Om ditt formulär samlar in betalningsuppgifter omfattas du av strikta säkerhetsregler, oavsett om du vet om det eller inte. Payment Card Industry Data Security Standard (PCI DSS) ställer krav på alla som tar emot, lagrar eller behandlar betalkortsdata. Att bryta mot PCI DSS kan ge böter på tusentals dollar per dag, plus ansvar om kortdata stjäls.
Grundregeln i PCI DSS är enkel. Lagra aldrig rå betalkortsdata själv. Att undvika känsliga data i formulär och använda riktiga betalningsleverantörer skyddar ditt varumärke och dina kunder, och håller dig i linje med reglerna.
Det här lär du dig: Vad PCI DSS är och när den gäller, vilka betalningsdata du aldrig får samla in, hur du bygger betalformulär på ett säkert sätt, hur du använder betalningsleverantörer rätt och vad du gör om du redan har samlat in känsliga data.
Vad är PCI DSS?
PCI DSS (Payment Card Industry Data Security Standard) är en uppsättning säkerhetsstandarder som skapats av de stora kreditkortsbolagen. Den gäller alla företag som tar emot, lagrar, överför eller behandlar kreditkortsinformation.
PCI DSS gäller dig om:
- Du driver en e-handelswebbplats som tar emot kreditkort
- Du har ett formulär som samlar in betalningsuppgifter
- Du använder e-postfakturor med betalningsinstruktioner
- Du lagrar kunders betalningsuppgifter för återkommande fakturering
- Någon anställd har åtkomst till betalkortsdata
Du kanske tror att du inte omfattas av PCI DSS om du använder en betalningsleverantör, men du ansvarar för hur du samlar in datan innan den når leverantören.
PCI DSS-nivåer och vem som måste följa standarden
Kraven i PCI DSS varierar efter hur många transaktioner du behandlar:
Nivå 1: Företag som behandlar över 6 miljoner transaktioner per år. Måste granskas årligen av en extern bedömare. Strängast krav.
Nivå 2: Företag som behandlar 1 till 6 miljoner transaktioner per år. Måste genomföra en detaljerad självbedömning.
Nivå 3: Företag som behandlar 20 000 till 1 miljon transaktioner per år. Måste genomföra en självbedömning.
Nivå 4: Företag som behandlar under 20 000 transaktioner per år. Enklast krav. De flesta småföretag hamnar här.
Även nivå 4 (småföretag) har strikta krav. Du kan inte ta emot betalkortsdata hur du vill.
Huvudregeln: lagra aldrig rå kortdata
Den viktigaste PCI DSS-regeln: samla inte in eller lagra fullständiga kreditkortsnummer, utgångsdatum eller säkerhetskoder (CVV) i din egen databas eller på dina egna servrar.
Samla ALDRIG in:
- Fullständiga kreditkortsnummer (PAN: Primary Account Number)
- Utgångsdatum
- Säkerhetskoder (CVV/CVC)
Lagra ALDRIG dessa, inte ens om du krypterar dem.
Om ditt formulär samlar in den här datan och du lagrar den själv bryter du mot PCI DSS. Påföljderna är hårda:
- Böter på 5 000 till 100 000 dollar per månad av bristande efterlevnad
- Ansvar om kortdata stjäls och används för bedrägeri
- Ansvar för bedrägeriförluster och kostnader för att underrätta kunder
- Kortinlösare kan återkalla din möjlighet att ta emot betalningar
Vad du KAN samla in och lagra
Vissa betalningsrelaterade data är säkra att samla in:
- Faktureringsnamn och adress: För verifiering och leverans
- E-postadress: För kvitto och kommunikation
- De sista 4 siffrorna i kortnumret: Som referens (till exempel "betalningssätt som slutar på 4242") - men bara om du inte samlar in hela numret
- Betalningsbelopp och datum: För bokföring
- Transaktions-ID från betalningsleverantören: För matchning och avstämning
Nyckeln: du kan lagra kunduppgifter, orderuppgifter och referensnummer. Du kan inte lagra själva betalkortsdatan.
Så hanterar du betaldata säkert
Skapa aldrig ett eget betalformulär
Bygg inte ett formulär som samlar in kreditkortsinformation direkt. I samma stund som ett betalformulär skickar kortdata till din server ansvarar du för att följa PCI DSS.
Använd en betalningsleverantör med värdbaserade betalsidor
Betalningsleverantörer erbjuder värdbaserade betalsidor. Det är formulär som finns på leverantörens säkra servrar, inte på dina. När en kund fyller i betalformuläret går kortdatan direkt till leverantören. Din server ser aldrig det fullständiga kortnumret.
