Bezpečnosť platieb: PCI a podvody

Modul 6: Správa a bezpečnosť · Čas čítania: 11 min.

Cieľ lekcie: Po tejto lekcii budete vedieť vysvetliť, prečo e-shop nikdy sám nespracúva údaje platobných kariet, čo pre malý e-shop znamenajú PCI DSS a SAQ A, ako chrániť stránku pokladne a ako rozpoznať a obmedziť podvody a card testing.

Kľúčové pojmy: PCI DSS, údaje platobných kariet, poskytovateľ platieb, presmerovanie na platobnú stránku, vložený platobný formulár (iframe), SAQ A, skripty na stránke pokladne, e-skimming, https, HSTS, card testing, rate limiting, captcha, 3-D Secure, spätné zúčtovanie (chargeback), riziko podvodu

Údaje kariet do vášho e-shopu nepatria

Číslo kreditnej karty, dátum platnosti a bezpečnostný kód majú pre zločincov cenu zlata. Kto ich ukladá alebo odovzdáva ďalej, spadá pod PCI DSS (Payment Card Industry Data Security Standard), bezpečnostný štandard kartových spoločností. Aktuálna verzia je v4.0.1. Pre firmu, ktorá údaje kariet spracúva sama, to znamená poriadny balík požiadaviek: oddelenie sietí, záznamy, skenovanie, testovanie uznanou treťou stranou.

Malý e-shop sa do toho púšťať nechce a ani nemusí. Pevné pravidlo znie: údaje kariet sa nikdy nedostanú do vášho e-shopu. Zákazník ich zadá u vášho poskytovateľa platieb (Mollie, Stripe, PayPal, WooPayments alebo iného, lekcia 4.4). E-shop sa potom dozvie iba to, či bolo zaplatené alebo nie, spolu s identifikátorom. Žiadne číslo karty, žiadny kód. To znamená aj:

• nikdy nevytvárať vlastné pole formulára na čísla kariet, ani „len na chvíľu pre telefonickú objednávku“;
• nikdy neprijímať údaje kariet e-mailom, cez chat alebo telefonicky a nezapisovať ich do poznámky k objednávke;
• nepoužívať plugin, ktorý ukladá údaje kariet do vašej vlastnej databázy.

Presmerovanie alebo vložený formulár: SAQ A

Malé e-shopy preukazujú súlad s PCI DSS pomocou SAQ (Self-Assessment Questionnaire, dotazník na sebahodnotenie). Váš poskytovateľ platieb o neho niekedy požiada. Najjednoduchší je SAQ A, určený pre e-shopy, ktoré platby úplne zverujú tretej strane. V e-shope to môže fungovať dvoma spôsobmi:

1. Presmerovanie. Po kliknutí na „objednať“ prejde zákazník na platobnú stránku poskytovateľa a potom sa vráti späť. E-shop údaje kariet nikdy nevidí, dokonca ani stránku, na ktorej sa zadávajú.
2. Vložený formulár. Platobné pole je na vašej stránke pokladne, ale ide o iframe (časť stránky) poskytovateľa. Údaje karty idú z prehliadača priamo k poskytovateľovi.

Od 31. marca 2025 platí nová verzia SAQ A. Obsahuje podmienku, ktorá sa týka najmä druhého spôsobu: kto používa vložený formulár, musí potvrdiť, že jeho stránka nie je zraniteľná voči útokom pomocou skriptov, ktoré môžu zasiahnuť platobný systém. Pozadím je e-skimming: škodlivý skript na stránke pokladne, ktorý číta, čo zákazník zadáva, alebo prekryje skutočné platobné pole falošným. Kto presmerúva na stránku poskytovateľa, pod túto podmienku nespadá. Opýtajte sa svojho poskytovateľa platieb, ktorý SAQ platí pre vaše prepojenie; ten to vie presne.

