# PCI-DSS megfelelés és a WooCommerce

> Mi a PCI-DSS, mikor vonatkozik a boltodra, és mit tehetsz azért, hogy a webhelyed megfeleljen.

A PCI-DSS (Payment Card Industry Data Security Standard) a bankkártyás fizetések adatbiztonsági szabványa. Célja, hogy világszerte egységes legyen a kártyaadatok védelme, és csökkenjen a bankkártyás csalások száma.

## Kire vonatkozik?

A szabály mindenkire vonatkozik, aki kártyabirtokosi adatot tárol, feldolgoz vagy továbbít.

- Ha olyan fizetési átjárót használsz, amely a fizetést külső oldalon vagy beágyazott, külső mezőkben intézi (például Stripe, PayPal vagy WooPayments), a webhelyed nem kezeli közvetlenül a nyers kártyaadatot. Mivel a pénztár oldalt továbbra is te szolgálod ki, a PCI-DSS rád is vonatkozik, de a megfelelés hatóköre jóval szűkebb.
- A WooCommerce alapbővítménye nem PCI-tanúsítványú, mert nem kezel kártyaadatot, és nem dolgoz fel fizetést. Amint a boltod bankkártyás fizetést fogad, akár biztonságos, külső átjárón át is, a szabvány hatálya alá kerül.
- A megfelelés végső soron a boltüzemeltető felelőssége. A fizetési szolgáltatód gyakran ki is kényszeríti: kérhet kitöltendő önértékelő kérdőívet (SAQ), vagy jóváhagyott letapogató szolgáltató (ASV) általi átvizsgálást.
- Sok követelmény a tágabb környezetre vonatkozik: a tárhelyre, a használt bővítményekre, a felhasználói jogosultságokra, a frissítésekre és a biztonsági vizsgálatokra.

## A 12 alapkövetelmény

| Cél | Követelmények |
|---|---|
| Biztonságos hálózat és rendszerek | Hálózatbiztonsági vezérlők telepítése és karbantartása. Biztonságos beállítások minden rendszerelemen. |
| Fiókadatok védelme | A tárolt fiókadatok védelme. A kártyaadat erős titkosítása nyílt, nyilvános hálózaton való továbbításkor. |
| Sérülékenységkezelés | Minden rendszer és hálózat védelme kártékony szoftverek ellen. Biztonságos rendszerek és szoftverek fejlesztése és karbantartása. |
| Erős hozzáférés-vezérlés | A rendszerelemekhez és a kártyaadathoz való hozzáférés korlátozása a munkához szükséges mértékre. A felhasználók azonosítása és hitelesítése. A kártyaadathoz való fizikai hozzáférés korlátozása. |
| Hálózatok rendszeres figyelése és tesztelése | Minden hozzáférés naplózása és figyelése. A rendszerek és hálózatok biztonságának rendszeres tesztelése. |
| Információbiztonsági szabályzat | Szervezeti szabályzatok és programok az információbiztonság támogatására. |

## Mit tehetsz?

1. Dolgozz együtt a tárhelyszolgáltatóddal a tűzfalak megfelelő beállításán.
2. Használj erős jelszavakat, és gondoskodj a tárhely biztonságáról.
3. A WooCommerce soha nem tárolja a kártyaadatot, a hivatalos fizetési átjárók pedig csak részleges adatot őriznek a fizetési tokenek használatakor (például a kártya utolsó 4 számjegyét).
4. Használj SSL-t a pénztár oldalon, és ellenőrizd, hogy a tárhelyed támogatja. Részletek: [SSL-kérdések](https://hub.hellowp.io/hu/manuals/woocommerce/gyik/gyik-ssl-kerdesek/).
5. Kérdezd meg a tárhelyszolgáltatót a kártevő elleni védelemről és a rendszerek biztonságos karbantartásáról.
6. Használd a WordPress szerepköreit, és kövesd a biztonsági ajánlásokat az adminisztrátori felhasználók kezelésekor.
7. Ahol lehet, naplózd és nézd át az adminisztrátori tevékenységet, és korlátozd a hozzáférést az érzékeny területekhez.
8. Egyeztess a tárhelyszolgáltatóddal vagy a fejlesztőddel az adatok elérésének és tárolásának védelméről.
9. Ha a fizetési szolgáltatód megköveteli, vegyél igénybe jóváhagyott letapogató szolgáltatót (ASV).
10. Készíts és tarts karban PCI-DSS szabályzatot, és időnként végezz kockázatfelmérést.

## Első lépések a megfeleléshez

- Válassz biztonságos, a PCI-követelményekkel tisztában lévő tárhelyszolgáltatót.
- Használj erős jelszavakat, és a lehető legkevesebb embernek adj hozzáférést az admin felülethez.
- Soha ne tárolj bankkártyaadatot a szervereden vagy a webhelyeden.
- Titkosítsd SSL-lel a pénztár és a fiókoldalak forgalmát.
- Tartsd naprakészen a bővítményeket, a témákat, a WordPresst és a WooCommerce-t.
- Rendszeresen vizsgáltasd át a webhelyet ASV-vel.

> **Megjegyzés**
>
> A szabvány leírása a PCI-DSS 4.0.1-es változatán alapul. A teljes követelményrendszert a PCI Security Standards Council közli.