Se il tuo modulo raccoglie dati di pagamento, sei soggetto a regole di sicurezza rigide, che tu te ne renda conto o no. Il Payment Card Industry Data Security Standard (PCI DSS) fissa i requisiti per chiunque accetti, salvi o elabori dati delle carte di pagamento. Violare il PCI DSS comporta sanzioni di migliaia di dollari al giorno, più la responsabilità se i dati delle carte vengono rubati.
La regola fondamentale del PCI DSS è semplice. Non salvare mai tu stesso i dati grezzi delle carte di pagamento. Evitare i dati sensibili nei moduli e usare i giusti servizi di pagamento protegge il tuo brand e i tuoi clienti e ti mantiene in regola.
Cosa imparerai: che cos'è il PCI DSS e quando si applica, quali dati di pagamento non devi mai raccogliere, come strutturare in sicurezza i moduli di pagamento, come usare correttamente i servizi di pagamento e che cosa fare se hai già raccolto dati sensibili.
Che cos'è il PCI DSS?
Il PCI DSS (Payment Card Industry Data Security Standard) è un insieme di standard di sicurezza creato dai principali circuiti delle carte di credito. Si applica a qualsiasi azienda che accetta, salva, trasmette o elabora dati di carte di credito.
Il PCI DSS si applica a te se:
- Gestisci un negozio online che accetta carte di credito
- Hai un modulo che raccoglie dati di pagamento
- Usi fatture via email con istruzioni di pagamento
- Salvi i dati di pagamento dei clienti per la fatturazione ricorrente
- Un dipendente ha accesso ai dati delle carte di pagamento
Potresti pensare di non essere soggetto al PCI DSS se usi un servizio di pagamento, ma sei responsabile di come raccogli i dati prima che arrivino al servizio.
I livelli PCI DSS e chi deve rispettarli
I requisiti di conformità al PCI DSS variano in base al volume di transazioni che elabori:
Livello 1: aziende che elaborano oltre 6 milioni di transazioni all'anno. Devono essere sottoposte ogni anno ad audit da un valutatore esterno. I requisiti più severi.
Livello 2: aziende che elaborano da 1 a 6 milioni di transazioni all'anno. Devono completare un'autovalutazione dettagliata.
Livello 3: aziende che elaborano da 20.000 a 1 milione di transazioni all'anno. Devono completare un'autovalutazione.
Livello 4: aziende che elaborano meno di 20.000 transazioni all'anno. I requisiti più semplici. La maggior parte delle piccole imprese rientra qui.
Anche il livello 4 (piccola impresa) ha requisiti rigidi. Non puoi prendere i dati delle carte di pagamento come ti pare.
La regola d'oro: non salvare mai i dati grezzi delle carte
La regola più importante del PCI DSS: non raccogliere né salvare numeri completi di carte di credito, date di scadenza o codici di sicurezza (CVV) nel tuo database o sui tuoi server.
Non raccogliere MAI:
- Numeri completi di carte di credito (PAN: Primary Account Number)
- Date di scadenza
- Codici di sicurezza (CVV/CVC)
Non salvarli MAI nemmeno se li cifri.
Se il tuo modulo raccoglie questi dati e li salvi tu, violi il PCI DSS. Le conseguenze sono pesanti:
- Sanzioni da 5.000 a 100.000 dollari al mese di non conformità
- Responsabilità se i dati delle carte vengono rubati e usati in modo fraudolento
- Responsabilità per le perdite da frode e per i costi di notifica ai clienti
- I gestori dei pagamenti con carta possono revocarti la possibilità di accettare pagamenti
Che cosa PUOI raccogliere e salvare
Alcuni dati legati ai pagamenti sono sicuri da raccogliere:
- Nome e indirizzo di fatturazione: per la verifica e la spedizione
- Indirizzo email: per la ricevuta e le comunicazioni
- Ultime 4 cifre del numero della carta: come riferimento (per esempio "metodo di pagamento che termina con 4242") - ma solo se non raccogli il numero completo
- Importo e data del pagamento: per la tenuta dei registri
- ID della transazione del servizio di pagamento: per abbinamento e riconciliazione
Il punto chiave: puoi salvare i dati dei clienti, i dati degli ordini e i numeri di riferimento. Non puoi salvare i dati veri e propri della carta di pagamento.
Come gestire i dati di pagamento in sicurezza
Non creare mai un modulo di pagamento personalizzato
Non creare un modulo che raccoglie direttamente i dati della carta di credito. Nel momento in cui un modulo di pagamento invia i dati della carta al tuo server, sei responsabile della conformità al PCI DSS.
Usa un servizio di pagamento con pagine di pagamento ospitate
I servizi di pagamento più diffusi offrono pagine di pagamento ospitate. Sono moduli che stanno sui server sicuri del servizio, non sui tuoi. Quando un cliente compila il modulo di pagamento, i dati della carta vanno direttamente al servizio. Il tuo server non vede mai il numero completo della carta.
