Bezpečnost plateb ve Vašem e-shopu: PCI, card testing a co pro Vás dělá hoster
Kdo přijímá online platby, setká se s bezpečnostními pravidly kartových společností (PCI DSS), s pachateli, kteří chtějí ukrást údaje o kartách, a s card testingem: zkoušením ukradených karet ve Vašem obchodě. Tento článek vysvětluje, co to pro malý internetový obchod znamená, co si zajišťujete sami a co za Vás řeší Váš hoster.
Základní pravidlo: údaje o kartách se nikdy neobjevují ve Vašem obchodě
Číslo karty, datum platnosti a bezpečnostní kód zadává zákazník u Vašeho platebního poskytovatele, nikoli ve Vašem vlastním obchodě. Váš obchod se dozví pouze to, zda bylo zaplaceno. To znamená také:
- nikdy nemít vlastní formulářové pole pro čísla karet, a to ani u telefonické objednávky;
- nikdy nepřijímat údaje o kartách e-mailem, chatem nebo telefonicky a nezaznamenávat je do poznámky u objednávky;
- žádný plugin, který by ukládal údaje o kartách do Vaší vlastní databáze.
PCI DSS a SAQ A srozumitelně
PCI DSS (Payment Card Industry Data Security Standard) je bezpečnostní standard kartových společností, aktuální verze je v4.0.1. Firma, která sama zpracovává údaje o kartách, tím získává rozsáhlý soubor požadavků. Malý obchod, který platbu zcela svěřuje třetí straně, splnění prokazuje krátkým dotazníkem: SAQ A (Self-Assessment Questionnaire A). Váš platební poskytovatel o něj někdy žádá.
Svěření platby třetí straně lze řešit dvěma způsoby:
- Přesměrování: po objednání zákazník přejde na platební stránku poskytovatele a poté se vrátí zpět.
- Vložené platební pole: platební pole je součástí Vaší stránky s pokladnou, ale jde o část stránky (iframe) poskytovatele.
Od 31. března 2025 platí nová verze SAQ A. Kdo používá vložené platební pole, musí v něm potvrdit, že jeho web není zranitelný vůči útokům pomocí skriptů, které by mohly zasáhnout platbu. Kdo používá přesměrování, se touto podmínkou nemusí zabývat. Zeptejte se svého platebního poskytovatele, který dotazník se týká Vašeho propojení.
Ochrana stránky s pokladnou
- Udržujte stránku s pokladnou strohou. Každý skript na této stránce může v zásadě číst, co zákazník zadává (e-skimming): chatovací widgety, správci značek, reklamní pixely. Načítejte zde pouze to, co je nezbytné pro platbu.
- Co nejméně pluginů, vždy aktuálních. Škodlivé skripty se nejčastěji dostávají dovnitř přes zranitelnost v pluginu nebo ukradené heslo správce.
- https všude, s přesměrováním z http na https a HSTS. Viz Povinné přesměrování návštěvníků na https a HSTS a bezpečnostní hlavičky pro Váš web.
Rozpoznání a omezení card testingu
Při card testingu pachatelé automaticky zadávají velké množství malých objednávek, aby zjistili, které ukradené karty fungují. Poznáte to podle velkého počtu objednávek v krátkém čase, často stejného levného produktu, s různými jmény a mnoha objednávkami se stavem Neúspěšná. Stojí Vás to transakční poplatky a zpětné platby, a v nejhorším případě Váš platební poskytovatel zablokuje Váš účet.
- Rate limiting (omezení počtu požadavků za jednotku času). WooCommerce to má vestavěné pro bloky pokladny, ale ve výchozím nastavení je to vypnuté. Zapněte to v WooCommerce > Nastavení > Pokročilé > Funkce, volba Rate limiting Checkout block and Store API.
- Captcha při placení. Útočníci často mění IP adresu; rate limiting a captcha společně fungují nejlépe.
- Filtry proti podvodům u Vašeho platebního poskytovatele. Zapněte je a sledujte, co hlásí.
- 3-D Secure, dodatečné potvrzení v bankovní aplikaci, ztěžuje zneužití ukradených karet.
Co zajišťuje Váš hoster a co ne
U WebOké je zajištěno:
- Bezplatný certifikát Let's Encrypt pro https
- HSTS je na většině serverů ve výchozím nastavení zapnuté
- Web Application Firewall je ve výchozím nastavení zapnutý a zastavuje známé útoky
- Imunify360 ihned kontroluje nové soubory na malware a pravidelně prochází Váš balíček
- Každou noc záloha celého Vašeho balíčku, uchovávaná 30 dní, v jiném datovém centru
Zůstává na Vás (nebo na Vašem tvůrci webu):
- Aktualizace WordPressu, WooCommerce, šablony a pluginů (Installatron to umí dělat automaticky, viz Aktualizace a automatické aktualizace)
- Propojení a nastavení ochrany proti podvodům u Vašeho platebního poskytovatele
- Jaké skripty se nacházejí na Vaší stránce s pokladnou
- Silná hesla a dvoufázové ověřování pro správce
- Rate limiting, captcha a kontrola podezřelých objednávek
Software, který si nainstalujete sami, i přes Installatron, spravujete sami. Pokud přesto dojde k napadení Vašeho webu, postupujte podle plánu Můj web byl napaden: postup krok za krokem. Pokud únik zasáhne osobní údaje zákazníků, přečtěte si také Je to únik dat a musím to nahlásit?
Další čtení
- Bezplatný kurz Bezpečně online, lekce 4.2 Váš web: https, HSTS a bezpečnostní hlavičky
- PCI Security Standards Council o SAQ A (anglicky)
- WooCommerce o card testingu a rate limiting (anglicky)