PCI DSS कार्ड नेटवर्क (Visa, Mastercard, RuPay आदि) का तय किया हुआ सुरक्षा मानक है। यह सुनने में बड़ी कंपनियों की चिंता लगती है, लेकिन जो भी कार्ड से पैसे लेता है, चाहे महीने में दस ऑर्डर ही क्यों न हों, उस पर यह लागू होता है।
राहत की बात यह है कि एक सही फ़ैसले से लगभग सारा बोझ टल जाता है: कार्ड नंबर को खुद कभी हाथ मत लगाइए। नीचे बताया है कि भारत में छोटे ऑनलाइन स्टोर के लिए इसका व्यावहारिक मतलब क्या है।
हाँ, आपका स्टोर काफ़ी सुरक्षित हो सकता है, बशर्ते कार्ड की जानकारी कभी आपके अपने सर्वर तक न पहुँचे। Razorpay, Cashfree जैसे प्रमाणित गेटवे का होस्टेड चेकआउट इस्तेमाल करें, पूरी साइट HTTPS पर रखें, तो PCI की ज़िम्मेदारी सबसे हल्की रहती है।
एक ही नियम: कार्ड नंबर को कभी न छुएँ
अगर ग्राहक आपकी साइट के फ़ॉर्म में कार्ड नंबर डालता है और वह फ़ॉर्म आपके सर्वर पर जाता है, तो आप PCI के भारी हिस्सों के दायरे में आ जाते हैं। अगर नंबर सीधे ग्राहक के ब्राउज़र से पेमेंट गेटवे तक जाता है, तो आप उस दायरे से बाहर रहते हैं।
Razorpay, Cashfree, PhonePe PG, PayU या Stripe जैसे गेटवे होस्टेड पेमेंट पेज या एम्बेडेड फ़ील्ड देते हैं, जो ठीक यही करते हैं। आपकी साइट को सिर्फ़ नतीजा मिलता है: सफल, असफल या लंबित।
छोटी साइट के पास क्या होना चाहिए
पहला असली ऑर्डर लेने से पहले इसे अपनी न्यूनतम चेकलिस्ट मानें।
- प्रमाणित गेटवे का होस्टेड पेज या एम्बेडेड फ़ील्ड, घर में बनाया गया कार्ड फ़ॉर्म नहीं।
- कार्ट और थैंक-यू पेज समेत हर पेज पर HTTPS।
- कार्ड के लिए OTP या 3-D Secure जैसी सत्यापन प्रक्रिया, जो ज़्यादातर कार्डों पर वैसे भी ज़रूरी है।
- UPI, नेटबैंकिंग और वॉलेट जैसे भरोसेमंद विकल्प, ताकि ग्राहक को कार्ड डालना ही न पड़े।
- सीक्रेट API की सर्वर की सेटिंग में रखी जाएँ, पेज के कोड या सार्वजनिक रिपॉज़िटरी में नहीं।
जो आपको कभी नहीं करना चाहिए
कार्ड नंबर या पीछे का तीन अंकों का CVV कहीं सेव न करें: न डेटाबेस में, न एक्सेल शीट में, न चैट या ईमेल में। ग्राहक से WhatsApp पर कार्ड की फ़ोटो भी न मँगवाएँ। अगर कोई इस तरह भुगतान करना चाहे, तो उसे पेमेंट लिंक भेज दें।
एडमिन अकाउंट भी सुरक्षित रखें: हर जगह अलग और मज़बूत पासवर्ड, गेटवे डैशबोर्ड पर टू-स्टेप वेरिफ़िकेशन, और टीम छोड़ने वाले व्यक्ति की पहुँच तुरंत बंद करना।
साल में एक बार की औपचारिकता
होस्टेड पेज इस्तेमाल करने वाले व्यापारी आम तौर पर साल में एक बार सबसे सरल स्व-मूल्यांकन प्रश्नावली भरते हैं, अक्सर गेटवे के डैशबोर्ड से ही। नियम प्रदाता और बैंक के हिसाब से अलग हो सकते हैं, इसलिए अपने गेटवे की ताज़ा शर्तें देखें और उनसे पूछ लें कि वे आपसे क्या अपेक्षा रखते हैं।
ग्राहक के डेटा के लिए भारत के डेटा संरक्षण कानून का भी ध्यान रखें: सिर्फ़ उतना ही डेटा लें जितना ज़रूरी हो, और अपनी साइट पर साफ़ प्राइवेसी पॉलिसी रखें।
Uttra के साथ इसे कैसे जोड़ें
Uttra में आप बस बता दें कि कौन सा गेटवे चाहिए। साइट गेटवे के सुरक्षित चेकआउट पर भेजती है और नतीजा वापस लेती है, कार्ड का डेटा कभी आपकी साइट से नहीं गुज़रता। आप अपनी साइट के पेमेंट पेज और उसकी सेटिंग की जाँच भी करवा सकते हैं।
उदाहरण प्रॉम्प्ट: मेरे स्टोर पर Razorpay का होस्टेड चेकआउट जोड़ो, UPI और कार्ड दोनों चालू रखो, और सुनिश्चित करो कि कार्ड की कोई जानकारी हमारे सर्वर पर सेव न हो।