PCI DSS 4.0 και scripts στη σελίδα πληρωμής: τι αλλάζει για το κατάστημά σας

Οι δύο απαιτήσεις

Η απαίτηση 6.4.3 ζητά κατάλογο των scripts που τρέχουν στις σελίδες πληρωμής, με αιτιολόγηση για το καθένα, και τρόπο να επιβεβαιώνεται ότι είναι εγκεκριμένα και αναλλοίωτα. Η 11.6.1 ζητά μηχανισμό που εντοπίζει μη εξουσιοδοτημένες αλλαγές στις σελίδες πληρωμής και ειδοποιεί.

Το πλήρες κείμενο είναι στο site του PCI Security Standards Council. Ο πάροχος πληρωμών και η τράπεζα-αποδέκτης αποφασίζουν πώς ακριβώς σας αφορά — μια πλήρως hosted σελίδα πληρωμής μειώνει το εύρος.

Τι σημαίνει σε Magento και WooCommerce

Οι πρόσφατες εκδόσεις του Magento 2.4 πρόσθεσαν αυστηρότερο Content Security Policy και υποστήριξη Subresource Integrity στις σελίδες πληρωμής του checkout για αυτόν τον σκοπό. Στο WooCommerce, τα scripts έρχονται από το theme, το plugin του gateway και όποια marketing tags φορτώνετε.

Και στις δύο περιπτώσεις, το πρώτο πρακτικό βήμα είναι αυτό που προτείνουμε και για την ταχύτητα: κρατήστε τα scripts τρίτων έξω από το checkout εκτός αν χρειάζονται εκεί. Μια σύντομη λίστα αιτιολογείται και παρακολουθείται πολύ πιο εύκολα.

Παρακολούθηση αλλαγών

Εντοπισμός αλλαγών σημαίνει σύγκριση του τι φορτώνει σήμερα η σελίδα πληρωμής με το τι φόρτωνε χθες: πηγές scripts, περιεχόμενό τους, και πού στέλνει δεδομένα η σελίδα. Τα skimmers, που περιγράφουμε στο Magecart skimming, είναι ακριβώς η αλλαγή που πρέπει να πιάνει.

Ένα συνθετικό checkout που καταγράφει τα αιτήματα δικτύου σε κάθε έλεγχο σας δίνει αυτό το ιστορικό δωρεάν, μαζί με την ερώτηση που ήδη απαντά: μπορεί ακόμη να πληρώσει ένας πελάτης;

Ελέγξτε το δικό σας κατάστημα τώρα, δωρεάν: ο έλεγχος checkout WooCommerce ή το τεστ checkout Magento περνά το checkout σε πραγματικό browser και δείχνει το βήμα όπου σταματά.