Ασφάλεια πληρωμών στο ηλεκτρονικό σας κατάστημα: PCI, card testing και τι κάνει ο πάροχος φιλοξενίας σας
Όσοι δέχονται online πληρωμές έρχονται αντιμέτωποι με τους κανόνες ασφαλείας των εταιρειών καρτών (PCI DSS), με εγκληματίες που θέλουν να κλέψουν στοιχεία καρτών και με το card testing: τη δοκιμή κλεμμένων καρτών στο κατάστημά σας. Αυτό το άρθρο εξηγεί τι σημαίνει αυτό για ένα μικρό ηλεκτρονικό κατάστημα, τι κάνετε εσείς οι ίδιοι και τι αναλαμβάνει ο πάροχος φιλοξενίας σας και τι όχι.
Ο βασικός κανόνας: τα στοιχεία καρτών δεν καταλήγουν ποτέ στο κατάστημά σας
Ο αριθμός κάρτας, η ημερομηνία λήξης και ο κωδικός ασφαλείας πληκτρολογούνται από τον πελάτη στον πάροχο πληρωμών σας, όχι στο δικό σας κατάστημα. Το κατάστημά σας ενημερώνεται μόνο για το αν έγινε η πληρωμή. Αυτό σημαίνει επίσης:
- ποτέ δικό σας πεδίο φόρμας για αριθμούς καρτών, ούτε καν για τηλεφωνική παραγγελία·
- ποτέ μην δέχεστε στοιχεία καρτών μέσω email, chat ή τηλεφώνου και μην τα καταχωρείτε σε σημείωση παραγγελίας·
- κανένα plugin που αποθηκεύει στοιχεία καρτών στη δική σας βάση δεδομένων.
Το PCI DSS και το SAQ A σε απλή γλώσσα
Το PCI DSS (Payment Card Industry Data Security Standard) είναι το πρότυπο ασφαλείας των εταιρειών καρτών. Η τρέχουσα έκδοση είναι η v4.0.1. Μια επιχείρηση που επεξεργάζεται η ίδια στοιχεία καρτών αναλαμβάνει έτσι ένα μεγάλο σύνολο απαιτήσεων. Ένα μικρό κατάστημα που αναθέτει πλήρως την πληρωμή σε τρίτους αποδεικνύει τη συμμόρφωσή του με ένα σύντομο ερωτηματολόγιο: το SAQ A (Self-Assessment Questionnaire A). Ο πάροχος πληρωμών σας μπορεί μερικές φορές να σας το ζητήσει.
Η ανάθεση σε τρίτους μπορεί να γίνει με δύο τρόπους:
- Ανακατεύθυνση: μετά την παραγγελία, ο πελάτης μεταβαίνει στη σελίδα πληρωμής του παρόχου και στη συνέχεια επιστρέφει.
- Ενσωματωμένο πεδίο πληρωμής: το πεδίο πληρωμής βρίσκεται στη σελίδα ολοκλήρωσης παραγγελίας σας, αλλά αποτελεί τμήμα σελίδας (iframe) του παρόχου.
Από τις 31 Μαρτίου 2025 ισχύει μια νέα έκδοση του SAQ A. Όσοι χρησιμοποιούν ενσωματωμένο πεδίο πληρωμής πρέπει να επιβεβαιώνουν σε αυτό ότι ο ιστότοπός τους δεν είναι ευάλωτος σε επιθέσεις με scripts που μπορούν να επηρεάσουν την πληρωμή. Όσοι χρησιμοποιούν ανακατεύθυνση δεν εμπίπτουν σε αυτήν την απαίτηση. Ρωτήστε τον πάροχο πληρωμών σας ποιο ερωτηματολόγιο αντιστοιχεί στη σύνδεσή σας.
Προστασία της σελίδας ολοκλήρωσης παραγγελίας
- Διατηρήστε τη σελίδα ολοκλήρωσης παραγγελίας απλή. Κάθε script σε αυτή τη σελίδα μπορεί κατ' αρχήν να διαβάζει όσα πληκτρολογεί ο πελάτης (e-skimming): chat widgets, tag managers, advertising pixels. Φορτώνετε εκεί μόνο ό,τι είναι απαραίτητο για την πληρωμή.
- Λίγα plugins, και πάντα ενημερωμένα. Τα κακόβουλα scripts εισέρχονται συνήθως μέσω μιας ευπάθειας σε ένα plugin ή ενός κλεμμένου κωδικού πρόσβασης διαχειριστή.
