Ich habe diesen Prozess vor nicht allzu langer Zeit mit einem Unternehmen durchlaufen, für das ich gearbeitet habe, und ich habe vor, ihn bald mit meinem eigenen Unternehmen erneut zu durchlaufen. Wenn Sie über netzwerktechnische Kenntnisse verfügen, ist dies wirklich nicht so schlimm. Andernfalls ist es besser, wenn Sie Paypal oder eine andere Art von Service verwenden.
Der Prozess beginnt mit der Einrichtung eines Händlerkontos, das an Ihr Bankkonto gebunden ist. Möglicherweise möchten Sie sich bei Ihrer Bank erkundigen, da viele große Banken Händlerservices anbieten. Möglicherweise können Sie Angebote erhalten, da Sie bereits Kunde von ihnen sind. Wenn nicht, können Sie sich umsehen. Wenn Sie vorhaben, Discover oder American Express zu akzeptieren, sind diese separat, da sie die Händlerservices für ihre Karten bereitstellen, ohne dies zu umgehen. Es gibt auch andere Sonderfälle. Dies ist ein Bewerbungsprozess, vorbereitet sein.
Als Nächstes möchten Sie ein SSL-Zertifikat erwerben , mit dem Sie Ihre Kommunikation sichern können, wenn die Kreditkarteninformationen über öffentliche Netzwerke übertragen werden. Es gibt viele Anbieter, aber meine Faustregel lautet, einen auszuwählen, der in gewisser Weise ein Markenname ist. Je besser sie bekannt sind, desto besser hat Ihr Kunde wahrscheinlich von ihnen gehört.
Als Nächstes möchten Sie ein Zahlungsgateway finden , das Sie mit Ihrer Site verwenden können. Dies kann zwar optional sein, je nachdem wie groß Sie sind, aber die meiste Zeit wird es nicht sein. Du wirst einen brauchen. Die Anbieter von Zahlungsgateways bieten eine Möglichkeit, mit der Internet Gateway-API zu kommunizieren, mit der Sie kommunizieren werden. Die meisten Anbieter bieten HTTP- oder TCP / IP-Kommunikation mit ihrer API an. Sie werden die Kreditkarteninformationen in Ihrem Namen verarbeiten. Zwei Anbieter sind Authorize.Net und PayFlow Pro . Der unten angegebene Link enthält weitere Informationen zu anderen Anbietern.
Was jetzt? Für den Anfang gibt es Richtlinien, was Ihre Anwendung für die Übertragung der Transaktionen einhalten muss. Während des Einrichtungsprozesses wird jemand Ihre Site oder Anwendung überprüfen und sicherstellen, dass Sie die Richtlinien wie die Verwendung von SSL einhalten und dass Sie über Nutzungsbedingungen und Richtliniendokumentation zu den Informationen verfügen, die der Benutzer Ihnen gibt zum. Stehlen Sie dies nicht von einer anderen Site. Überlegen Sie sich Ihren eigenen und beauftragen Sie gegebenenfalls einen Anwalt. Die meisten dieser Dinge fallen unter den PCI-Datensicherheitslink, den Michael in seiner Frage angegeben hat.
Wenn Sie die Kreditkartennummern speichern möchten, sollten Sie besser darauf vorbereitet sein, intern einige Sicherheitsmaßnahmen zu ergreifen, um die Informationen zu schützen. Stellen Sie sicher, dass der Server, auf dem die Informationen gespeichert sind, nur Mitgliedern zugänglich ist, die Zugriff benötigen. Wie bei jeder guten Sicherheit erledigen Sie die Dinge in Schichten. Je mehr Schichten Sie anbringen, desto besser. Wenn Sie möchten, können Sie die Sicherheit vom Typ Schlüsselanhänger wie SecureID oder eToken verwendenUm den Raum zu schützen, in dem sich der Server befindet. Wenn Sie sich die Route des Schlüsselanhänger nicht leisten können, verwenden Sie die Zwei-Schlüssel-Methode. Erlauben Sie einer Person, die Zugang zum Raum hat, einen Schlüssel abzumelden, der zu einem Schlüssel gehört, den sie bereits bei sich hat. Sie benötigen beide Schlüssel, um in den Raum zu gelangen. Als nächstes schützen Sie die Kommunikation zum Server mit Richtlinien. Meine Richtlinie lautet, dass das einzige, was über das Netzwerk mit ihm kommuniziert, die Anwendung ist und dass die Informationen verschlüsselt sind. Der Server sollte in keiner anderen Form zugänglich sein. Für Backups verwende ich truecryptUm die Volumes zu verschlüsseln, werden die Backups gespeichert. Jedes Mal, wenn die Daten entfernt oder an einem anderen Ort gespeichert werden, verwenden Sie erneut truecrypt, um das Volume zu verschlüsseln, auf dem sich die Daten befinden. Grundsätzlich müssen die Daten überall dort verschlüsselt werden, wo sie sich befinden. Stellen Sie sicher, dass alle Prozesse zum Abrufen der Daten Prüfpfade enthalten. Verwenden Sie Protokolle für den Zugriff auf den Serverraum, verwenden Sie Kameras, wenn Sie können usw. Eine weitere Maßnahme besteht darin, die Kreditkarteninformationen in der Datenbank zu verschlüsseln. Dadurch wird sichergestellt, dass die Daten nur in Ihrer Anwendung angezeigt werden können, wo Sie erzwingen können, wer die Informationen sieht.
Ich benutze pfsense für meine Firewall. Ich starte es von einer Compact Flash-Karte und habe zwei Server eingerichtet. Eine ist für Failover aus Redundanz.
Ich habe diesen Blog-Beitrag von Rick Strahl gefunden, der mir enorm geholfen hat, den E-Commerce und die Akzeptanz von Kreditkarten über eine Webanwendung zu verstehen.
Nun, dies stellte sich als lange Antwort heraus. Ich hoffe diese Tipps helfen.