Exempel på flöde:
- Kunden fyller i ditt beställningsformulär (namn, e-post, leveransadress)
- Kunden klickar på "Betala"
- Webbläsaren omdirigeras till betalningsleverantörens säkra formulär
- Kunden anger kortuppgifter i leverantörens formulär
- Leverantören behandlar betalningen och skickar dig en avisering
- Ditt formulär får bara ett transaktions-ID, inte kortdatan
Du hanterar aldrig kortdatan, så efterlevnaden av PCI DSS är leverantörens ansvar.
Använd en iframe för betalning
Vissa leverantörer erbjuder en iframe som du kan bädda in i ditt formulär. Iframen finns i själva verket på leverantörens säkra servrar, men den visas som en del av din sida. Kunden ser ett enhetligt formulär, men betalningsdelen finns i själva verket på leverantörens servrar.
Använd ett betal-API med tokenisering
Avancerade betalningsleverantörer låter dig samla in betalningsuppgifter i ditt formulär med hjälp av deras JavaScript-bibliotek. Biblioteket krypterar datan i kundens webbläsare innan den når din server. Det skickar dig en token (en säker referens) i stället för själva kortdatan. Du lagrar token, inte kortet.
Det kräver noggrann implementering för att undvika att hantera okrypterad kortdata. Använd det bara om du fullt ut förstår processen.
Det här ska du INTE göra
Mejla inte betalningsuppgifter. Be inte kunder skicka kreditkortsnummer via e-post. E-post är inte krypterad och inte säker.
Be inte om CVV om du lagrar kortet. Om du lagrar ett kort för återkommande betalningar ska du inte be om eller lagra CVV. CVV behövs bara i själva betalningsögonblicket.
Samla inte in kortdata i ett vanligt formulär och mejla det till dig själv. Då skickas betalningsuppgifter via okrypterad e-post, vilket är ett brott mot PCI DSS.
Lagra inte kortdata i ett kalkylblad, en textfil eller en databas utan kryptering. Om du redan har samlat in kortdata (vilket du inte borde ha gjort) måste du kryptera eller radera den omedelbart.
Om du redan har samlat in känsliga betalningsdata
Om du har ett formulär som har samlat in fullständiga kreditkortsnummer eller CVV, sluta omedelbart:
- Sluta samla in datan. Ta bort kortfälten från formuläret direkt.
- Säkra det du har. Om du har lagrat kortdata, kryptera eller radera den.
- Byt till en betalningsleverantör. Inför ett betalsätt som följer reglerna med hjälp av en extern leverantör.
- Underrätta berörda kunder. Om du har haft ett intrång, eller om kunders kortdata fortfarande är lagrad, underrätta dem.
- Rådgör med en jurist. Om du har samlat in kortdata på ett osäkert sätt kan du ha juridiska risker. Skaffa juridisk rådgivning.
Tokenisering: det säkra sättet att lagra betalningssätt
Tokenisering innebär att känslig betalningsinformation ersätts med ett ofarligt referensnummer.
Utan tokenisering: Du lagrar "4532-1234-5678-9010" i din databas.
Med tokenisering: Betalningsleverantören lagrar "4532-1234-5678-9010" och ger dig en token som "tok_abc123def456". Du lagrar token.
När du behöver debitera kortet igen (för återkommande fakturering) skickar du token till leverantören. Leverantören använder token för att hämta den ursprungliga kortdatan och genomföra debiteringen. Du hanterar aldrig själva kortet.
Token är säkra att lagra. De kan inte användas för att genomföra betalningar utan leverantörens vetskap, och de avslöjar inte kortnumret.
PCI DSS-krav utöver betalformulär
Även om du använder en betalningsleverantör rätt har PCI DSS andra krav:
- Säkra dina servrar. Uppdatera programvara, använd brandväggar, begränsa åtkomst.
- Använd starka lösenord. För ditt konto hos betalningsleverantören och alla adminkonton.
- Kryptera data under överföring och i lagring. Använd HTTPS, kryptera databaser.
- Övervaka och granska. Logga åtkomst till betalningsrelaterade system och gå igenom loggarna regelbundet.
- Utbilda anställda. Alla med åtkomst till betalningsdata behöver säkerhetsutbildning.
- Följ standarder för nätverkssäkerhet. PCI DSS omfattar 12 huvudkrav som täcker åtkomstkontroll, övervakning och incidenthantering.
Om du behandlar betalningar bör du sätta dig in i alla 12 PCI DSS-krav. Många gäller mer än bara formulärsäkerhet.
Det här gör WEMASY för betalsäkerhet
WEMASY:s formulär för e-handel samlar inte in eller lagrar rå betalningsdata. När du sätter upp ett betalformulär i WEMASY kopplas det till PCI-kompatibla betalningsleverantörer. Betalformuläret omdirigerar till leverantörens säkra system eller bäddar in en säker iframe från leverantören. Du hanterar aldrig kortdata, och WEMASY lagrar den aldrig. Din verksamhet följer PCI DSS automatiskt.
Läs mer om hur WEMASY hanterar betalningar säkert i dina kontoinställningar eller på prissidan.