Gerçek ödeme sınırını çizin
Ürün sayfasından onaya kadar alıcı yolunu haritalayın. Kart girişini, yönlendirmeleri, iframe’leri, scriptleri, API’leri, eklentileri, etiket yöneticilerini, içerik dağıtım ağlarını ve buna etki edebilecek yönetici hesaplarını işaretleyin. İlgili günlükleri, destek araçlarını ve analizleri dahil edin. Bu, sağlayıcınız veya değerlendiriciniz için bir başlangıç kaydıdır; uyumluluk kararı değildir.
Her ödeme sayfası öğesini sunan alan adını kaydedin. PCI SSC, SAQ A uygunluğu için tüm ödeme sayfası öğelerinin yalnızca PCI DSS uyumlu hizmet sağlayıcılarından gelmesini ve tüccar sitesinden hiçbirinin gelmemesini şart koştuğunu söyler. SAQ A-EP için her öğe tüccar veya böyle bir sağlayıcıdan gelebilir, ancak başka bir kaynaktan gelmemelidir. Diğer tüm kriterler yine geçerlidir.
Bir depo (repository) etiket-yöneticisi enjeksiyonlarını ve platform ayarlarını kaçırabilir. Normal bir checkout tarayıcı oturumunda scriptleri, iframe’leri, alan adlarını ve başlıkları inceleyin.
Günlükleri, analizleri ve destek iş akışlarını ödeme alanları için gözden geçirin. Test kayıtlarında veya paylaşılan kanıtlarda gerçek kart verisi asla kullanmayın.
Açıklanabilir bir ödeme modeliyle maruziyeti azaltın
Uygulanabilir olduğunda, PCI DSS uyumlu bir sağlayıcının kart verisini topladığı bir entegrasyonu kullanın; uygulamanızın veriyi alması veya depolaması yerine sağlayıcının toplaması daha iyidir. Tam sağlayıcı-barındırmalı yönlendirme genellikle özel bir formdan daha basittir, ancak gömülü alanlar ve iframe’ler sitenizin ödemeyi etkilemesine yine de izin verebilir. Barındırılan etiketi kullanmaya güvenmek yerine gerçek entegrasyonu belgelendirin.
Birincil hesap numaralarını, güvenlik kodlarını, checkout hata ekran görüntülerini veya kopyalanmış ödeme bilgilerini onaylanmış bir tasarım gerektirmedikçe saklamaktan kaçının. Şifreleme veriyi korumaya yardımcı olur, ancak PCI SSC sıklıkla şifrelemenin tek başına bir ortamı kapsam dışı bırakmadığını belirtir. Token, anahtar, webhook, iade ve sorumluluk işleyişini sağlayıcı ve yetkili değerlendiricilerle teyit edin.
Entegrasyon kılavuzunu, sorumluluk bilgilerini, ilgili uyumluluk belgelerini ve değişiklik-bildirim sürecini mimari kaydıyla birlikte tutun.
Pazarlama deneyleri, replay araçları, sohbet widget'ları veya isteğe bağlı kütüphaneleri adlandırılmış bir sahibi ve erişebileceklerini incelemeden eklemeyin.
Scriptleri, etiketleri ve başlıkları kontrol edin
Üçüncü taraf tarayıcı kodu kontrolsüz değişiklik, keyfi kod yürütme ve diğer taraflara ifşaya yol açabilir. Her scriptin alan adı, amacı, sahibi, onayı ve yükleme konumunu içeren bir checkout envanteri tutun. Kaynak ağacı dosyalarıyla sınırlı kalmayın; etiket-yönetici kurallarını ve tedarikçi tarafından yüklenen kodu da dahil edin.
PCI SSC yetkili scriptler, bütünlük, kurcalama izleme ve güvenliği etkileyen HTTP başlıklarına odaklanır. Bir temel onaylayın, değişiklikleri kısıtlayın, farkları tespit edin ve bunları araştırın. Bir İçerik Güvenlik Politikası (CSP) kaynakları kısıtlayabilir. Uygun olduğunda uygulanmadan önce report-only (sadece rapor) modunda test edin. CSP derin savunmadır; güvenli kodlama veya incelemenin yerine geçmez.