Čo urobíte v každom prípade:

• Udržujte stránku pokladne čo najjednoduchšiu. Každý skript na tejto stránke môže v princípe čítať zadávané údaje: chatovacie widgety, tag managery, reklamné pixely, nástroje na A/B testovanie. Na stránke pokladne načítavajte iba to, čo je potrebné na platbu. Tag manager na stránke pokladne je brána, cez ktorú môže skripty pridať ktokoľvek s prístupom k danému účtu.
• Málo pluginov, a aktualizovaných (lekcia 6.2). Väčšina e-skimmingu na WordPresse prenikne cez zraniteľnosť v plugine alebo cez ukradnuté heslo administrátora.
• Content-Security-Policy (hlavička, ktorá určuje, z ktorých domén smú pochádzať skripty) obmedzí škody, ak sa predsa len niečo dostane dnu. Je to práca pre niekoho, kto ju vie otestovať; nesprávna CSP pokazí vaše platobné tlačidlo.

https a HSTS na stránke pokladne

To, že celý váš e-shop beží cez https, je samozrejmosť (kurz WordPress, lekcia 3.1). Pri stránke pokladne pribúdajú dve veci:

• http musí okamžite presmerovať na https, a to trvalým presmerovaním (301 alebo 308). Zákazník, ktorý niekedy zadá http://shop.example.com/afrekenen/, nesmie dostať nešifrovanú stránku.
• HSTS (HTTP Strict Transport Security) je hlavička, ktorou prehliadaču prikážete, aby vašu stránku určitý čas otváral iba cez https. Zabránite tak tomu, aby niekto na otvorenej wifi zachytil prvú nešifrovanú požiadavku. Bežným minimom je max-age aspoň 180 dní. HSTS zapnite až vtedy, keď všetko vrátane subdomén, ktoré zahrniete, funguje cez https: prehliadač, ktorý HSTS raz videl, potom http odmietne. Ako to nastaviť, vysvetľuje článok KB 6752.

Zmiešaný obsah (skript alebo štýl načítaný cez http na stránke s https) je na stránke pokladne obzvlášť nebezpečný: práve takýto súbor môže byť cestou podvrhnutý.

Card testing

Pri card testingu zločinci využívajú váš e-shop na skúšanie ukradnutých čísel kariet. Automaticky zadajú stovky malých objednávok. Každá úspešná platba im prezradí, že karta funguje. Vy dostanete kopu neúspešných objednávok, poplatky za transakcie, spätné zúčtovania a v najhoršom prípade poskytovateľa platieb, ktorý vám zablokuje účet.

Ako to rozpoznať: veľa objednávok za krátky čas, často toho istého lacného produktu, s rôznymi menami, ale rovnakými alebo zvláštnymi adresami, a veľa objednávok so stavom Neúspešné.

Ako to obmedziť:

• Rate limiting (obmedzenie počtu požiadaviek za čas). Store API WooCommerce, ktoré používajú bloky košíka a pokladne, má rate limiting zabudovaný, ale ten je predvolene vypnutý. V WooCommerce > Nastavenia > Pokročilé > Funkcie môžete zapnúť „Rate limiting Checkout block and Store API“ pre zadávanie objednávok. Pomocou kódu (filtra) si môžete limit nastaviť sami; predvolená hodnota je 25 požiadaviek za 10 sekúnd a započítavajú sa iba objednávky a iné zapisovacie akcie. Ak je váš e-shop za proxy alebo CDN, musí byť zapnutá podpora proxy, inak sa všetci návštevníci počítajú ako jeden.
• Captcha alebo podobná prekážka pri platbe v pokladni. Samotné WooCommerce uvádza, že rate limiting a captcha fungujú najlepšie spolu: útočníci často menia IP adresu.
• Nastavenia vášho poskytovateľa platieb. Poskytovatelia majú vlastné filtre proti podvodom a limity. Zapnite ich a sledujte, čo hlásia.
• 3-D Secure (dodatočné potvrdenie v bankovej aplikácii, súčasť silného overenia klienta v EÚ) sťažuje zločincom prácu a pri spore často presúva zodpovednosť na banku držiteľa karty.

Iné podvody

Nie každý podvod je automatizovaný. Signály, ktoré spolu dávajú dôvod chvíľu počkať s odoslaním:

• fakturačná a doručovacia adresa v rôznych krajinách alebo doručovacia adresa u preposielacej služby;
• prvá objednávka iba drahých, ľahko predajných produktov s expresným doručením;
• viacero pokusov s rôznymi kartami;
• zákazník, ktorý po zaplatení žiada o odoslanie na inú adresu.

