PCI DSS, Visa ve Mastercard gibi kart kuruluşlarının koyduğu güvenlik standardıdır. Sadece bankaları ilgilendiriyormuş gibi görünür ama ayda on sipariş alan küçük bir mağaza dahil kartla ödeme kabul eden herkes için geçerlidir.
İyi haber şu: tek bir kararla yükün neredeyse tamamından kurtulursunuz; kart numaralarını kendiniz işlemeyin. Türkiye'deki bir mağaza için bunun pratikte nasıl göründüğüne bakalım.
Evet, kart bilgileri sunucunuza hiç uğramadığı sürece çok güvenli olabilir. Barındırılan ödeme sayfası sunan sertifikalı bir ödeme kuruluşu kullanın, her yerde HTTPS açın; PCI yükünüz en hafif seviyede kalır.
Tek kural: kart numarasına dokunmayın
Müşteri kart numarasını sitenizdeki bir forma yazıyor ve form sunucunuza gidiyorsa, PCI'ın ağır maddeleri sizi de kapsar. Numara doğrudan müşterinin tarayıcısından ödeme kuruluşuna gidiyorsa kapsam dışı kalırsınız.
iyzico, PayTR, Param gibi yerli ve Stripe gibi uluslararası ödeme kuruluşları bunu yapan barındırılan ödeme sayfası veya gömülü alanlar sunar. Siteniz yalnızca sonucu alır: başarılı, başarısız ya da beklemede.
Küçük bir site neye sahip olmalı
İlk gerçek siparişten önce bunu asgari kontrol listeniz sayın:
- Kendi yaptığınız kart formu değil, barındırılan sayfa veya gömülü alan sunan sertifikalı bir altyapı.
- Sepet ve teşekkür sayfası dahil her sayfada HTTPS.
- 3D Secure açık olmalı; yerli kartlarda zaten zorunlu.
- Müşterinizin güvendiği yöntemler: taksit seçenekleri, havale ve uygun yerlerde kapıda ödeme.
- Gizli API anahtarları sayfa kodunda veya herkese açık depoda değil, sunucu ayarlarında.
Asla yapmamanız gerekenler
Kart numarasını ve üç haneli güvenlik kodunu veri tabanında, Excel'de, sohbette ya da e-postada saklamayın. Müşteriden WhatsApp'tan kart fotoğrafı istemeyin; bunun yerine ödeme linki gönderin.
Yönetici hesaplarını da koruyun: güçlü ve benzersiz şifreler, ödeme panelinde iki adımlı doğrulama ve ekipten ayrılanların erişiminin kaldırılması.
Yıllık evrak işi
Barındırılan sayfa kullanan işletmeler genellikle yılda bir en basit öz değerlendirme formunu doldurur; çoğu zaman ödeme kuruluşunun panelinden. Gereksinimler kuruluşa ve bankaya göre değişir, güncel şartları kontrol edin ve sizden ne beklediklerini sorun.
Uttra ile sohbette şöyle yazabilirsiniz: "Ödeme kuruluşumun barındırılan ödeme sayfasını kullanan bir ödeme adımı ekle, taksit seçeneklerini göster ve API anahtarını ayarlarda tut." Sonra akışı önizler, test modunda deneme ödemesi yapar ve yayınlarsınız.