Esempio di flusso:
- Il cliente compila il tuo modulo d'ordine (nome, email, indirizzo di spedizione)
- Il cliente clicca su "Paga"
- Il browser reindirizza al modulo sicuro del servizio di pagamento
- Il cliente inserisce i dati della carta nel modulo del servizio
- Il servizio elabora il pagamento e ti invia una notifica
- Il tuo modulo riceve solo un ID di transazione, non i dati della carta
Non gestisci mai i dati della carta, quindi la conformità al PCI DSS è responsabilità del servizio di pagamento.
Usa un iframe per il pagamento
Alcuni servizi offrono un iframe da inserire nel tuo modulo. L'iframe è in realtà ospitato sui server sicuri del servizio, ma appare come parte della tua pagina. Il cliente vede un unico modulo, ma la parte di pagamento sta in realtà sui server del servizio.
Usa un'API di pagamento con tokenizzazione
I servizi di pagamento avanzati permettono di raccogliere i dati di pagamento nel tuo modulo usando la loro libreria JavaScript. La libreria cifra i dati nel browser del cliente prima che arrivino al tuo server. Ti invia un token (un riferimento sicuro) invece dei dati reali della carta. Tu salvi il token, non la carta.
Richiede un'implementazione attenta per evitare di gestire dati di carte non cifrati. Usalo solo se capisci a fondo il processo.
Cosa NON fare
Non inviare dati di pagamento via email. Non chiedere ai clienti di mandarti numeri di carta di credito via email. L'email non è cifrata e non è sicura.
Non chiedere il CVV se salvi la carta. Se salvi una carta per pagamenti ricorrenti, non devi chiedere né salvare il CVV. Il CVV serve solo nel momento del pagamento.
Non raccogliere i dati della carta con un normale modulo per poi inviarli a te stesso via email. Così invii dati di pagamento tramite email non cifrata, ed è una violazione del PCI DSS.
Non salvare i dati delle carte in un foglio di calcolo, in un file di testo o in un database senza cifratura. Se hai già raccolto dati di carte (cosa che non avresti dovuto fare), devi cifrarli o cancellarli subito.
Se hai già raccolto dati di pagamento sensibili
Se hai un modulo che ha raccolto numeri completi di carte di credito o CVV, fermati subito:
- Smetti di raccogliere i dati. Togli subito dal modulo i campi della carta.
- Metti in sicurezza ciò che hai. Se hai salvato dati di carte, cifrali o cancellali.
- Passa a un servizio di pagamento. Imposta un metodo di pagamento conforme usando un servizio di terze parti.
- Avvisa i clienti coinvolti. Se c'è stata una violazione, o se i dati delle carte dei clienti sono ancora salvati, avvisali.
- Rivolgiti a un consulente legale. Se hai raccolto dati di carte in modo non sicuro, potresti avere un'esposizione normativa. Chiedi un parere legale.
Tokenizzazione: il modo sicuro di salvare i metodi di pagamento
La tokenizzazione è il processo che sostituisce i dati di pagamento sensibili con un numero di riferimento non sensibile.
Senza tokenizzazione: salvi "4532-1234-5678-9010" nel tuo database.
Con la tokenizzazione: il servizio di pagamento salva "4532-1234-5678-9010" e ti dà un token come "tok_abc123def456". Tu salvi il token.
Quando devi addebitare di nuovo la carta (per la fatturazione ricorrente), invii il token al servizio. Il servizio usa il token per recuperare i dati originali della carta ed elaborare l'addebito. Non gestisci mai la carta in sé.
I token sono sicuri da salvare. Non possono essere usati per elaborare pagamenti senza che il servizio lo sappia e non rivelano il numero della carta.
I requisiti PCI DSS oltre i moduli di pagamento
Anche se usi correttamente un servizio di pagamento, il PCI DSS ha altri requisiti:
- Proteggi i tuoi server. Aggiorna il software, usa i firewall, limita gli accessi.
- Usa password robuste. Per il tuo account del servizio di pagamento e per tutti gli account di amministrazione.
- Cifra i dati in transito e a riposo. Usa HTTPS, cifra i database.
- Monitora e controlla. Registra gli accessi ai sistemi legati ai pagamenti e rivedi i registri con regolarità.
- Forma i dipendenti. Chiunque abbia accesso ai dati di pagamento ha bisogno di formazione sulla sicurezza.
- Rispetta gli standard di sicurezza di rete. Il PCI DSS comprende 12 requisiti principali che coprono controllo degli accessi, monitoraggio e risposta agli incidenti.
Se elabori pagamenti, familiarizza con tutti i 12 requisiti del PCI DSS. Molti vanno oltre la sola sicurezza dei moduli.
Che cosa fa WEMASY per la sicurezza dei pagamenti
I moduli e-commerce di WEMASY non raccolgono né salvano dati di pagamento grezzi. Quando imposti un modulo di pagamento in WEMASY, si integra con servizi di pagamento conformi al PCI. Il modulo di pagamento reindirizza al sistema sicuro del servizio oppure incorpora un iframe sicuro fornito dal servizio. Non gestisci mai i dati delle carte e WEMASY non li salva mai. La tua attività resta in regola con il PCI DSS in automatico.
Scopri di più su come WEMASY gestisce i pagamenti in sicurezza nelle impostazioni dell'account o nella pagina dei prezzi.