PCI DSS, kart verisini işleyen veya ileten kuruluşların uyması gereken güvenlik standardıdır. Kart sahibi verisinin açık ağlarda iletimi güçlü şifrelemeyle korunmalıdır; bu da pratikte sunucularda geçerli bir sertifika ve sağlam TLS yapılandırması demektir.
Standardın sertifikalarla ilgili beklentileri
PCI DSS 4.0 sürümü, PAN'ın açık ve genel ağlarda iletilirken güçlü kriptografi ve güvenli protokollerle korunmasını ister. Ayrıca güvenilir anahtar ve sertifikaların geçerliliğinin doğrulanmasını, geçerli olduğundan emin olunmasını ve kullanılan sertifikaların envanterinin tutulmasını beklemektedir. Kesin madde ifadeleri için güncel standart metnine ve yetkili değerlendiricinize bakın.
Uygulamada ne yapılır?
- Ödeme sayfalarında yalnızca TLS 1.2 ve üzeri protokolleri açık bırakın; SSL 2/3 ve TLS 1.0/1.1 kapalı olsun.
- Güvenilir bir CA'dan, süresi geçerli ve tam zincirli sertifika kullanın.
- Kart verisini işleyen sistemlerdeki tüm sertifikaların envanterini tutun.
- Karma içerik (HTTP kaynak) ödeme sayfasında bulunmasın.
- Sertifika yenileme ve iptal süreçlerini belgeleyin.
Nginx'te örnek protokol kısıtı
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;Apache karşılığı: SSLProtocol -all +TLSv1.2 +TLSv1.3.
Doğrulama
- Dışarıdan tarama ile açık protokolleri kontrol edin (SSL kontrol aracı kullanılabilir).
- Tarama bulgularını kayıt altına alın ve düzeltmeleri tarihleyin.
- Sertifika bitiş tarihlerine alarm kurun.
Sertifika tek başına PCI DSS uyumu sağlamaz; ağ segmentasyonu, erişim kontrolü ve günlükleme gibi birçok gereksinim vardır. Ancak ödeme sayfasında geçerli, kuruluşunuzu doğrulayan bir sertifika ziyaretçi güveni için de faydalıdır. Uygun ürünler için SSL sertifikaları sayfasına bakın.
Kapsam daraltmanın etkisi
Kart verisi yalnızca harici bir ödeme sağlayıcısının barındırdığı sayfada girilirse kapsamınız küçülebilir; yine de kendi sitenizin HTTPS zorunluluğu ve sağlayıcıyla güvenli entegrasyon sorumluluğu sürer. Kapsamınızı doğru belirlemek için yetkili bir değerlendirici (QSA) veya ödeme kuruluşunuzla görüşmeniz gerekir; bu makale hukuki ya da denetim tavsiyesi değildir.