PCI DSS SAQ-A
Tanım
PCI DSS, kart ödemesi kabul eden her işletme için kart sektörünün güvenlik standardıdır; SAQ-A ise onun en kısa öz değerlendirme formudur. SAQ-A, kart girişini ve saklamayı tümüyle uyumlu bir ödeme sağlayıcısına devreden satıcılar için geçerlidir; böylece hiçbir kart numarası satıcının kendi sistemlerinden geçmez. Çevrim içi bir mağazanın uyumlu kalmasının en az çaba gerektiren yoludur.
Mağazanız için neden önemli
Kart kabul eden her satıcı PCI DSS'e tabidir. Soru, bunun ne kadarının size uygulandığıdır. Kart numaraları sunucularınıza, aktarım hâlinde bile olsa dokunuyorsa; ağ taramalarından, sızma testlerinden, günlükleme kurallarından ve uzun bir formdan siz sorumlusunuz demektir. Hiç dokunmuyorsa yılda bir kısa bir form doldurur ve sağlayıcınızın sertifikasyonuna dayanırsınız.
Farkı tek bir tasarım kararı belirler: kart formunun nerede durduğu. Kart verisini sunucunuza gönderen, kendi sayfanızdaki bir form sizi pahalı kategoriye sokar. Sağlayıcı tarafından bir iframe içinde ya da yönlendirme sayfasında sunulan bir form sizi SAQ-A'da tutar. Birçok mağaza, bir eklenti ya da tema özel bir kart formu eklediğinde SAQ-A'dan farkında olmadan çıkar.
Kambloo bunu nasıl ele alıyor
Kambloo, her mağazayı tasarımı gereği SAQ-A kapsamında tutar ve bunu bir ayar değil bir ürün kuralı olarak ele alır. Tüm kart altyapıları sağlayıcının kendi kart alma yüzeyini kullanır: iyzico Checkout Form, PayTR iFrame API, Stripe Payment Element ve doğrudan sanal POS bağlantıları için bankanın 3D sayfaları. Kambloo bir token ya da işlem referansı alır; hiçbir zaman kart numarası, son kullanma tarihi ya da CVV almaz.
Hiçbir modül ya da tema, ödeme adımının ödeme alanını değiştiremez. Tema sistemi bu bölgeyi kilitli bir yuva olarak sunar. Veri tabanı yalnızca sağlayıcının referanslarını ve sipariş ekranı için kart markası ile son dört haneyi saklar. Giden istek günlükleri, kartla ilgili alanları ve yetkilendirme başlıklarını maskeler.
Kayıtlı kartlar da aynı şekilde çalışır: kartı sağlayıcı tutar, Kambloo bir token tutar; böylece tek tıkla ödeme uyum kapsamınızı genişletmez.
PCI DSS SAQ-A hakkında sorular
Çevrim içi mağazam için PCI denetimi gerekir mi?
Ödeme adımınız sağlayıcının barındırdığı sayfayı ya da iframe'i kullanıyorsa ve kart numaralarını hiç görmüyorsanız, yerinde denetim değil kısa bir yıllık öz değerlendirme olan SAQ-A kapsamındasınız demektir. Kart verisini kendi formunuzda toplamak kapsamı belirgin biçimde genişletir.
Kambloo müşterilerimin kart numaralarını görebiliyor mu?
Hayır. Kart alanları, bir iframe ya da barındırılan sayfa içinde ödeme sağlayıcısı tarafından oluşturulur. Kambloo yalnızca bir token ya da işlem referansını, ayrıca gösterim için kart markasını ve son dört haneyi alır.