис і строки після брифу
Кому підходить
- Інтернет-магазини, які приймають картки через LiqPay, WayForPay, Fondy, Stripe, Adyen чи PayPal
- Власники, яким банк-еквайєр надіслав вимогу пройти PCI DSS або заповнити опитувальник
- Магазини, що виходять на ринки ЄС, Британії, США чи Канади
- Бізнеси, які зберігають або передають дані карток у власній CRM чи на сервері
Які задачі вирішуємо
Не знаю, чи не потрапляють дані карток на мій сервер.
Перевіряємо оплату від кошика до платіжної сторінки: форми, скрипти, логи, бази, листування. Показуємо, де картка торкається вашої системи, і прибираємо ці місця.
Сторонні скрипти на сторінці оплати можуть вкрасти дані.
Складаємо перелік скриптів на сторінці оплати, прибираємо зайві, фіксуємо дозволені та налаштовуємо Content Security Policy (правила, що забороняють завантажувати чужий код).
Боюся, що зроблю один раз, а за рік усе зламається.
Залишаємо вам короткий регламент і календар повторних перевірок. За бажанням налаштуємо автоматичні сповіщення про зміни на сторінці оплати та прострочені оновлення.
Що входить у роботу
- Аналіз вимог еквайєра й визначення рівня та типу SAQ
- Схема руху платежу: де дані картки проходять і де зупиняються
- Перехід на хостингову форму оплати (redirect або iframe), щоб номер картки не потрапляв на ваш сервер
- Інвентаризація скриптів, плагінів і сторонніх сервісів на сторінках кошика та оплати
- Налаштування HTTPS, актуальних версій TLS і захисних заголовків
- Content Security Policy для сторінки оплати
- Перевірка адмінок: двофакторна автентифікація, окремі акаунти, права доступу
- Пошук карткових даних у логах, базах, виправлення та очищення
- Заповнення SAQ і підготовка пакета документів для банку
- Регламент оновлень і календар повторних перевірок
Оберіть обсяг роботи
Пакет допомагає описати задачу. Кошторис і строки погоджуємо після брифу та уточнення вимог.
01
Аудит
Для тих, хто отримав вимогу від банку і хоче зрозуміти обсяг робіт
- Аналіз вимог еквайєра
- Схема руху платежу
- Визначення типу SAQ
- Звіт з ризиками та планом дій
02
SAQ A під ключ
Для магазинів, які можуть повністю передати оплату платіжному провайдеру
- Перехід на хостингову форму оплати
- Налаштування HTTPS і заголовків захисту
- Захист адмінки: 2FA, ролі, доступи
- Заповнення SAQ A
- Пакет документів для банку
03
Магазин зі складною оплатою
Для магазинів з кастомною оплатою, інтеграціями, CRM та власним сервером
- Усе з пакета «SAQ A під ключ»
- Перевірка логів, баз і інтеграцій на карткові дані
- CSP та контроль скриптів на сторінці оплати
- Сповіщення про зміни через ШІ-агента та автоматичні перевірки
- Підготовка до зовнішнього аудиту, якщо його вимагає банк
Як працюємо
Збираємо вхідні дані
Просимо лист або договір з еквайєром, назву платіжного провайдера та доступ до сайту й хостингу. Усі акаунти залишаються вашими.
Малюємо шлях платежу
Показуємо, де проходять дані картки і яка система входить у сферу PCI DSS. Від цього залежить обсяг робіт і тип SAQ.
Скорочуємо зону ризику
Переносимо оплату на сторону провайдера, прибираємо зайві скрипти й збережені дані, закриваємо доступи.
Перевіряємо й заповнюємо SAQ
Проходимо чек-лист, фіксуємо докази та заповнюємо опитувальник. Ви підписуєте його самі, бо відповідальність за відповіді лежить на мерчанті.
Передаємо регламент
Лишаємо вам інструкцію, календар перевірок і список змін, які потребують повторної оцінки. Оплата йде етапами.
Межі роботи
- Не видаємо сертифікат PCI DSS. Ми не QSA (кваліфікований оцінювач безпеки). Якщо банк вимагає зовнішній аудит, підключимо вас до такого оцінювача.
- Не гарантуємо, що банк прийме документи з першого разу: рішення за ним. Ми готуємо їх за його вимогами.
- Не робимо вас «відповідним на все життя». Після змін на сайті чи в платіжному провайдері потрібна нова перевірка.
Часті питання
Чи потрібен PCI DSS, якщо оплата йде через LiqPay або Stripe?
Порядок оплати погоджуємо разом із кошторисом до старту. Якщо проєкт має кілька етапів, описуємо результат і умови приймання для кожного. Підтримку та зовнішні сервіси враховуємо окремо.
Що таке SAQ?
Це опитувальник для самооцінки: питання про те, як ви приймаєте картки й захищаєте систему. Його тип залежить від способу оплати. Чим менше картка торкається вашого сервера, тим коротший опитувальник.
Чи можна зберігати номери карток у своїй базі?
Технічно можна, але тоді вимог стає значно більше, а ризик зростає. Для більшості магазинів ми радимо не зберігати номери зовсім і використовувати токени (замінники картки) від платіжного провайдера.
Ви можете пройти аудит замість мене?
Ми готуємо систему, збираємо докази й заповнюємо SAQ зі слів і перевірок. Підписує його власник бізнесу. Зовнішній аудит проводить лише акредитований QSA.
Що мені потрібно надати?
Лист або договір з банком, дані про платіжного провайдера, доступ до сайту, хостингу й адмінки. Також список плагінів і сервісів, які бачать замовлення. Якщо чогось немає, знайдемо це під час аудиту.
Скільки це коштує і чи є вартість за рік?
Кошторис готуємо після брифу й уточнення вимог. Для першого етапу можемо взяти такий обсяг: аналіз вимог еквайєра; Схема руху платежу. Склад робіт, оплату й строки погоджуємо до старту.
Почнемо з вашої задачі
Опишіть бізнес, бажаний результат і поточний процес. Після брифу уточнимо вимоги та підготуємо кошторис.