Betalingssikkerhet i nettbutikken din: PCI, card testing og hva webhotellet ditt gjør
Den som tar imot nettbetalinger, må forholde seg til sikkerhetsreglene til kortselskapene (PCI DSS), til kriminelle som vil stjele kortopplysninger, og til card testing: utprøving av stjålne kort i butikken din. Denne artikkelen forklarer hva dette betyr for en liten nettbutikk, hva du gjør selv, og hva hosten din ordner og ikke ordner for deg.
Hovedregelen: kortopplysninger havner aldri i butikken din
Kortnummer, utløpsdato og sikkerhetskode skriver kunden inn hos betalingsleverandøren, ikke i din egen butikk. Butikken din får bare vite om betalingen er gjennomført. Det betyr også:
- aldri et eget skjemafelt for kortnummer, heller ikke for en telefonbestilling;
- aldri ta imot kortopplysninger per e-post, chat eller telefon og legge dem i et notat ved en bestilling;
- ingen plugin som lagrer kortopplysninger i din egen database.
PCI DSS og SAQ A i vanlig språk
PCI DSS (Payment Card Industry Data Security Standard) er sikkerhetsstandarden til kortselskapene; dagens versjon er v4.0.1. Et selskap som selv behandler kortopplysninger, får dermed en stor mengde krav. En liten butikk som setter bort hele betalingen, viser med et kort spørreskjema at den oppfyller kravene: SAQ A (Self-Assessment Questionnaire A). Betalingsleverandøren din spør noen ganger om dette.
Utbesetting kan skje på to måter:
- Videresending: etter bestillingen går kunden til betalingssiden til leverandøren og deretter tilbake.
- Et innebygd betalingsfelt: betalingsfeltet står på din kassaside, men er en del av siden (iframe) fra leverandøren.
Siden 31. mars 2025 gjelder en ny versjon av SAQ A. Den som bruker et innebygd betalingsfelt, må bekrefte at nettstedet ikke er sårbart for angrep med skript som kan påvirke betalingen. Den som videresender, faller ikke inn under dette kravet. Spør betalingsleverandøren din hvilket spørreskjema som gjelder for din løsning.
Beskytt kassasiden
- Hold kassasiden ren. Alle skript på denne siden kan i prinsippet lese det kunden skriver inn (e-skimming): chat-widgeter, tag-managere, annonsepiksler. Last bare inn det som er nødvendig for betalingen.
- Få plugins, og alltid oppdatert. Skadelige skript kommer som regel inn via et sikkerhetshull i en plugin eller et stjålet administratorpassord.
- https overalt, med videresending fra http til https og HSTS. Se Tving videresending av besøkende til https og HSTS og sikkerhetsheadere for nettstedet ditt.
Gjenkjenn og begrens card testing
Ved card testing legger kriminelle inn mange små bestillinger automatisk for å se hvilke stjålne kort som fungerer. Du kjenner det igjen på mange bestillinger på kort tid, ofte av samme billige produkt, med varierende navn og mange bestillinger med status Mislykket. Det koster deg transaksjonsgebyrer og tilbakeføringer, og i verste fall sperrer betalingsleverandøren kontoen din.
- Rate limiting (en grense for antall forespørsler per tidsenhet). WooCommerce har dette innebygd for kasseblokkene, men det er avslått som standard. Slå det på under WooCommerce > Innstillinger > Avansert > Funksjoner, alternativet Rate limiting Checkout block and Store API.
- En captcha ved kassen. Angripere bytter ofte IP-adresse; rate limiting og captcha sammen fungerer best.
- Svindelfiltrene til betalingsleverandøren din. Slå dem på og se hva de melder.
- 3-D Secure, den ekstra bekreftelsen i bankappen, gjør det vanskeligere å misbruke stjålne kort.
Hva hosten din gjør, og hva den ikke gjør
Ordnet av WebOké:
- Et gratis Let's Encrypt-sertifikat for https
- HSTS er slått på som standard på de fleste servere
- Web Application Firewall er slått på som standard og stopper kjente angrep
- Imunify360 kontrollerer nye filer direkte for skadevare og skanner pakken din jevnlig
- En sikkerhetskopi av hele pakken din hver natt, lagret i 30 dager, i et annet datasenter
Ditt ansvar (eller nettstedbyggerens):
- Oppdatere WordPress, WooCommerce, tema og plugins (Installatron kan gjøre dette automatisk, se Oppdateringer og automatiske oppdateringer)
- Koblingen og svindelinnstillingene hos betalingsleverandøren din
- Hvilke skript som ligger på kassasiden din
- Sterke passord og totrinnsbekreftelse for administratorer
- Rate limiting, captcha og gjennomgang av mistenkelige bestillinger
Programvare du installerer selv, også via Installatron, administrerer du selv. Blir nettstedet ditt likevel hacket, følg trinnvis veiledning Nettstedet mitt er hacket: trinnvis veiledning. Rammer et innbrudd personopplysninger til kunder, les også Er dette et datainnbrudd, og må jeg melde fra?
Les mer
- Gratis kurs Trygg på nett, leksjon 4.2 Nettstedet ditt: https, HSTS og sikkerhetsheadere
- PCI Security Standards Council om SAQ A (engelsk)
- WooCommerce om card testing og rate limiting (engelsk)