Wie oben erwähnt, speichern Sie Kreditkarteninformationen nicht in einer Datenbank. Es ist ein Rezept für Ärger. Dadurch werden Sie zu einem sehr attraktiven Ziel für Hacker und, wenn es ihnen gelingt, sie abzurufen, beenden Sie Ihr Geschäft und ruinieren möglicherweise Ihr Leben sowie das Leben derjenigen, deren Kreditkartennummern gestohlen werden.
Allerdings sind hier drei Dinge zu beachten:
1) Am besten verwenden Sie einen Zahlungsabwickler/Zahlungsgateway, der wiederkehrende Abrechnungen anbietet. Ein Beispiel hierfür ist Authorize.Nets automatisierte wiederkehrende Abrechnung Service. Sobald Sie das Abonnement eingerichtet haben, werden sie dem Benutzer jeden Monat automatisch eine Rechnung stellen und Sie über die Ergebnisse der Transaktion informieren. Es erspart Ihnen eine Menge Arbeit und befreit Sie von der Verpflichtung, Kreditkarteninformationen zu speichern.
2) Wenn Sie Kreditkartennummern speichern, müssen Sie die PCI-Richtlinien befolgen . Diese Richtlinien werden von der Zahlungskartenindustrie festgelegt und definieren, was Sie tun können und was nicht. Es definiert auch, wie Kreditkarteninformationen gespeichert werden müssen. Sie müssen die Kreditkartennummern verschlüsseln und Sie sollten, aber nicht verpflichtet, zugehörige Informationen (Ablaufdatum usw.) verschlüsseln. Sie müssen auch sicherstellen, dass Ihr Webserver und Ihr Netzwerk sicher sind. Die Nichteinhaltung der PCI-Konformität führt dazu, dass Sie Ihr Händlerkonto verlieren und für immer vom Besitz eines echten Händlerkontos ausgeschlossen werden. Das würde Sie auf die Verwendung von Prozessoren von Drittanbietern beschränken, die weniger flexibel sind. Denken Sie daran, dass PCI-Richtlinien ein guter Anfang, aber kaum ein „How to“ sind, wenn es um Online-Sicherheit geht. Ihr Ziel wäre es, die Empfehlung (um einiges) zu übertreffen.
3) Staatliche und landesspezifische Gesetze ersetzen die PCI-Konformität. Wenn Sie einen Verstoß erleiden und Kreditkartennummern gestohlen werden, riskieren Sie eine strafrechtliche Verfolgung. Die Gesetze variieren von Staat zu Staat und sind ständig im Fluss, da die Gesetzgeber gerade erst anfangen zu erkennen, wie ernst diese Angelegenheit ist.
In Bezug auf die Verschlüsselung sollten Sie sich darüber informieren, welche Verschlüsselungsalgorithmen sicher sind und noch nicht gebrochen wurden. Blowfish ist ein guter Anfang und wenn Sie PHP verwenden, die mcrypt-Bibliothek wird empfohlen (Beispiel ). ).
