Se o teu formulário recolhe dados de pagamento, estás sujeito a regras de segurança rigorosas, quer te apercebas disso ou não. A Payment Card Industry Data Security Standard (PCI DSS) define requisitos para quem aceita, guarda ou processa dados de cartões de pagamento. Violar a PCI DSS acarreta coimas de milhares de dólares por dia, além da responsabilidade se os dados dos cartões forem roubados.
A regra fundamental da PCI DSS é simples. Nunca guardes tu mesmo dados brutos de cartões de pagamento. Evitar dados sensíveis nos formulários e usar processadores de pagamentos adequados protege a tua marca, os teus clientes e mantém-te em conformidade.
O que vais aprender: o que é a PCI DSS e quando se aplica, que dados de pagamento nunca deves recolher, como estruturar formulários de pagamento em segurança, como usar corretamente os processadores de pagamentos e o que fazer se já recolheste dados sensíveis.
O que é a PCI DSS?
A PCI DSS (Payment Card Industry Data Security Standard) é um conjunto de normas de segurança criado pelas principais empresas de cartões de crédito. Aplica-se a qualquer empresa que aceite, guarde, transmita ou processe informação de cartões de crédito.
A PCI DSS aplica-se a ti se:
- Geres uma loja online que aceita cartões de crédito
- Tens um formulário que recolhe dados de pagamento
- Usas faturas por email com instruções de pagamento
- Guardas dados de pagamento de clientes para faturação recorrente
- Algum colaborador tem acesso a dados de cartões de pagamento
Podes pensar que não estás sujeito à PCI DSS se usares um processador de pagamentos, mas és responsável pela forma como recolhes os dados antes de chegarem ao processador.
Níveis da PCI DSS e quem tem de cumprir
Os requisitos de conformidade da PCI DSS variam consoante o volume de transações que processas:
Nível 1: empresas que processam mais de 6 milhões de transações por ano. Têm de ser auditadas anualmente por um avaliador externo. Requisitos mais rigorosos.
Nível 2: empresas que processam de 1 a 6 milhões de transações por ano. Têm de fazer uma autoavaliação detalhada.
Nível 3: empresas que processam de 20 000 a 1 milhão de transações por ano. Têm de fazer uma autoavaliação.
Nível 4: empresas que processam menos de 20 000 transações por ano. Requisitos mais simples. A maioria das pequenas empresas fica aqui.
Mesmo o Nível 4 (pequenas empresas) tem requisitos rigorosos. Não podes simplesmente receber dados de cartões de pagamento como te apetecer.
A regra de ouro: nunca guardes dados brutos de cartões
A regra mais importante da PCI DSS: não recolhas nem guardes números completos de cartões de crédito, datas de validade nem códigos de segurança (CVV) na tua própria base de dados ou nos teus servidores.
NUNCA recolhas:
- Números completos de cartões de crédito (PAN: Primary Account Number)
- Datas de validade
- Códigos de segurança (CVV/CVC)
NUNCA guardes estes dados, mesmo que os encriptes.
Se o teu formulário recolhe estes dados e os guardas tu mesmo, estás a violar a PCI DSS. As sanções são severas:
- Coimas de 5000 a 100 000 dólares por mês de incumprimento
- Responsabilidade se os dados dos cartões forem roubados e usados de forma fraudulenta
- Responsabilidade por perdas com fraude e custos de notificação dos clientes
- Os processadores de cartões de crédito podem revogar a tua capacidade de aceitar pagamentos
O que PODES recolher e guardar
Alguns dados relacionados com pagamentos são seguros de recolher:
- Nome e morada de faturação: para verificação e envio
- Endereço de email: para o recibo e a comunicação
- Últimos 4 dígitos do número do cartão: para referência (por exemplo, "método de pagamento terminado em 4242"), mas apenas se não recolheres o número completo
- Montante e data do pagamento: para registo
- ID da transação do processador de pagamentos: para correspondência e reconciliação
O essencial: podes guardar informação do cliente, informação da encomenda e números de referência. Não podes guardar os dados reais do cartão de pagamento.
Como tratar os dados de pagamento em segurança
Nunca cries um formulário de pagamento personalizado
Não construas um formulário que recolha dados de cartões de crédito diretamente. No momento em que um formulário de pagamento envia dados do cartão para o teu servidor, és responsável pela conformidade com a PCI DSS.
Usa um processador de pagamentos com páginas de pagamento alojadas
Processadores de pagamentos conhecidos oferecem páginas de pagamento alojadas. São formulários que ficam nos servidores seguros do processador, e não nos teus. Quando um cliente preenche o formulário de pagamento, os dados do cartão vão diretamente para o processador. O teu servidor nunca vê o número completo do cartão.
