API安全 - 發送CC信息

Question

我試圖設計一個支付API，它需要通過電線發送CC信息。所以爲此，我正在考慮使用公鑰來加密CC信息並在服務器上對其進行解密。請記住，該連接也是https。有關該主題的任何建議？

Answer 1

如果連接是https加密，第二次將不會有任何好處，除非有人打破SSL/TLS。在這種情況下，相信我你的API將成爲世界上最小的問題..

Answer 2

如果連接是HTTPS，則不需要加密CC詳細信息。

Answer 3

與之前的答案相反，我強烈建議您閱讀PCI-DSS。基本上你想保持卡號加密，直到完全需要用純文本格式（比如授權或解決時）。目前還不清楚你的API調用會做什麼，但是在猜測中，你幾乎肯定不希望卡號一出現你的web服務就以純文本出現。

此外，如果您有一個捕獲卡細節的客戶端組件，那麼它將受到PA-DSS的審查。