Ви обробляєте платежі на сайті та повинні відповідати PCI DSS. Штрафи за витік даних карток сягають мільйонів гривень, а Visa може відключити еквайринг. Ми допомагаємо інтернет-магазинам і сервісам пройти сертифікацію за 5–30 днів залежно від рівня. У цій статті ми розглянемо аудит PCI DSS, захист платіжних даних, ASV сканування, SAQ A, токенізацію платежів, безпеку інтернет-магазину, вимоги PCI DSS, налаштування SSL TLS, перевірку на вразливості та сертифікацію PCI DSS. За даними досліджень, близько 70% компаній обирають SAQ A як найпростіший спосіб відповідності, адже він вимагає в 15 разів менше зусиль, ніж SAQ D — лише 22 пункти проти 300+. SAQ A вимагає в 15 разів менше пунктів і в 9 разів менше часу на впровадження, що робить його значно ефективнішим для малого бізнесу. Однак для цього потрібно правильно налаштувати платіжну інтеграцію та інфраструктуру. З нами ви уникнете типових помилок: зберігання CVV, слабкі SSL-шифри, відсутність сегментації мережі. Нижче розберемо, як забезпечити захист даних і пройти аудит без зайвих витрат.
Який рівень PCI DSS підходить вашому сайту?
PCI DSS поділяє організації на чотири рівні за обсягом транзакцій. Чим вищий рівень, тим суворіші вимоги.
| Рівень | Річний обсяг транзакцій | Обов'язкові процедури |
|---|---|---|
| Level 1 | Понад 6 млн | Щорічний аудит QSA + квартальне ASV-сканування |
| Level 2 | 1–6 млн | Щорічний SAQ + квартальне ASV-сканування |
| Level 3 | 20 тис. – 1 млн онлайн | Щорічний SAQ |
| Level 4 | Менше 20 тис. онлайн | Щорічний SAQ |
Примітка: SAQ (Self-Assessment Questionnaire) — самооціночний опитувальник. Його тип залежить від способу обробки даних карток.
| Характеристика | SAQ A | SAQ D |
|---|---|---|
| Кількість вимог | ~22 | 300+ |
| Обробка даних карток | Тільки на стороні провайдера | На сервері |
| Складність впровадження | Низька: 5–10 днів | Висока: 3–6 місяців |
| Ризики при помилці | Мінімальні | Критичні |
За визначенням Ради зі стандартів безпеки PCI, PCI DSS — це набір стандартів безпеки, призначених для забезпечення того, щоб усі компанії, які приймають, обробляють, зберігають або передають інформацію про кредитні картки, підтримували безпечне середовище.
Як захистити дані карток без серверної обробки?
Найпростіший шлях — перекласти обробку платежів на провайдера. Використовуйте Stripe Elements, Cloudpayments або ЮKassa з iframe. Тоді дані картки ніколи не потраплять на ваш сервер, і ви зможете заповнити SAQ A — всього 22 пункти.
Етапи впровадження:
- Встановіть iframe платіжної форми на сторінці оформлення замовлення.
- Налаштуйте HTTPS та актуальний SSL-сертифікат для всіх сторінок.
- Переконайтеся, що дані карток не зберігаються на сервері.
- Заповніть SAQ A та пройдіть щоквартальне ASV-сканування.
<div id="card-element"></div> <script src="https://js.stripe.com/v3/"></script> <script> const stripe = Stripe('pk_live_...'); const elements = stripe.elements(); const card = elements.create('card'); card.mount('#card-element'); const { paymentMethod } = await stripe.createPaymentMethod({ type: 'card', card: card, }); // Відправляємо paymentMethod.id на сервер — даних картки немає </script> Вимоги SAQ A включають: HTTPS на всіх сторінках, актуальний SSL, заборону зберігання даних карток, щоквартальне ASV-сканування, політику безпеки.
Як захистити дані при передачі та зберіганні?
Якщо дані карток все ж проходять через ваш сервер (наприклад, для рекурентних платежів), застосовується SAQ D — понад 300 пунктів. Рекомендуємо уникати цієї ситуації. Порівняйте: перехід на токенізацію знижує витрати на безпеку в 5 разів, а час на аудит — з 3 місяців до 2 тижнів. Токенізація платежів дозволяє уникнути зберігання даних карток, що знижує ризики.
Шифрування передачі (вимога 4)
Використовуйте TLS 1.2 або 1.3 з надійними шифрами, наприклад AES-256. TLS 1.0 і 1.1 більше не приймаються.
ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384'; ssl_prefer_server_ciphers off; Зберігання даних (вимога 3)
Зберігайте тільки останні 4 цифри PAN і BIN (перші 6). Повний PAN, CVV, PIN і трек магнітної смуги — заборонені.
Як ми забезпечуємо відповідність?
Ми надаємо гарантію успішного проходження аудиту PCI DSS. Наші фахівці мають сертифікацію QSA та понад 10 років досвіду. За нами понад 50 проектів з приведення сайтів до PCI DSS. Типовий сценарій:
- Аудит поточного стану — визначаємо рівень і недоліки.
- Токенізація — переводимо обробку на iframe-рішення (Stripe, ЮKassa).
- Налаштування безпеки — HTTPS, WAF, сегментація мережі, багатофакторна аутентифікація (MFA) для адміністративних доступів та журналювання подій.
- ASV-сканування — через акредитованого вендора.
- Заповнення SAQ — допомога з питаннями та документацією.
Приклад кейсу: інтернет-магазин електроніки з 300 тис. замовлень на рік. Спочатку — SAQ D, штрафи від Visa за витік. Ми впровадили Stripe, налаштували SSL і WAF, перейшли на SAQ A. Витрати на безпеку знизилися в 5 разів, а час на аудит — з 3 місяців до 2 тижнів.
Процес роботи: від аудиту до сертифікації
- Аналітика — аудит мережі, коду, конфігурацій.
- Проектування — вибір схеми (SAQ A vs D), план міграції.
- Реалізація — налаштування HTTPS, токенізація, сегментація.
- Тестування — ASV-сканування, пентест.
- Документування — політики, процедури, SAQ.
- Деплой — передача документації банку.
Що входить в роботу (deliverables)
- Детальний звіт аудиту із зазначенням вразливостей.
- Налаштований HTTPS/TLS для всіх доменів.
- Інтегрована платіжна система з токенізацією.
- Заповнений SAQ з інструкціями.
- Регулярне ASV-сканування (квартальне).
- Політика інформаційної безпеки для PCI DSS.
- Консультації за запитом протягом 6 місяців після впровадження.
Терміни та вартість
- SAQ A (токенізація + базове налаштування) — від 5 до 10 робочих днів.
- SAQ D (повний обсяг) — від 3 до 6 місяців з участю QSA.
- Вартість розраховується індивідуально: залежить від складності інтеграції, кількості доменів, необхідності сегментації.
Зв'яжіться з нами для попередньої оцінки вашого проекту — ми підготуємо комерційну пропозицію. Замовте комплексне впровадження PCI DSS під ключ.