PCI DSS, kart hamili verisini saklayan, işleyen veya ileten kuruluşlar için hazırlanmış bir güvenlik standardıdır. Standart, açık ağlar üzerinden kart verisi iletirken güçlü kriptografi ve güvenli protokoller kullanılmasını gerektirir. Kesin madde numaraları ve sürüm ayrıntıları için PCI Security Standards Council'ın güncel belgelerine ve ödeme kuruluşunuzun yönergelerine bakın.
SSL/TLS ile ilgili temel beklentiler
- SSL ve erken TLS sürümleri (SSL 2.0/3.0, TLS 1.0) güvenli protokol sayılmaz; kullanılmamalıdır. TLS 1.2 ve üzeri tercih edilir.
- Sertifikalar güvenilir bir CA'dan alınmalı, geçerli ve süresi dolmamış olmalıdır.
- Zayıf cipher'lar (RC4, 3DES, export sınıfı paketler, NULL cipher) devre dışı bırakılmalıdır.
- Kart verisi alan sayfaların tamamı HTTPS ile sunulmalı, mixed content olmamalıdır.
- Sertifika ve anahtar envanteri tutulmalıdır.
Uygulama adımları
- Kart verisi akışını haritalayın: hangi sayfa, API ve iç servis bu veriyi taşıyor?
- Bu uç noktalardaki protokol ve cipher desteğini tarayın (ör.
openssl s_client -connect alanadi.com:443 -tls1_1bağlantının reddedildiğini doğrulamalıdır). - Eski protokolleri sunucuda kapatın:
ssl_protocols TLSv1.2 TLSv1.3;(Nginx) - Sertifika bitiş tarihlerini takip edin ve yenileme sürecini belgeleyin.
- Düzenli dış tarama ve yapılandırma gözden geçirmesi yapın.
Pratik ipuçları
- Kart formunu ödeme sağlayıcının barındırdığı sayfaya (yönlendirme/iframe) taşımak kapsamı daraltabilir.
- Uyumluluk yalnızca sertifika almakla sağlanmaz; yapılandırma, erişim kontrolü ve kayıt tutma da gerekir.
Kanıt ve kayıt tutma
Değerlendirme sırasında kullandığınız yapılandırma dosyalarını, tarama çıktılarını ve değişiklik tarihlerini saklayın. Bir sunucu yenilendiğinde veya yük dengeleyici değiştiğinde aynı testleri tekrarlayın. Yetkili değerlendiriciler çoğu zaman yapılandırmanın yanında bu süreçlerin belgelenmiş ve düzenli işletildiğini de görmek ister. Ödeme sayfalarındaki harici script'lerin envanterini de tutmak, sayfa bütünlüğü açısından faydalıdır.
Uygun sertifika seçeneklerini SSL sertifikaları sayfasında, sunucu yapılandırmanızı SSL denetleyici ile kontrol edebilirsiniz. Resmi uyumluluk değerlendirmesi için yetkili bir değerlendiriciye danışın.