Betalingssikkerhed i din webshop: PCI, card testing, og hvad din hoster gør
Hvis du modtager online betalinger, møder du sikkerhedsreglerne fra kortselskaberne (PCI DSS), kriminelle der vil stjæle kortoplysninger, og card testing: afprøvning af stjålne kort i din butik. Denne artikel forklarer, hvad det betyder for en lille webshop, hvad du selv skal gøre, og hvad din hoster klarer for dig og hvad der ikke indgår.
Hovedreglen: kortoplysninger kommer aldrig ind i din shop
Kortnummer, udløbsdato og sikkerhedskode indtaster kunden hos din betalingsudbyder, ikke i din egen butik. Din shop får kun besked om, hvorvidt der er betalt. Det betyder også:
- aldrig et eget formularfelt til kortnumre, heller ikke ved telefonisk bestilling;
- aldrig modtage kortoplysninger via mail, chat eller telefon og notere dem ved en ordre;
- ingen plugin, der gemmer kortoplysninger i din egen database.
PCI DSS og SAQ A i almindeligt sprog
PCI DSS (Payment Card Industry Data Security Standard) er kortselskabernes sikkerhedsstandard; den nuværende version er v4.0.1. En virksomhed, der selv behandler kortoplysninger, får dermed en lang række krav. En lille shop, der helt outsourcer betalingen, dokumenterer sin overholdelse med et kort spørgeskema: SAQ A (Self-Assessment Questionnaire A). Din betalingsudbyder beder nogle gange om dette.
Udlægning kan foregå på to måder:
- Omdirigering: efter bestillingen sendes kunden til udbyderens betalingsside og derefter tilbage.
- Et indlejret betalingsfelt: betalingsfeltet står på din betalingsside, men er et stykke side (iframe) fra udbyderen.
Siden 31. marts 2025 gælder en ny version af SAQ A. Hvis du bruger et indlejret betalingsfelt, skal du bekræfte, at dit site ikke er sårbart over for angreb med scripts, der kan påvirke betalingen. Hvis du bruger omdirigering, er du ikke omfattet af denne betingelse. Spørg din betalingsudbyder, hvilket spørgeskema der hører til din løsning.
Beskyt betalingssiden
- Hold betalingssiden enkel. Ethvert script på den side kan i princippet aflæse, hvad kunden indtaster (e-skimming): chatwidgets, tagmanagers, annoncepixels. Indlæs kun det, der er nødvendigt for betalingen.
- Få plugins, og altid opdateret. Ondsindede scripts kommer oftest ind via en sårbarhed i en plugin eller en stjålet administratoradgangskode.
- https overalt, med omdirigering fra http til https og HSTS. Se Omdiriger besøgende obligatorisk til https og HSTS og sikkerhedsheadere til dit website.
Genkend og begræns card testing
Ved card testing placerer kriminelle automatisk mange små bestillinger for at se, hvilke stjålne kort fungerer. Du genkender det på mange bestillinger på kort tid, ofte af det samme billige produkt, med forskellige navne og mange bestillinger med status Mislykkedes. Det koster dig transaktionsgebyrer og tilbageførsler, og i værste fald blokerer din betalingsudbyder din konto.
- Rate limiting (en grænse for antal forespørgsler pr. tidsenhed). WooCommerce har dette indbygget til betalingsblokkene, men det er slået fra som standard. Slå det til under WooCommerce > Indstillinger > Avanceret > Funktioner, indstillingen Rate limiting Checkout block and Store API.
- En captcha ved betaling. Angribere skifter ofte IP-adresse; rate limiting og captcha sammen virker bedst.
- Din betalingsudbyders fraudfiltre. Slå dem til og se, hvad de melder.
- 3-D Secure, den ekstra bekræftelse i bankappen, gør misbrug af stjålne kort sværere.
Hvad din hoster klarer, og hvad der ikke indgår
Hos WebOké er dette ordnet:
- Et gratis Let's Encrypt-certifikat til https
- HSTS er som standard slået til på de fleste servere
- Web Application Firewall er som standard slået til og stopper kendte angreb
- Imunify360 tjekker nye filer direkte for malware og scanner din pakke regelmæssigt
- Hver nat tages en backup af hele din pakke, gemt i 30 dage, i et andet datacenter
Dette er dit eget ansvar (eller din webudviklers):
- Opdatering af WordPress, WooCommerce, tema og plugins (Installatron kan gøre dette automatisk, se Opdateringer og automatiske opdateringer)
- Koblingen og fraudindstillingerne hos din betalingsudbyder
- Hvilke scripts der ligger på din betalingsside
- Stærke adgangskoder og totrinsbekræftelse for administratorer
- Rate limiting, captcha og gennemgang af mistænkelige bestillinger
Software, du selv installerer, også via Installatron, administrerer du selv. Bliver dit site alligevel hacket, så følg handlingsplanen Mit website er hacket: handlingsplan. Berører et indbrud kunders persondata, så læs også Er dette et databrud, og skal jeg anmelde det?
Læs mere
- Gratis kursus Sikker online, lektion 4.2 Dit website: https, HSTS og sikkerhedsheadere
- PCI Security Standards Council om SAQ A (engelsk)
- WooCommerce om card testing og rate limiting (engelsk)