Subresource Integrity değişen harici bir scripti reddedebilir, ancak uyumlu çapraz-köken (cross-origin) yapılandırma gerektirir ve tedarikçi güncellemelerinden sonra kırılabilir.
Yayınlama rollerini sınırlayın, güçlü kimlik doğrulama isteyin, özel kod yeteneğini inceleyin ve bir denetim izi saklayın.
Erişimi sınırlayın ve checkout değişikliklerini geri alınabilir kılın
Rutin içerik yayınlamayı checkout kodundan, ödeme sağlayıcı yönetimini, barındırmayı, DNS'i ve etiket yönetimini ayırın. Adlandırılmış hesaplar, en az ayrıcalık ve mümkünse çok faktörlü kimlik doğrulama kullanın. Rol değişikliklerini gözden geçirin ve eski çalışanları, tedarikçileri ve ajansları kaldırın. PCI DSS uygulamasının tam gerekliliği ortama bağlıdır, ancak paylaşılmış ve sürekli ayrıcalıkları azaltmak riski azaltır.
Checkout için bir sürüm süreci kullanın: adlandırılmış sahip, inceleme, mümkünse test, geri alma yöntemi ve yayın sonrası tarayıcı kontrolü. Başarı ve hata yollarını, yönlendirmeleri ve mobil davranışı test edin. Status Is UP; proaktif yayın hazırlığı, performans optimizasyonu ve geri alma planlamasını destekler; PCI DSS uyumluluğunu belirlemez.
Kimlik bilgileri, yedek kodlar ve geri alma talimatlarını onaylı erişim kontrollü sistemlerde tutun; bunları asla ticket'larda, ekran görüntülerinde veya açık depolarda saklamayın.
Yayın sonrası, tarayıcıda görünen scriptleri, alan adlarını ve başlıkları onaylı envanterle karşılaştırın.
Yığını güncelleyin ve sonucu doğrulayın
Commerce platformu, eklentiler, temalar, sunucu bileşenleri, kütüphaneler, ödeme SDK'ları, etiket şablonları ve checkout'u etkileyen servislerin envanterini tutun. Kritik tedarikçi bildirimlerine abone olun. NIST, yama yönetimini güncellemeleri tanımlama, önceliklendirme, edinme, kurma ve doğrulama olarak tanımlar. Değişikliği kaydedin, ödeme yolculuğunu test edin ve dağıtıma doğrulama yapın.
Yüksek riskli konular için acil yol ve rutin değişiklikler için bakım penceresi belirleyin. Maruz kalan checkout bileşenlerine öncelik verin, ancak üretimi körü körüne yamalayıp ödemeyi bozmayın. Test edilmiş bir geri alma yaklaşımı ve sağlayıcı yayın yönergelerini kullanın. Güncelliği belirsiz bir bileşenin sahibi olmaması çözülmesi gereken bir risktir.
Bildirimi, risk kararını, test sonucunu, dağıtım kaydını ve son doğrulamayı birlikte saklayın.
Kanıt tutun ve yetkin yardım alın
Diyagramlar, sağlayıcı sorumluluk bilgileri, SAQ uygunluğu gerekçesi, script ve başlık envanterleri, erişim incelemeleri, onaylar, test sonuçları, değişiklikler ve tedarikçi iletişimleri gibi kanıtları kontrollü bir yerde tutun. Mimari, sahiplik, scriptler veya sağlayıcılar değiştiğinde bunları güncelleyin. Kanıtlar yetkili bir değerlendiricinin işini kolaylaştırmalı, kart verisi, sırlar veya müşteri kayıtlarını ifşa etmemelidir.
Uygun doğrulama beklentilerini belirleyen taraf sizin edinimciniz (acquirer) veya ödeme markanızdır. PCI SSC, PCI DSS değerlendirmelerini yapmak için nitelikli kuruluşlar olarak Qualified Security Assessors (QSA) ve ilgili gereksinimler kapsamında nitelikli dış tarama sağlayıcıları olarak Approved Scanning Vendors (ASV) olduğunu tanımlar. Özel checkout, kapsam belirsizliği, şüphelenilen bir ihlal veya SAQ seçimi konusunda yetkin yardım alın.
Checkout modeli, teknik sahipler, yükseltme iletişimleri, son inceleme tarihi ve kanıt bağlantılarını birlikte tutun.