如果我的表單包含信用卡號碼字段，我是否需要符合PCI規範

Question

我在SSL安全網站上有一個表格，其中包含信用卡號碼及其類型（無CCV和過期日期）。當用戶提交表格時，電子郵件會發送給管理人員並提供所有提交的信息。這個過程中沒有任何數據存儲在數據庫中。

除了使用HTTPS保護網站以外，還需要做其他事嗎？

謝謝！

Answer 1

由於您接受信用卡信息，您必須符合PCI標準。

從FAQ：

問：向誰不PCI申請？答：PCI適用於接受，傳輸或存儲任何持卡人數據的任何組織或商戶，無論交易的規模或數量如何。換言之，如果該組織的任何客戶曾經直接使用信用卡或借記卡向商戶支付費用，則適用PCI DSS要求。

問：如何報告組織違反PCI？ A：發現不符合PCI標準的企業可能會受到他們用於處理其信用卡交易的實體的罰款。那些信用卡數據實際上被盜的數據泄露企業將面臨來自銀行，卡片品牌等的更大的罰款和費用，並且需要報告違規情況，這很快造成新聞並導致進一步的聲譽損失。

而且也是這樣：

問：我符合PCI標準，如果我有一個SSL證書？答：不可以。SSL證書不能保護Web服務器免受惡意攻擊或入侵。

Answer 2

如果您要提交任何信用卡信息，那麼答案是肯定的！通過電子郵件發送信用卡是一個巨大的禁忌！

1. 您可能沒有將數字存儲在本地服務器上，但它通過電子郵件服務器傳輸！攻擊者可以訪問這些信息！
2. 如果有人更改表格上的電子郵件地址，則可以轉到第三方。這是非常不安全的。
3. 你永遠不能發送明確的信用卡號碼。在傳輸（存儲）之前，期間和之後必須對數字進行加密;特別是全卡號碼只能在絕對必要的情況下全部顯示。否則，您可以顯示最後4個，但只有在絕對需要處理業務功能時才顯示。
4. 您的表單不僅需要安全，還需要所有數字所在的硬件和網絡。

我建議立即脫機並儘快銷燬所有電子郵件。然後閱讀PCI合規性文檔，和/或考慮使用PCI標準支付接口，例如authorize.net。