Bezpečnosť platieb vo vašom webshope: PCI, card testing a čo pre vás robí váš poskytovateľ hostingu

Kto prijíma online platby, stretáva sa s bezpečnostnými pravidlami kartových spoločností (PCI DSS), s kriminálnikmi, ktorí chcú ukradnúť údaje o kartách, a s card testingom: vyskúšaním ukradnutých kariet vo vašom obchode. Tento článok vysvetľuje, čo to znamená pre malý internetový obchod, čo si zariadite sami a čo za vás rieši a čo nerieši váš hoster.

Hlavné pravidlo: údaje o kartách sa nikdy nedostanú do vášho obchodu

Číslo karty, dátum platnosti a bezpečnostný kód zadáva zákazník u vášho platobného poskytovateľa, nie vo vašom vlastnom obchode. Váš obchod sa dozvie iba to, či bolo zaplatené. To znamená aj:

• nikdy nemajte vlastné pole formulára pre čísla kariet, ani pri telefonickej objednávke;
• nikdy neprijímajte údaje o kartách e-mailom, chatom alebo telefonicky a nezadávajte ich do poznámky k objednávke;
• žiadny plugin, ktorý ukladá údaje o kartách vo vlastnej databáze.

PCI DSS a SAQ A jednoduchým jazykom

PCI DSS (Payment Card Industry Data Security Standard) je bezpečnostný štandard kartových spoločností, aktuálna verzia je v4.0.1. Spoločnosť, ktorá sama spracúva údaje o kartách, tým získava rozsiahly súbor požiadaviek. Malý obchod, ktorý platbu úplne outsourcuje, preukazuje súlad krátkym dotazníkom: SAQ A (Self-Assessment Questionnaire A). Váš platobný poskytovateľ to niekedy vyžaduje.

Outsourcovať sa dá dvoma spôsobmi:

1. Presmerovanie: po objednaní prejde zákazník na platobnú stránku poskytovateľa a potom sa vráti späť.
2. Vložené platobné pole: platobné pole sa nachádza na vašej platobnej stránke, ale ide o časť stránky (iframe) poskytovateľa.

Od 31. marca 2025 platí nová verzia SAQ A. Ten, kto používa vložené platobné pole, musí v ňom potvrdiť, že jeho stránka nie je zraniteľná voči útokom prostredníctvom skriptov, ktoré by mohli ovplyvniť platbu. Pre toho, kto presmerováva, táto podmienka neplatí. Spýtajte sa svojho platobného poskytovateľa, ktorý dotazník patrí k vášmu prepojeniu.

Ochrana platobnej stránky

• Udržujte platobnú stránku jednoduchú. Každý skript na tejto stránke môže v princípe sledovať, čo zákazník zadáva (e-skimming): chatovacie widgety, tag manažéry, reklamné pixely. Načítajte tam iba to, čo je potrebné pre platbu.
• Málo pluginov, a vždy aktualizovaných. Škodlivé skripty sa väčšinou dostanú dovnútra cez medzeru v pluginu alebo ukradnuté heslo správcu.
• https všade, s presmerovaním z http na https a HSTS. Pozrite si Povinné presmerovanie návštevníkov na https a HSTS a bezpečnostné hlavičky pre vašu webovú stránku.

Rozpoznanie a obmedzenie card testingu

Pri card testingu kriminálnici automaticky zadávajú veľa malých objednávok, aby zistili, ktoré ukradnuté karty fungujú. Spoznáte to podľa veľkého množstva objednávok v krátkom čase, často toho istého lacného produktu, s rôznymi menami a s veľkým počtom objednávok so stavom Neúspešné. Stojí vás to transakčné poplatky a vrátenia platieb, a v najhoršom prípade váš platobný poskytovateľ zablokuje váš účet.

• Rate limiting (obmedzenie počtu požiadaviek za čas). WooCommerce to má zabudované pre bloky pokladne, ale štandardne je to vypnuté. Zapnite to v WooCommerce > Nastavenia > Rozšírené > Funkcie, možnosť Rate limiting Checkout block and Store API.
• Captcha pri pokladni. Útočníci často menia IP adresu; rate limiting a captcha spolu fungujú najlepšie.
• Protipodvodné filtre vášho platobného poskytovateľa. Zapnite ich a sledujte, čo hlásia.
• 3-D Secure, dodatočné potvrdenie v bankovej aplikácii, sťažuje zneužitie ukradnutých kariet.

Čo rieši váš hoster a čo nie

V WebOké vyriešené:

• Bezplatný certifikát Let's Encrypt pre https
• HSTS je na väčšine serverov štandardne zapnuté
• Web Application Firewall je štandardne zapnutý a zastavuje známe útoky
• Imunify360 kontroluje nové súbory okamžite na prítomnosť malvéru a pravidelne skenuje váš balík
• Každú noc zálohovanie celého vášho balíka, uchovávané 30 dní, v inom dátovom centre

Zostáva na vás (alebo vašom tvorcovi webu):

• Aktualizácia WordPress, WooCommerce, témy a pluginov (Installatron to môže robiť automaticky, pozrite si Aktualizácie a automatické aktualizácie)
• Prepojenie a nastavenia proti podvodom u vášho platobného poskytovateľa
• Ktoré skripty sú na vašej platobnej stránke
• Silné heslá a dvojkroková verifikácia pre správcov
• Rate limiting, captcha a kontrola podozrivých objednávok

Softvér, ktorý si inštalujete sami, aj prostredníctvom Installatronu, spravujete sami. Ak je vaša stránka napriek tomu napadnutá, postupujte podľa plánu Moja webová stránka je napadnutá: postup krokov. Ak vlámanie zasiahne osobné údaje zákazníkov, prečítajte si aj Je toto únik údajov a musím to nahlásiť?

Ďalšie čítanie

• Bezplatný kurz Bezpečne online, lekcia 4.2 Vaša webová stránka: https, HSTS a bezpečnostné hlavičky
• PCI Security Standards Council o SAQ A (v angličtine)
• WooCommerce o card testingu a rate limiting (v angličtine)