- https παντού, με ανακατεύθυνση από http σε https και HSTS. Δείτε Υποχρεωτική ανακατεύθυνση επισκεπτών σε https και HSTS και κεφαλίδες ασφαλείας για τον ιστότοπό σας.
Αναγνώριση και περιορισμός του card testing
Στο card testing, οι εγκληματίες τοποθετούν αυτόματα πολλές μικρές παραγγελίες για να δουν ποιες κλεμμένες κάρτες λειτουργούν. Το αναγνωρίζετε από πολλές παραγγελίες σε σύντομο χρονικό διάστημα, συχνά για το ίδιο φθηνό προϊόν, με διαφορετικά ονόματα και πολλές παραγγελίες με κατάσταση Απέτυχε. Αυτό σας κοστίζει σε έξοδα συναλλαγών και επιστροφές χρημάτων, και στη χειρότερη περίπτωση ο πάροχος πληρωμών σας μπλοκάρει τον λογαριασμό σας.
- Rate limiting (ένα όριο στον αριθμό αιτημάτων ανά χρονικό διάστημα). Το WooCommerce το διαθέτει ενσωματωμένο για τα blocks ολοκλήρωσης παραγγελίας, αλλά είναι απενεργοποιημένο από προεπιλογή. Ενεργοποιήστε το στο WooCommerce > Ρυθμίσεις > Για προχωρημένους > Λειτουργίες, επιλογή Rate limiting Checkout block and Store API.
- Ένα captcha κατά την ολοκλήρωση παραγγελίας. Οι επιτιθέμενοι αλλάζουν συχνά διεύθυνση IP· ο συνδυασμός rate limiting και captcha λειτουργεί καλύτερα.
- Τα φίλτρα απάτης του παρόχου πληρωμών σας. Ενεργοποιήστε τα και παρακολουθήστε τι αναφέρουν.
- Το 3-D Secure, η επιπλέον επιβεβαίωση μέσω της τραπεζικής εφαρμογής, δυσκολεύει την κατάχρηση κλεμμένων καρτών.
Τι αναλαμβάνει ο πάροχος φιλοξενίας σας και τι όχι
Στη WebOké έχουν ρυθμιστεί τα εξής:
- Ένα δωρεάν πιστοποιητικό Let's Encrypt για https
- Το HSTS είναι ενεργοποιημένο από προεπιλογή στους περισσότερους servers
- Το Web Application Firewall είναι ενεργοποιημένο από προεπιλογή και αποτρέπει γνωστές επιθέσεις
- Το Imunify360 ελέγχει αμέσως τα νέα αρχεία για κακόβουλο λογισμικό και σαρώνει τακτικά το πακέτο σας
- Κάθε βράδυ δημιουργείται αντίγραφο ασφαλείας ολόκληρου του πακέτου σας, το οποίο διατηρείται για 30 ημέρες σε διαφορετικό datacenter
Παραμένει δική σας ευθύνη (ή του δημιουργού του ιστότοπού σας):
- Η ενημέρωση του WordPress, του WooCommerce, του θέματος και των plugins (το Installatron μπορεί να το κάνει αυτόματα, δείτε Ενημερώσεις και αυτόματες ενημερώσεις)
- Η σύνδεση και οι ρυθμίσεις απάτης στον πάροχο πληρωμών σας
- Ποια scripts βρίσκονται στη σελίδα ολοκλήρωσης παραγγελίας σας
- Ισχυροί κωδικοί πρόσβασης και επαλήθευση δύο βημάτων για τους διαχειριστές
- Rate limiting, captcha και ο έλεγχος ύποπτων παραγγελιών
Το λογισμικό που εγκαθιστάτε εσείς οι ίδιοι, ακόμη και μέσω του Installatron, το διαχειρίζεστε εσείς. Αν ο ιστότοπός σας παραβιαστεί παρόλα αυτά, ακολουθήστε το σχέδιο ενεργειών Ο ιστότοπός μου έχει παραβιαστεί: σχέδιο ενεργειών. Αν μια παραβίαση επηρεάζει προσωπικά δεδομένα πελατών, διαβάστε επίσης Πρόκειται για παραβίαση δεδομένων και πρέπει να την αναφέρω;
Περαιτέρω ανάγνωση
- Δωρεάν μάθημα Ασφαλές online, μάθημα 4.2 Ο ιστότοπός σας: https, HSTS και κεφαλίδες ασφαλείας
- Το PCI Security Standards Council σχετικά με το SAQ A (Αγγλικά)
- Το WooCommerce σχετικά με το card testing και το rate limiting (Αγγλικά)