PCI DSS для інтернет-магазину: що варто знати власнику у 2026 році
Більшість українських інтернет-магазинів приймають оплату карткою через платіжного провайдера і щиро вважають, що стандарт PCI DSS їх не стосується. Частково це так: якщо картка вводиться на сторінці провайдера, обсяг вимог мінімальний. Але «мінімальний» не означає «нульовий», а з переходом на PCI DSS 4.0.1 з'явились вимоги, які прямо стосуються сторінки оформлення замовлення.
Хто має відповідати стандарту
PCI DSS поширюється на всіх, хто приймає, обробляє, зберігає або передає дані платіжних карток, а також на тих, хто може вплинути на їх безпеку. Інтернет-магазин, що перенаправляє покупця на сторінку оплати, теж у цьому колі: його сайт вирішує, куди саме відправити покупця, і зловмисник, який отримав доступ до сайту, може підмінити сторінку оплати.
Анкета самооцінки замість аудиту
Для невеликих магазинів відповідність зазвичай підтверджують не аудитом, а анкетою самооцінки (SAQ). Тип анкети залежить від того, як побудована оплата:
- SAQ A для магазинів, де вся оплата повністю передана провайдеру через перенаправлення або вбудовану форму провайдера.
- SAQ A-EP, якщо сторінка магазину сама формує платіжну форму або скрипти магазину можуть на неї впливати.
- SAQ D, якщо магазин сам приймає або зберігає номери карток. Для інтернет-торгівлі це найскладніший і найменш бажаний варіант.
Що змінилось з версією 4.0.1
Найпомітніші для торгівлі вимоги стосуються скриптів на сторінці оплати. Магазин має вести перелік усіх скриптів, що завантажуються на цій сторінці, обґрунтовувати потребу в кожному і контролювати їх цілісність. Також потрібен механізм, який виявляє несанкціоновані зміни сторінки оплати і заголовків. Це відповідь на хвилю атак, коли через сторонній скрипт аналітики чи чату зловмисники непомітно збирали дані карток.
Ці дві вимоги повною мірою діють для анкет A-EP і D. З анкети SAQ A їх прибрали, але натомість магазин має підтвердити, що його сайт захищений від атак через скрипти, які можуть вплинути на платіжну форму провайдера.
Чим ризикує магазин
Якщо через сайт магазину витекли дані карток, платіжна система може накласти на еквайєра штрафи, а той перекладе їх на магазин. До цього додаються витрати на розслідування інциденту, можливе підвищення комісії або відключення від приймання карток. Для невеликого бізнесу це може бути болючіше, ніж вартість заходів захисту.
З чого почати
- З’ясувати у платіжного провайдера, який тип анкети він очікує від вас.
- Скласти перелік усіх скриптів на сторінках кошика і оплати.
- Перевірити, хто має доступ до адміністративної частини сайту і чи увімкнена двофакторна автентифікація.
- Замовити квартальне зовнішнє сканування вразливостей, якщо воно потрібне для вашого типу анкети.
Як визначити тип анкети і які кроки обов’язкові саме для торгівлі, детально описано в матеріалі PCI DSS для інтернет-магазинів.