Як ми забезпечуємо безпеку онлайн-платежів

У 2014 році Хостинг Україна пройшла сертифікацію PCI DSS — міжнародного стандарту безпеки для обробки карткових даних. Відтоді щорічно проходимо процедури перевірки та оновлюємо сертифікат відповідності. Це дало нам право самостійно працювати з платежами без залучення сторонніх скриптів. Для користувачів це означає більше зручності: автоматична оплата, блокування коштів без списання (наприклад, для аукціонів доменів), можливість зберігати картки, керувати підписками та оплачувати послуги буквально «в один клік».

Як щодо безпеки?

PCI DSS — це не просто «галочка» у списку вимог. Стандарт жорстко регламентує, що не можна зберігати на серверах. Під забороною — номери карток, CVV-коди і терміни дії. Ці дані не записуються ні в логи запитів, ні в налагоджувальні журнали навіть у разі збоїв.

Єдине, що може зберігатися, — це перші шість цифр картки (визначають банк-емітент) і останні чотири (для ідентифікації картки в особистому кабінеті або під час звернення в підтримку). Такий обсяг даних безпечний і допомагає вирішувати клієнтські запити без ризику.

Чи небезпечно зберігати карту на сайті?

Ні. Коли користувач натискає кнопку «Зберегти карту», система не зберігає сам номер. Замість цього платіжна система повертає унікальний токен — спеціальний код. Він прив'язаний тільки до нашого сервісу і не може бути використаний зловмисником. Навіть якщо токен якимось чином потрапить у чужі руки, списання з картки на користь іншої компанії стане неможливим.

PCI DSS зсередини: дорого, складно, але виправдано

Проходження сертифікації PCI DSS — процес не з легких. Це дорога і тривала процедура, яка виправдана лише за великих обсягів платежів і необхідності використовувати розширені функції: наприклад, розділяти обробку карток за різними процесингами для збільшення конверсії або надійності.

До того ж сертифікат діє тільки один рік. Потім компанія зобов'язана проходити повторне тестування серверів і програмного забезпечення на наявність вразливостей.

🔒 Підсумок: PCI DSS — це не просто формальність, а реальний стандарт, який забезпечує безпечні та зручні платежі для користувачів.