Paypal支付专业版和pci合规性

Question

在使用PayPal支付专业版时，我已尝试在线查看有关PCI合规性的所有讨论，但没有明确的答案。 除了拥有SSL之外，由于我不存储持卡人信息（我只是传输它），我需要做什么才能符合pci标准？ 我已实施直接付款，快速结帐和定期结算。

Answer 1

PCI合规性通过PCI审核确定。 只有在通过初始审核和任何定期审核时，服务才能将自己宣传为PCI兼容。

任何服务都可以遵守PCI准则 - 并且应该 - 但遵守和合规是两回事。

更直接的回答问题：

PayPal存储和管理所有客户支付信息，因此他们承担了遵守PCI准则所带来的大部分负担。 在您的情况下，您至少应该：

1. 确保您的服务器上没有存储任何财务数据（甚至不在会话cookie中）。
2. 收集客户数据并以安全的方式将其传输到PayPal。 这通常意味着将SSL用于传输到服务器的所有客户财务数据，以及将此数据重新传输到PayPal的API时。
3. 使您的软件/基础架构保持最新，以防止零日攻击和其他漏洞。

Answer 2

您可以使用各种模式运行Paypal Payments Pro。如果您使用的是托管页面或透明重定向或快速结账功能，您应该可以轻松地通过PayPal对您施加的任何PCI合规性要求。

如果您使用的是直接付款方式（您的网站本身有信用卡号码），则必须经过我强烈推荐的广泛流程。 如果您直接收集信用卡#s，您可能会考虑使用Braintree而不是PayPal，因为他们的API更友好且文档简单，他们将为您完成大部分PCI合规工作。

如果您确实需要使用PCI合规性咨询公司， http：//www.panopticsecurity.com/paypal/具有合理的费率，并且他们对问题非常敏感。