PCI DSS для интернет-магазина: что остаётся вашей ответственностью при использовании LiqPay
Подключили LiqPay или другой платёжный сервис — и вопрос безопасности карточных данных закрыт? Не совсем. Провайдер отвечает за свою инфраструктуру и услуги в рамках подтверждённого соответствия. Интернет-магазин — за собственную интеграцию, применимые требования к сайту и контроль подрядчиков. PCI DSS для интернет-магазина зависит прежде всего от маршрута передачи карточных данных, а не от логотипа сервиса рядом с кнопкой «Оплатить».
Нужен ли PCI DSS при использовании LiqPay?
Да, использование провайдера не отменяет ответственности продавца. Однако объём проверки может существенно сократиться, если интернет-магазин не хранит, не обрабатывает и не передаёт данные платёжных карт через собственные системы.
Важно различать соблюдение требований и способ подтверждения соответствия. Не каждому интернет-магазину нужен полноценный внешний аудит: в зависимости от условий может применяться SAQ — анкета самооценки. Форму отчётности согласовывают с эквайером, то есть банком, который обеспечивает приём карточных платежей, или другой стороной, принимающей подтверждение соответствия.
PCI DSS и платёжный шлюз: три сценария интеграции
Переадресация на страницу провайдера
Покупатель переходит на платёжную страницу сервиса и там вводит реквизиты. Например, LiqPay Checkout предусматривает передачу карточных данных непосредственно в LiqPay.
При соблюдении всех критериев такая модель может соответствовать SAQ A. Однако сайт интернет-магазина остаётся важным: взломанная CMS или плагин могут подменить адрес перехода и направить покупателя на мошенническую страницу.
Встроенная форма: iframe
Платёжная форма отображается внутри страницы интернет-магазина, но загружается от провайдера. Для возможности применения SAQ A все элементы формы, собирающие данные платёжных карт, должны поступать непосредственно от провайдера, соответствующего требованиям PCI DSS.
Для такой модели актуальная SAQ A также предусматривает подтверждение защиты сайта от атак через скрипты, способных повлиять на процесс оплаты. Это могут быть собственные меры защиты или подтверждение провайдера относительно безопасности его решения при условии правильной интеграции. Одного слова «виджет» в названии модуля недостаточно.
Собственная форма или передача через сервер
Если интернет-магазин создаёт поля ввода, а браузер отправляет данные напрямую провайдеру, это может быть Direct Post с применением SAQ A-EP.
Если реквизиты проходят через сервер интернет-магазина, объём требований обычно значительно шире: для самооценки рассматривают SAQ D, а в зависимости от условий программы соответствия может потребоваться внешний аудит. Даже кратковременная обработка данных имеет значение. Принцип «мы ничего не храним» не исключает передачу или обработку.
Какие требования PCI DSS к сайту остаются?
Границы проверки определяются фактической архитектурой. В них могут входить CMS, платёжные модули, веб-сервер, административные доступы, механизмы обновления кода и другие компоненты, способные влиять на безопасность платежей.
Проверьте также журналы ошибок, резервные копии, CRM и системы аналитики: не попадают ли туда реквизиты платёжных карт? Не все эти системы автоматически входят в область оценки — решающее значение имеют данные, связи и возможность влияния на безопасность.
Даже SAQ A не означает, что «ничего проверять не нужно». В частности, для сайтов с переадресацией или iframe применяются требования к внешнему сканированию уязвимостей ASV.
Что уточнить у провайдера и эквайера
Перед запуском подготовьте схему движения данных: от нажатия кнопки до получения статуса платежа. Запросите письменные ответы на ключевые вопросы.
- У провайдера: охватывает ли актуальный AOC — документ, подтверждающий соответствие требованиям, — именно выбранную услугу?
- У разработчика: кто формирует поля оплаты, куда передаются реквизиты и что записывается в журналы?
- У провайдера: какие требования выполняет он, какие остаются за интернет-магазином и как защищена встроенная форма?
- У эквайера: какая форма подтверждения соответствия необходима, каковы сроки подачи и требования к сканированию?
Распределение ответственности необходимо зафиксировать, а статус соответствия провайдера проверять не реже одного раза в год. После изменения интеграции следует также пересмотреть применимость выбранной SAQ.
Краткое дерево решений
Данные карты проходят через ваш сервер?
Да → рассматривайте SAQ D или аудит в соответствии с требованиями эквайера.
Нет, но поля для ввода данных карты создаёт ваш сайт?
Да → проверяйте критерии SAQ A-EP.
Нет, используется переадресация или iframe провайдера?
Проверяйте критерии SAQ A; для iframe — также защиту от атак через скрипты.
Это предварительный ориентир, а не автоматическое назначение анкеты. Запросы «PCI DSS Украина» и «SAQ A Украина» относятся к международному стандарту: отдельной упрощённой украинской SAQ не существует.
Определите требования до запуска оплаты
Планируете запуск интернет-магазина или замену платёжного модуля? Обратитесь в компанию «Систем Менеджмент» для оценки платёжной интеграции и определения применимых требований PCI DSS. Начните со схемы оплаты — она поможет определить объём работ ещё до того, как интеграция начнёт функционировать.
