Najlepsze praktyki dotyczące pobierania i przechowywania informacji o karcie kredytowej za pomocą PHP

Question

Czy należy używać sesji w kilku pierwszych krokach (sprawdzanie poprawności, sprawdzanie zakupu), a następnie wprowadzić informacje do bazy danych w ostatecznej wersji?

Czy ciasteczka mogą zostać wykorzystane i przekształcić się w proces sądowy? Czy to zbyt ryzykowne?

Czy muszę chronić mój db w specjalny sposób, jeśli przechowuję numery kart kredytowych?

Wszelkie zalecenia i osobiste doświadczenia są mile widziane.

Answer 1

Problemy z kartami kredytowymi mają ścisłe wymagania (google "Zgodność z PCI") dotyczące przechowywania danych kart kredytowych.

Istnieje co najmniej jedna bramka płatności, który pozwala na outsourcing rzeczy jakościowe: http://www.braintreepaymentsolutions.com/

Ostatni raz spojrzał, można uruchomić wstępną transakcję, i wrócić do tokena. Token ten może być użyty do wniesienia przyszłych opłat za kartę, ale tylko przez ciebie. Faceci bramki płatniczej dbają o przechowywanie rzeczywistych danych karty kredytowej.

Z tego, co wiem (i nie wykonuję tony przetwarzania kart), jest to prawdopodobnie najlepsze rozwiązanie, jeśli konieczne jest nałożenie dowolnych opłat na tę samą kartę.

Jeśli potrzebujesz tylko opłaty cyklicznej (ustalona kwota w regularnych odstępach czasu), możesz skonfigurować większość bramek płatności (authorize.net).

Pod koniec dnia, jeśli nie masz do czynienia ze szczególnie dużym budżetem, lepiej zlecić firmie zewnętrznej przechowywanie # karty. Zrobić to sam, to zbyt duża odpowiedzialność.

(Edycja: jeśli chodzi o przechowywanie rzeczy w sesji - tak, prawdopodobnie możesz uciec z tym, ale prawdopodobnie powinieneś tego unikać.) Po prostu ustaw początkowe uwierzytelnianie/przechwytywanie w trakcie procesu, gdy informacje o CC są wysyłane.)