Sigurnost plaćanja u Vašoj internetskoj trgovini: PCI, testiranje kartica i što radi Vaš pružatelj hostinga

Tko prima online plaćanja, susreće se s pravilima sigurnosti kartičnih kuća (PCI DSS), s kriminalcima koji žele ukrasti podatke s kartica i s testiranjem kartica (card testing): isprobavanjem ukradenih kartica u Vašoj trgovini. Ovaj članak objašnjava što to znači za malu internetsku trgovinu, što trebate sami učiniti i što Vaš hosting pružatelj uređuje, a što ne.

Osnovno pravilo: podaci s kartice nikada ne dolaze u Vašu trgovinu

Broj kartice, datum isteka i sigurnosni kod kupac upisuje kod Vašeg pružatelja usluga plaćanja, a ne u Vašoj vlastitoj trgovini. Vaša trgovina dobiva samo informaciju je li plaćanje izvršeno. To također znači:

• nikada vlastito polje na obrascu za brojeve kartica, čak ni za narudžbu putem telefona;
• nikada ne primati podatke s kartice putem e-pošte, chata ili telefona i zapisivati ih u napomenu uz narudžbu;
• bez dodatka (plugin) koji podatke s kartice pohranjuje u Vašoj vlastitoj bazi podataka.

PCI DSS i SAQ A jednostavnim riječima

PCI DSS (Payment Card Industry Data Security Standard) je sigurnosni standard kartičnih kuća; trenutna verzija je v4.0.1. Tvrtka koja sama obrađuje podatke s kartica time dobiva opsežan skup zahtjeva. Mala trgovina koja plaćanje u potpunosti povjerava vanjskom pružatelju usluga, kratkim upitnikom dokazuje da ispunjava uvjete: SAQ A (Self-Assessment Questionnaire A). Vaš pružatelj usluga plaćanja ponekad to traži.

Prepuštanje vanjskom pružatelju moguće je na dva načina:

1. Preusmjeravanje: nakon narudžbe kupac odlazi na stranicu za plaćanje pružatelja usluga, a zatim se vraća natrag.
2. Ugrađeno polje za plaćanje: polje za plaćanje nalazi se na Vašoj stranici za naplatu, ali predstavlja dio stranice (iframe) pružatelja usluga.

Od 31. ožujka 2025. vrijedi nova verzija SAQ A. Tko koristi ugrađeno polje za plaćanje, mora u njemu potvrditi da njegova stranica nije ranjiva na napade skriptama koje mogu utjecati na plaćanje. Tko koristi preusmjeravanje, ne podliježe tom uvjetu. Pitajte svog pružatelja usluga plaćanja koji upitnik odgovara Vašoj integraciji.

Zaštita stranice za naplatu

• Održavajte stranicu za naplatu jednostavnom. Svaka skripta na toj stranici u principu može pratiti što kupac upisuje (e-skimming): widgeti za chat, upravitelji oznaka, pikseli za oglašavanje. Učitavajte tamo samo ono što je potrebno za plaćanje.
• Malo dodataka (plugina), i uvijek ažurirani. Zlonamjerne skripte najčešće ulaze putem propusta u dodatku ili ukradene administratorske lozinke.
• https posvuda, s preusmjeravanjem s http na https i HSTS-om. Pogledajte Obvezno preusmjeravanje posjetitelja na https i HSTS i sigurnosna zaglavlja za Vašu web stranicu.

Prepoznavanje i ograničavanje testiranja kartica

Kod testiranja kartica kriminalci automatski postavljaju mnogo malih narudžbi kako bi provjerili koje ukradene kartice funkcioniraju. Prepoznajete to po velikom broju narudžbi u kratkom vremenu, često istog jeftinog proizvoda, s različitim imenima i velikim brojem narudžbi sa statusom Neuspjelo. To Vas košta transakcijskih troškova i povrata sredstava (chargebacks), a u najgorem slučaju Vaš pružatelj usluga plaćanja blokira Vaš račun.

• Ograničavanje brzine zahtjeva (rate limiting) (ograničenje broja zahtjeva po vremenu). WooCommerce ovo ima ugrađeno za blokove naplate, ali je prema zadanim postavkama isključeno. Uključite to u WooCommerce > Postavke > Napredno > Značajke, opcija Rate limiting Checkout block and Store API.
• CAPTCHA pri naplati. Napadači često mijenjaju IP adresu; ograničavanje brzine zahtjeva i CAPTCHA zajedno najbolje funkcioniraju.
• Filtri za prijevaru Vašeg pružatelja usluga plaćanja. Uključite ih i pratite što prijavljuju.
• 3-D Secure, dodatna potvrda u bankovnoj aplikaciji, otežava zlouporabu ukradenih kartica.

Što radi Vaš hosting pružatelj, a što ne

Kod WebOké je uređeno:

• Besplatan Let's Encrypt certifikat za https
• HSTS je prema zadanim postavkama uključen na većini poslužitelja
• Web Application Firewall je prema zadanim postavkama uključen i zaustavlja poznate napade
• Imunify360 odmah provjerava nove datoteke na zlonamjerni softver i redovito skenira Vaš paket
• Svake noći sigurnosna kopija cijelog Vašeg paketa, čuva se 30 dana, u drugom podatkovnom centru

Ostaje na Vama (ili Vašem web developeru):

• Ažuriranje WordPressa, WooCommercea, teme i dodataka (Installatron to može automatski obaviti, pogledajte Ažuriranja i automatska ažuriranja)
• Integracija i postavke za prijevare kod Vašeg pružatelja usluga plaćanja
• Koje skripte se nalaze na Vašoj stranici za naplatu
• Jake lozinke i dvostupanjska provjera za administratore
• Ograničavanje brzine zahtjeva, CAPTCHA i provjera sumnjivih narudžbi

Softver koji sami instalirate, i putem Installatrona, sami upravljate. Ako Vaša stranica ipak bude hakirana, slijedite plan koraka Moja web stranica je hakirana: plan koraka. Ako provala utječe na osobne podatke kupaca, pročitajte i Je li ovo curenje podataka i moram li to prijaviti?

Dodatno čitanje

• Besplatni tečaj Sigurno online, lekcija 4.2 Vaša web stranica: https, HSTS i sigurnosna zaglavlja
• PCI Security Standards Council o SAQ A (engleski)
• WooCommerce o testiranju kartica i ograničavanju brzine zahtjeva (engleski)