Hvis din formular indsamler betalingsoplysninger, gælder strenge sikkerhedsregler for dig, uanset om du ved det eller ej. Payment Card Industry Data Security Standard (PCI DSS) stiller krav til alle, der modtager, gemmer eller behandler betalingskortdata. Overtrædelser af PCI DSS giver bøder på tusindvis af dollars om dagen, plus ansvar, hvis kortdata bliver stjålet.
Den grundlæggende regel i PCI DSS er enkel. Gem aldrig rå betalingskortdata selv. At undgå følsomme data i formularer og bruge ordentlige betalingsudbydere beskytter dit brand og dine kunder og holder dig inden for reglerne.
Det lærer du: Hvad PCI DSS er, og hvornår den gælder, hvilke betalingsdata du aldrig må indsamle, hvordan du opbygger betalingsformularer sikkert, hvordan du bruger betalingsudbydere rigtigt, og hvad du gør, hvis du allerede har indsamlet følsomme data.
Hvad er PCI DSS?
PCI DSS (Payment Card Industry Data Security Standard) er et sæt sikkerhedsstandarder, der er lavet af de store kreditkortselskaber. Den gælder for enhver virksomhed, der modtager, gemmer, sender eller behandler kreditkortoplysninger.
PCI DSS gælder for dig, hvis:
- Du driver en webshop, der tager imod kreditkort
- Du har en formular, der indsamler betalingsoplysninger
- Du bruger e-mailfakturaer med betalingsinstruktioner
- Du gemmer kundernes betalingsoplysninger til tilbagevendende fakturering
- Nogen medarbejder har adgang til betalingskortdata
Du tror måske ikke, at PCI DSS gælder for dig, hvis du bruger en betalingsudbyder, men du er ansvarlig for, hvordan du indsamler dataene, før de når udbyderen.
PCI DSS-niveauer og hvem der skal overholde reglerne
Kravene til PCI DSS varierer efter antallet af transaktioner, du behandler:
Niveau 1: Virksomheder, der behandler over 6 millioner transaktioner om året. Skal revideres årligt af en ekstern vurderingsmand. De strengeste krav.
Niveau 2: Virksomheder, der behandler 1 til 6 millioner transaktioner om året. Skal gennemføre en detaljeret selvvurdering.
Niveau 3: Virksomheder, der behandler 20.000 til 1 million transaktioner om året. Skal gennemføre en selvvurdering.
Niveau 4: Virksomheder, der behandler under 20.000 transaktioner om året. De enkleste krav. De fleste små virksomheder hører til her.
Selv niveau 4 (små virksomheder) har strenge krav. Du kan ikke bare tage imod betalingskortdata, som du vil.
Hovedreglen: gem aldrig rå kortdata
Den vigtigste PCI DSS-regel: Indsaml eller gem ikke fulde kreditkortnumre, udløbsdatoer eller sikkerhedskoder (CVV) i din egen database eller på dine egne servere.
Indsaml ALDRIG:
- Fulde kreditkortnumre (PAN: Primary Account Number)
- Udløbsdatoer
- Sikkerhedskoder (CVV/CVC)
Gem ALDRIG dem, selv hvis du krypterer dem.
Hvis din formular indsamler de data, og du gemmer dem selv, overtræder du PCI DSS. Sanktionerne er alvorlige:
- Bøder på 5.000 til 100.000 dollars pr. måned, du ikke overholder reglerne
- Ansvar, hvis kortdata bliver stjålet og brugt til svindel
- Ansvar for tab ved svindel og omkostninger til at underrette kunder
- Kortbehandlere kan tilbagekalde din mulighed for at tage imod betalinger
Hvad du MÅ indsamle og gemme
Nogle betalingsrelaterede data er sikre at indsamle:
- Faktureringsnavn og adresse: Til verificering og forsendelse
- E-mailadresse: Til kvittering og kommunikation
- De sidste 4 cifre i kortnummeret: Til reference (fx "betalingsmetode, der ender på 4242"), men kun hvis du ikke indsamler hele nummeret
- Betalingsbeløb og dato: Til regnskab
- Transaktions-id fra betalingsudbyderen: Til afstemning
Pointen: Du kan gemme kundeoplysninger, ordreoplysninger og referencenumre. Du kan ikke gemme selve betalingskortdataene.
Sådan håndterer du betalingsdata sikkert
Lav aldrig en egen betalingsformular
Byg ikke en formular, der indsamler kreditkortoplysninger direkte. I det øjeblik en betalingsformular sender kortdata til din server, har du ansvaret for PCI DSS.
Brug en betalingsudbyder med hostede betalingssider
Betalingsudbydere tilbyder hostede betalingssider. Det er formularer, der ligger på udbyderens sikre servere, ikke på dine. Når en kunde udfylder betalingsformularen, går kortdataene direkte til udbyderen. Din server ser aldrig det fulde kortnummer.