Exemplo de fluxo:
- O cliente preenche o teu formulário de encomenda (nome, email, morada de envio)
- O cliente clica em "Pagar"
- O navegador redireciona para o formulário seguro do processador de pagamentos
- O cliente introduz os dados do cartão no formulário do processador
- O processador processa o pagamento e envia-te uma notificação
- O teu formulário recebe apenas um ID de transação, e não os dados do cartão
Nunca tratas os dados do cartão, por isso a conformidade com a PCI DSS é da responsabilidade do processador.
Usa um iframe para o pagamento
Alguns processadores oferecem um iframe que podes incorporar no teu formulário. O iframe está, na verdade, alojado nos servidores seguros do processador, mas aparece como parte da tua página. O cliente vê um formulário único, mas a secção de pagamento está nos servidores do processador.
Usa uma API de pagamento com tokenização
Os processadores de pagamentos avançados permitem recolher dados de pagamento no teu formulário com a sua biblioteca JavaScript. A biblioteca encripta os dados no navegador do cliente antes de chegarem ao teu servidor. Envia-te um token (uma referência segura) em vez dos dados reais do cartão. Guardas o token, e não o cartão.
Isto exige uma implementação cuidadosa para evitar tratar dados de cartões sem encriptação. Usa só se perceberes bem o processo.
O que NÃO fazer
Não envies dados de pagamento por email. Não peças aos clientes que te enviem números de cartões de crédito por email. O email não está encriptado e não é seguro.
Não peças o CVV se estás a guardar o cartão. Se guardas um cartão para pagamentos recorrentes, não deves pedir nem guardar o CVV. O CVV só é preciso no momento do pagamento.
Não recolhas dados de cartões num formulário normal para os enviares a ti próprio por email. Isto envia dados de pagamento por email sem encriptação, o que viola a PCI DSS.
Não guardes dados de cartões numa folha de cálculo, ficheiro de texto ou base de dados sem encriptação. Se já recolheste dados de cartões (o que não devias ter feito), tens de os encriptar ou apagar de imediato.
Se já recolheste dados sensíveis de pagamento
Se tens um formulário que tem recolhido números completos de cartões de crédito ou CVVs, pára de imediato:
- Pára de recolher os dados. Remove já os campos do cartão do formulário.
- Protege o que tens. Se guardaste dados de cartões, encripta-os ou apaga-os.
- Muda para um processador de pagamentos. Configura um método de pagamento conforme com um processador de terceiros.
- Notifica os clientes afetados. Se houve uma violação, ou se os dados dos cartões dos clientes ainda estão guardados, notifica-os.
- Consulta um advogado. Se tens recolhido dados de cartões de forma insegura, podes ter exposição regulamentar. Pede aconselhamento jurídico.
Tokenização: a forma segura de guardar métodos de pagamento
A tokenização é o processo de substituir informação de pagamento sensível por um número de referência não sensível.
Sem tokenização: guardas "4532-1234-5678-9010" na tua base de dados.
Com tokenização: o processador de pagamentos guarda "4532-1234-5678-9010" e dá-te um token como "tok_abc123def456". Tu guardas o token.
Quando precisas de cobrar o cartão outra vez (para faturação recorrente), envias o token ao processador. O processador usa o token para recuperar os dados originais do cartão e processar a cobrança. Nunca trataste o próprio cartão.
Os tokens são seguros de guardar. Não podem ser usados para processar pagamentos sem o conhecimento do processador e não revelam o número do cartão.
Requisitos da PCI DSS para além dos formulários de pagamento
Mesmo que uses um processador de pagamentos corretamente, a PCI DSS tem outros requisitos:
- Protege os teus servidores. Atualiza o software, usa firewalls, restringe o acesso.
- Usa palavras-passe fortes. Para a conta do teu processador de pagamentos e para todas as contas de administração.
- Encripta os dados em trânsito e em repouso. Usa HTTPS, encripta as bases de dados.
- Monitoriza e audita. Regista os acessos a sistemas relacionados com pagamentos e revê os registos com regularidade.
- Forma os colaboradores. Todos os que têm acesso a dados de pagamento precisam de formação em segurança.
- Cumpre as normas de segurança de rede. A PCI DSS inclui 12 requisitos principais que cobrem controlo de acesso, monitorização e resposta a incidentes.
Se processas pagamentos, familiariza-te com os 12 requisitos da PCI DSS. Muitos vão além da segurança dos formulários.
O que o WEMASY faz pela segurança dos pagamentos
Os formulários de loja online do WEMASY não recolhem nem guardam dados brutos de pagamento. Quando configuras um formulário de pagamento no WEMASY, ele integra-se com processadores de pagamentos conformes com a PCI. O formulário de pagamento redireciona para o sistema seguro do processador ou incorpora um iframe seguro fornecido pelo processador. Nunca tratas os dados dos cartões e o WEMASY nunca os guarda. O teu negócio mantém-se em conformidade com a PCI DSS automaticamente.
Descobre mais sobre como o WEMASY trata os pagamentos em segurança nas definições da tua conta ou na página de preços.