Trek de echte betaalgrens
Breng het pad van de koper in kaart van productpagina tot bevestiging. Markeer kaartinvoer, redirects, frames, scripts, API’s, plugins, tagmanagers, content delivery networks en administratoraccounts die het kunnen beïnvloeden. Neem gerelateerde logs, supporttools en analytics mee. Dit is een startend record voor je provider of assessor, geen definitieve compliance-beslissing.
Noteer het domein dat elk element van de betaalpagina serveert. PCI SSC zegt dat SAQ A-geschiktheid vereist dat alle betaalpagina-elementen uitsluitend afkomstig zijn van PCI DSS-conforme serviceproviders en geen enkele van de merchantsite. Voor SAQ A-EP mag elk element afkomstig zijn van de merchant of zo’n provider, maar niet van een andere bron. Alle andere criteria blijven van toepassing.
Een repository kan injecties via de tagmanager en platforminstellingen missen. Bekijk scripts, frames, domeinen en headers in een normale checkout-browser-sessie.
Controleer logs, analytics en supportworkflows op betalingsvelden. Gebruik nooit echte kaartgegevens in testtickets of gedeeld bewijs.
Verminder blootstelling met een verklaarbaar betaalmodel
Gebruik waar praktisch een integratie waarbij een PCI DSS-conforme provider kaartgegevens verzamelt in plaats van dat je applicatie deze ontvangt of opslaat. Een volledig door de provider gehoste redirect is vaak eenvoudiger dan een aangepast formulier, maar embedded velden en iframes kunnen je site nog steeds invloed op de betaling geven. Documenteer de werkelijke integratie in plaats van te vertrouwen op het label 'gehost'.
Vermijd het bewaren van primary account numbers, beveiligingscodes, screenshots van checkout-fouten of gekopieerde betaalgegevens tenzij een goedgekeurd ontwerp dat vereist. Encryptie helpt gegevens te beschermen, maar PCI SSC waarschuwt dat encryptie op zichzelf een omgeving doorgaans niet uit scope haalt. Bevestig token-, sleutel-, webhook-, terugbetaling- en verantwoordelijkheidsafhandeling met de provider en gekwalificeerde beoordelaars.
Bewaar de integratiehandleiding, informatie over verantwoordelijkheden, relevante compliance-documentatie en het change-notificationproces bij je architectuurrecord.
Voeg geen marketingexperimenten, replay-tools, chatwidgets of optionele libraries toe zonder een benoemde eigenaar en een beoordeling van wat ze kunnen benaderen.
Beheer scripts, tags en headers
Browsercode van derden kan ongecontroleerde wijzigingen invoeren, willekeurige code-uitvoering mogelijk maken en openbaarmaking naar andere partijen veroorzaken. Houd een checkout-inventaris bij met het domein, doel, eigenaar, goedkeuring en laacladeplaats van elk script. Neem tag-managerregels en door leveranciers geladen code op, niet alleen bronboom-bestanden.
PCI SSC concentreert zich op geautoriseerde scripts, integriteit, tamper-monitoring en beveiligingsrelevante HTTP-headers. Keur een baseline goed, beperk wijzigingen, ontdek verschillen en onderzoek ze. Een Content Security Policy (CSP) kan bronnen beperken. Test deze waar geschikt eerst in report-only modus voordat je afdwinging inschakelt. CSP is verdediging in de diepte, geen vervanging voor veilig coderen of review.
Subresource Integrity kan een gewijzigd extern script afwijzen, maar vereist compatibele cross-origin-configuratie en kan breken na vendor-updates.
Beperk publicatierollen, eist sterke authenticatie, beoordeel custom-code-mogelijkheden en bewaar een audittrail.
Beperk toegang en maak checkout-wijzigingen herstelbaar
Scheid routinematige contentpublicatie van checkout-code, betaalprovideradministratie, hosting, DNS en tagmanagement. Gebruik benoemde accounts, least privilege en multi-factor authenticatie waar ondersteund. Herzie toegang na rolwijzigingen en verwijder oud-medewerkers, leveranciers en bureaus. De precieze PCI DSS-toepasbaarheid hangt van de omgeving af, maar het verminderen van gedeelde en blijvende privileges verlaagt risico.
Gebruik een releaseproces voor checkout: benoemde eigenaar, review, test waar mogelijk, rollback-methode en post-release browsercheck. Test succes- en foutpaden, redirects en mobiel gedrag. Status Is UP ondersteunt proactieve launch-readiness, prestatie-optimalisatie en rollback-planning rond releases; het bepaalt geen PCI DSS-compliance.
Bewaar credentials, backupcodes en rollback-instructies in goedgekeurde, toegang-controlegebonden systemen, nooit in tickets, screenshots of openbare repositories.
Vergelijk na release browserzichtbare scripts, domeinen en headers met de goedgekeurde inventaris.
Werk de stack bij en verifieer het resultaat
Houd een inventaris bij van het commerceplatform, plugins, thema’s, servercomponenten, libraries, payment SDK’s, tag-templates en services die de checkout beïnvloeden. Abonneer je op kritieke vendor-notificaties. NIST beschrijft patchmanagement als het identificeren, prioriteren, verwerven, installeren en verifiëren van updates. Leg de wijziging vast, test het betalingsproces en bevestig wat is uitgerold.
Stel een noodpad in voor hoogrisico-issues en een onderhoudsvenster voor routinematige wijzigingen. Prioriteer blootgestelde checkout-componenten, maar patch productie niet blind en breng zo betalingen niet in gevaar. Gebruik een geteste rollback-aanpak en volg provider-richtlijnen voor releases. Een onbekende eigenaar voor een verouderd component is een risico dat opgelost moet worden.
Bewaar het advisory, risico-besluit, testresultaat, uitrolrecord en de uiteindelijke verificatie samen.
Bewaar bewijs en schakel gekwalificeerde hulp in
Bewaar diagrammen, providerverantwoordelijkheidsinformatie, SAQ-geschiktheidsrationale, script- en headerinventarissen, toegangsreviews, goedkeuringen, testresultaten, wijzigingen en vendorcontacten op een gecontroleerde locatie. Vernieuw ze wanneer architectuur, eigenaarschap, scripts of providers veranderen. Bewijs moet een bevoegde beoordelaar helpen zonder kaartgegevens, secrets of klantgegevens te onthullen.
Jouw acquirer of betaalmerk stelt de toepasselijke validatieverwachtingen vast. PCI SSC benoemt Qualified Security Assessors (QSA’s) als onafhankelijke organisaties die gekwalificeerd zijn om PCI DSS-beoordelingen uit te voeren en Approved Scanning Vendors (ASV’s) als gekwalificeerde externe scanproviders onder toepasselijke eisen. Schakel gekwalificeerde hulp in voor aangepaste checkout, onduidelijke scope, vermoeden van compromittering of SAQ-selectie.
Bewaar het checkout-model, technische eigenaren, escalatiecontacten, laatste reviewedatum en bewijskoppelingen bij elkaar.