Eksempel på flow:
- Kunden udfylder din ordreformular (navn, e-mail, leveringsadresse)
- Kunden klikker på "Betal"
- Browseren sendes videre til betalingsudbyderens sikre formular
- Kunden skriver kortoplysninger i udbyderens formular
- Udbyderen behandler betalingen og sender dig en meddelelse
- Din formular modtager kun et transaktions-id, ikke kortdataene
Du håndterer aldrig kortdataene, så ansvaret for PCI DSS ligger hos udbyderen.
Brug en iframe til betaling
Nogle udbydere tilbyder en iframe, som du kan indlejre i din formular. Iframen ligger faktisk på udbyderens sikre servere, men ser ud som en del af din side. Kunden ser én samlet formular, men betalingsdelen ligger faktisk på udbyderens servere.
Brug en betalings-API med tokenisering
Avancerede betalingsudbydere lader dig indsamle betalingsoplysninger i din formular med deres JavaScript-bibliotek. Biblioteket krypterer dataene i kundens browser, før de når din server. Det sender dig et token (en sikker reference) i stedet for de faktiske kortdata. Du gemmer tokenet, ikke kortet.
Det kræver omhyggelig implementering for at undgå at håndtere ukrypterede kortdata. Brug det kun, hvis du forstår processen fuldt ud.
Hvad du IKKE skal gøre
Send ikke betalingsoplysninger i e-mail. Bed ikke kunder om at sende dig kreditkortnumre i en e-mail. E-mail er ikke krypteret og ikke sikker.
Bed ikke om CVV, hvis du gemmer kortet. Hvis du gemmer et kort til tilbagevendende betalinger, skal du ikke bede om eller gemme CVV'en. CVV'en er kun nødvendig i det øjeblik, der betales.
Indsaml ikke kortdata i en almindelig formular, og send dem ikke til dig selv i e-mail. Det sender betalingsoplysninger i ukrypteret e-mail, hvilket er en overtrædelse af PCI DSS.
Gem ikke kortdata i et regneark, en tekstfil eller en database uden kryptering. Hvis du allerede har indsamlet kortdata (hvilket du ikke burde have), skal du kryptere eller slette dem med det samme.
Hvis du allerede har indsamlet følsomme betalingsdata
Hvis du har en formular, der har indsamlet fulde kreditkortnumre eller CVV'er, så stop med det samme:
- Stop med at indsamle dataene. Fjern kortfelterne fra formularen med det samme.
- Sikr det, du har. Hvis du har gemt kortdata, så krypter eller slet dem.
- Skift til en betalingsudbyder. Opsæt en betalingsmetode, der overholder reglerne, via en tredjepartsudbyder.
- Underret berørte kunder. Hvis du har haft et brud, eller hvis kundernes kortdata stadig er gemt, så giv dem besked.
- Tal med en jurist. Hvis du har indsamlet kortdata usikkert, kan du have en juridisk risiko. Få juridisk rådgivning.
Tokenisering: den sikre måde at gemme betalingsmetoder på
Tokenisering betyder, at du erstatter følsomme betalingsoplysninger med et ufølsomt referencenummer.
Uden tokenisering: Du gemmer "4532-1234-5678-9010" i din database.
Med tokenisering: Betalingsudbyderen gemmer "4532-1234-5678-9010" og giver dig et token som "tok_abc123def456". Du gemmer tokenet.
Når du skal trække penge på kortet igen (til tilbagevendende fakturering), sender du tokenet til udbyderen. Udbyderen bruger tokenet til at hente de oprindelige kortdata og gennemføre betalingen. Du håndterer aldrig selve kortet.
Tokens er sikre at gemme. De kan ikke bruges til at gennemføre betalinger uden udbyderens viden, og de afslører ikke kortnummeret.
PCI DSS-krav ud over betalingsformularer
Selv hvis du bruger en betalingsudbyder rigtigt, har PCI DSS andre krav:
- Sikr dine servere. Opdater software, brug firewalls, begræns adgang.
- Brug stærke adgangskoder. Til din konto hos betalingsudbyderen og alle administratorkonti.
- Krypter data undervejs og i opbevaring. Brug HTTPS, krypter databaser.
- Overvåg og gennemgå. Log adgang til betalingsrelaterede systemer, og gennemgå logs jævnligt.
- Uddan medarbejdere. Alle med adgang til betalingsdata har brug for sikkerhedsuddannelse.
- Overhold standarder for netværkssikkerhed. PCI DSS indeholder 12 hovedkrav, der dækker adgangskontrol, overvågning og håndtering af hændelser.
Hvis du behandler betalinger, så sæt dig ind i alle 12 PCI DSS-krav. Mange går ud over formularsikkerhed.
Det gør WEMASY for betalingssikkerhed
WEMASY's formularer til e-handel indsamler eller gemmer ikke rå betalingsdata. Når du opsætter en betalingsformular i WEMASY, forbindes den med betalingsudbydere, der er PCI-kompatible. Betalingsformularen sender videre til udbyderens sikre system eller indlejrer en sikker iframe fra udbyderen. Du håndterer aldrig kortdata, og WEMASY gemmer dem aldrig.
Læs mere om, hvordan WEMASY håndterer betalinger sikkert, i dine kontoindstillinger eller på prissiden.