Verkkokaupan maksuturvallisuus: PCI, korttitestaus ja mitä webhotellisi tekee
Kun vastaanotat verkkomaksuja, joudut tekemisiin korttiyhtiöiden turvallisuussääntöjen (PCI DSS) kanssa, rikollisten kanssa, jotka haluavat varastaa korttitietoja, sekä card testing -ilmiön kanssa: varastettujen korttien kokeilua kaupassasi. Tässä artikkelissa kerrotaan, mitä tämä tarkoittaa pienelle verkkokaupalle, mitä hoidat itse ja mitä hostingpalveluntarjoajasi hoitaa puolestasi ja mitä ei.
Pääsääntö: korttitiedot eivät koskaan tallennu kauppaasi
Asiakas syöttää kortin numeron, voimassaoloajan ja turvakoodin maksupalveluntarjoajasi sivulla, ei omassa kaupassasi. Kauppasi saa tietää vain, onko maksu suoritettu. Tämä tarkoittaa myös:
- älä koskaan käytä omaa lomakekenttää korttinumeroille, ei myöskään puhelimitse tehtävälle tilaukselle;
- älä koskaan vastaanota korttitietoja sähköpostitse, chatissa tai puhelimitse äläkä kirjaa niitä tilauksen muistiinpanoihin;
- älä käytä lisäosaa, joka tallentaa korttitiedot omaan tietokantaasi.
PCI DSS ja SAQ A selkokielellä
PCI DSS (Payment Card Industry Data Security Standard) on korttiyhtiöiden turvallisuusstandardi; nykyinen versio on v4.0.1. Yritys, joka käsittelee korttitietoja itse, saa sen myötä ison vaatimuspaketin. Pieni kauppa, joka ulkoistaa maksamisen kokonaan, osoittaa vaatimustenmukaisuutensa lyhyellä kyselylomakkeella: SAQ A:lla (Self-Assessment Questionnaire A). Maksupalveluntarjoajasi saattaa pyytää tätä sinulta.
Ulkoistaminen onnistuu kahdella tavalla:
- Uudelleenohjaus: tilauksen jälkeen asiakas siirtyy palveluntarjoajan maksusivulle ja palaa sieltä takaisin.
- Upotettu maksukenttä: maksukenttä on kassasivullasi, mutta se on palveluntarjoajan sivun osa (iframe).
31.3.2025 alkaen on voimassa SAQ A:n uusi versio. Jos käytät upotettua maksukenttää, sinun on vahvistettava siinä, että sivustosi ei ole altis skriptihyökkäyksille, jotka voivat vaikuttaa maksuun. Jos käytät uudelleenohjausta, tämä ehto ei koske sinua. Kysy maksupalveluntarjoajaltasi, mikä kyselylomake kuuluu sinun liittymääsi.
Kassasivun suojaaminen
- Pidä kassasivu yksinkertaisena. Periaatteessa mikä tahansa sivulla oleva skripti voi lukea, mitä asiakas kirjoittaa (e-skimming): chat-widgetit, tagienhallintatyökalut, mainospikselit. Lataa sivulle vain se, mitä maksaminen vaatii.
- Käytä vähän lisäosia ja pidä ne aina päivitettyinä. Haitalliset skriptit pääsevät yleensä sisään lisäosan tietoturva-aukon tai varastetun ylläpitäjän salasanan kautta.
- Käytä https-yhteyttä kaikkialla, ohjaa http automaattisesti https-osoitteeseen ja käytä HSTS:ää. Katso Kävijöiden pakollinen uudelleenohjaus https-osoitteeseen ja HSTS ja tietoturvaotsikot verkkosivustollesi.
Card testingin tunnistaminen ja rajoittaminen
Card testingissa rikolliset tekevät automaattisesti paljon pieniä tilauksia nähdäkseen, mitkä varastetut kortit toimivat. Tunnistat sen suuresta määrästä tilauksia lyhyessä ajassa, usein samasta edullisesta tuotteesta, vaihtuvilla nimillä ja monella tilauksella, joiden tila on Epäonnistui. Se maksaa sinulle transaktiomaksuja ja hyvityksiä, ja pahimmassa tapauksessa maksupalveluntarjoajasi estää tilisi.
- Rate limiting (pyyntöjen määrän rajoitus ajanjaksoa kohden). WooCommerce sisältää tämän kassalohkoille valmiina, mutta se on oletuksena pois päältä. Ota se käyttöön kohdassa WooCommerce > Asetukset > Lisäasetukset > Ominaisuudet, valinta Rate limiting Checkout block and Store API.
- Captcha kassalla. Hyökkääjät vaihtavat usein IP-osoitetta; rate limiting ja captcha yhdessä toimivat parhaiten.
- Maksupalveluntarjoajasi petossuodattimet. Ota ne käyttöön ja katso, mitä ne ilmoittavat.
- 3-D Secure, pankkisovelluksen lisävarmistus, vaikeuttaa varastettujen korttien väärinkäyttöä.
Mitä hostingpalveluntarjoajasi hoitaa ja mitä ei
WebOkéssa hoidettuna:
- Ilmainen Let's Encrypt -varmenne https-yhteyttä varten
- HSTS on oletuksena päällä useimmilla palvelimilla
- Web Application Firewall on oletuksena päällä ja estää tunnetut hyökkäykset
- Imunify360 tarkistaa uudet tiedostot heti haittaohjelmien varalta ja skannaa pakettisi säännöllisesti
- Joka yö varmuuskopio koko paketistasi, säilytetään 30 päivää, eri konesalissa
Jää sinun (tai verkkosivustosi rakentajan) hoidettavaksi:
- WordPressin, WooCommercen, teeman ja lisäosien päivittäminen (Installatron voi tehdä tämän automaattisesti, katso Päivitykset ja automaattiset päivitykset)
- Liittymä ja petosasetukset maksupalveluntarjoajallasi
- Mitkä skriptit ovat kassasivullasi
- Vahvat salasanat ja kaksivaiheinen tunnistautuminen ylläpitäjille
- Rate limiting, captcha ja epäilyttävien tilausten tarkistaminen
Ohjelmistot, jotka asennat itse, myös Installatronin kautta, ovat sinun vastuullasi. Jos sivustosi silti hakkeroidaan, seuraa ohjeita artikkelissa Verkkosivustoni on hakkeroitu: toimintasuunnitelma. Jos tietomurto koskee asiakkaiden henkilötietoja, lue myös Onko tämä tietoturvaloukkaus ja täytyykö siitä ilmoittaa?
Lue lisää
- Ilmainen kurssi Turvallisesti verkossa, oppitunti 4.2 Verkkosivustosi: https, HSTS ja tietoturvaotsikot
- PCI Security Standards Council SAQ A:sta (englanniksi)
- WooCommerce card testingista ja rate limiting (englanniksi)