Spätné zúčtovanie (chargeback) je zrušenie platby kartou bankou zákazníka. Prídete o sumu, často aj s poplatkami, a produkt je preč. Preto uchovávajte doklady o odoslaní a doručení. Platbu cez iDEAL v Holandsku doteraz takto zrušiť nebolo možné; ako je to pri Wero, sa dozviete od svojho poskytovateľa platieb (lekcia 4.4). Na Slovensku sa bežne používa platba kartou, bankový prevod a dobierka; spätné zúčtovanie sa týka platby kartou.

Zhrnutie

• Údaje kariet sa nikdy nedostanú do vášho e-shopu: ani do formulárov, poznámok či e-mailov. Spracúva ich poskytovateľ platieb.
• Presmerovanie na platobnú stránku alebo vložené pole poskytovateľa vás udrží pri najjednoduchšom dotazníku PCI (SAQ A); pri vloženom poli musí byť vaša stránka pokladne chránená pred útokmi skriptov.
• Udržujte stránku pokladne čo najjednoduchšiu, cez https s presmerovaním 301 z http a s HSTS aspoň 180 dní.
• Card testing obmedzíte pomocou rate limitingu (predvolene vypnutý), captchy a filtrov vášho poskytovateľa.
• Všímajte si signály podvodu a uchovávajte doklady o doručení pre prípad spätného zúčtovania. Na Slovensku sú bežné platobné metódy platba kartou, bankový prevod a dobierka.

Kvíz

Úloha

Úloha A6.3: Je vaša stránka pokladne bezpečná? Zadajte adresu svojho e-shopu a adresu stránky pokladne. Program skontroluje certifikát a načíta stránku pokladne cez http (bez presmerovania) a cez https (s prázdnym košíkom, nič sa neobjednáva). Zelená, ak je certifikát platný, http presmerúva na https kódom 301 alebo 308, hlavička Strict-Transport-Security má max-age aspoň 180 dní, nie je tam zmiešaný obsah a skripty na stránke načítava najviac päť iných domén (program ich zobrazí). Oranžová, ak HSTS chýba alebo je príliš krátke, ide o dočasné presmerovanie (302 alebo 307), skripty načítava viac ako päť domén alebo je tam tag manager, alebo ak je pole na číslo karty vo vlastnom HTML namiesto u poskytovateľa. Červená, ak nesedí https alebo certifikát, http nepresmerúva, alebo sa skripty či štýly načítavajú cez http. Údaje kariet nikdy neukladajte sami. Táto kontrola vidí iba to, čo je na stránke bez košíka.

Otázka pre vás (nehodnotí sa): presmerúva váš platobný plugin k poskytovateľovi, alebo je platobné pole na vašej stránke? Ktorý SAQ podľa vášho poskytovateľa platí?

Zelená fajka znamená, že táto kontrola teraz sedí, nie že je váš e-shop bezpečný.

Ďalšie čítanie

Postupy v paneli platia pre WebOké; u iných poskytovateľov to funguje podobne.

• Bezplatný kurz WordPress 3.1: https a certifikát
• Hlavičky HSTS a bezpečnostné hlavičky pre váš web
• Povinne presmerovať návštevníkov na https
• Návod na DirectAdmin 6.4: Návštevníkov vždy presmerovať na https
• Bezplatný kurz Bezpečne online pre podnikateľov 4.2: Vaša webová stránka: https, HSTS a bezpečnostné hlavičky
• Aktualizácie SAQ A (PCI Security Standards Council, anglicky): https://blog.pcisecuritystandards.org/important-updates-announced-for-merchants-validating-to-self-assessment-questionnaire-a
• Rate limiting pre Store API (developer.woocommerce.com, anglicky): https://developer.woocommerce.com/docs/apis/store-api/rate-limiting/
• Card testing attacks and the Store API (developer.woocommerce.com, anglicky): https://developer.woocommerce.com/2024/12/18/card-testing-attacks-and-the-store-api/