Betalsäkerhet i din webbshop: PCI, card testing och vad ditt webbhotell gör
Den som tar emot betalningar online möter kortföretagens säkerhetsregler (PCI DSS), kriminella som vill stjäla kortuppgifter och card testing: att testa stulna kort i din butik. Den här artikeln förklarar vad det betyder för en liten webbutik, vad du gör själv och vad ditt webbhotell sköter åt dig och inte.
Huvudregeln: kortuppgifter finns aldrig i din butik
Ett kortnummer, utgångsdatum och säkerhetskod skriver kunden in hos din betalningsleverantör, inte i din egen butik. Din butik får bara veta om betalningen har genomförts. Det betyder också:
- aldrig ett eget formulärfält för kortnummer, inte heller för en telefonbeställning;
- aldrig ta emot kortuppgifter via e-post, chatt eller telefon och skriva in dem i en anteckning vid en beställning;
- inget plugin som sparar kortuppgifter i din egen databas.
PCI DSS och SAQ A i vanligt språk
PCI DSS (Payment Card Industry Data Security Standard) är kortföretagens säkerhetsstandard; den aktuella versionen är v4.0.1. Ett företag som själv hanterar kortuppgifter får då ett omfattande paket med krav. En liten butik som lägger ut hela betalningen på entreprenad visar med ett kort frågeformulär att den uppfyller kraven: SAQ A (Self-Assessment Questionnaire A). Din betalningsleverantör efterfrågar ibland detta.
Det kan läggas ut på entreprenad på två sätt:
- Vidarekoppling: efter beställningen går kunden till leverantörens betalningssida och tillbaka igen.
- Ett inbäddat betalfält: betalfältet finns på din kassasida, men är en del av sidan (iframe) från leverantören.
Sedan den 31 mars 2025 gäller en ny version av SAQ A. Den som använder ett inbäddat betalfält måste där bekräfta att webbplatsen inte är sårbar för attacker med skript som kan påverka betalningen. Den som använder vidarekoppling omfattas inte av det kravet. Fråga din betalningsleverantör vilket frågeformulär som gäller för din koppling.
Skydda kassasidan
- Håll kassasidan ren. I princip kan varje skript på sidan läsa av det kunden skriver in (e-skimming): chattwidgetar, taggmanagrar, annonspixlar. Ladda bara det som behövs för betalningen.
- Få plugin, och alltid uppdaterade. Skadliga skript kommer oftast in via en säkerhetslucka i ett plugin eller ett stulet administratörslösenord.
- https överallt, med vidarekoppling från http till https och HSTS. Se Tvinga besökare att vidarekopplas till https och HSTS och säkerhetsheaders för din webbplats.
Känna igen och begränsa card testing
Vid card testing lägger kriminella automatiskt många små beställningar för att se vilka stulna kort som fungerar. Du känner igen det på många beställningar på kort tid, ofta av samma billiga produkt, med varierande namn och många beställningar med statusen Misslyckad. Det kostar dig transaktionsavgifter och återbetalningar, och i värsta fall blockerar din betalningsleverantör ditt konto.
- Rate limiting (en gräns för antalet förfrågningar per tid). WooCommerce har detta inbyggt för kassablocken, men det är avstängt som standard. Aktivera det under WooCommerce > Inställningar > Avancerat > Funktioner, alternativet Rate limiting Checkout block and Store API.
- En captcha vid kassan. Angripare byter ofta IP-adress; rate limiting och captcha tillsammans fungerar bäst.
- Din betalningsleverantörs bedrägerifilter. Aktivera dem och se vad de rapporterar.
- 3-D Secure, den extra bekräftelsen i bankappen, gör det svårare att missbruka stulna kort.
Vad ditt webbhotell gör, och vad det inte gör
Det här sköter WebOké:
- Ett gratis Let's Encrypt certifikat för https
- HSTS är aktiverat som standard på de flesta servrar
- Webbapplikationsbrandväggen är aktiverad som standard och stoppar kända attacker
- Imunify360 kontrollerar nya filer direkt för skadlig kod och skannar ditt paket regelbundet
- Varje natt en säkerhetskopia av hela ditt paket, sparad i 30 dagar, i ett annat datacenter
Det här ansvarar du (eller din webbyggare) för:
- Uppdatera WordPress, WooCommerce, tema och plugin (Installatron kan göra det automatiskt, se Uppdateringar och automatiska uppdateringar)
- Kopplingen och bedrägeriinställningarna hos din betalningsleverantör
- Vilka skript som finns på din kassasida
- Starka lösenord och tvåstegsverifiering för administratörer
- Rate limiting, captcha och granskning av misstänkta beställningar
Programvara som du installerar själv, även via Installatron, ansvarar du själv för. Om din webbplats ändå blir hackad, följ guiden Min webbplats har blivit hackad: steg för steg. Om ett intrång påverkar kundernas personuppgifter, läs även Är det här ett dataintrång och måste jag anmäla det?
Läs mer
- Gratiskursen Säker online, lektion 4.2 Din webbplats: https, HSTS och säkerhetsheaders
- PCI Security Standards Council om SAQ A (engelska)
- WooCommerce om card testing och rate limiting (engelska)