Paypal支付专业版和pci合规性

Question

我在尝试使用PayPal支付专家时，在网上讨论了有关PCI合规性的所有讨论，但是没有明确的答案。除了拥有SSL之外，由于我不存储持卡人信息（我只是传输它），我需要做什么才能符合pci标准？我已实施直接付款，快速结帐和定期结算。

Answer 1

通过PCI审核确定PCI合规性。只有在通过初始审核和任何定期审核时，服务才能将自己宣传为PCI兼容。

任何服务都可以遵守PCI准则 - 并且应该 - 但遵守和合规是两回事。

更直接地回答这个问题：

PayPal存储和管理所有客户付款信息，因此他们承担了遵守PCI准则所带来的大部分负担。在您的情况下，您至少应该：

1. 确保您的服务器上没有存储任何财务数据（甚至没有存储在会话cookie中）。
2. 收集客户数据并以安全的方式将其传输到PayPal。这通常意味着将SSL用于传输到服务器的所有客户财务数据，以及将此数据重新传输到PayPal的API时。
3. 使您的软件/基础架构保持最新，以防止零日攻击和其他漏洞。

Answer 2

您可以使用各种模式运行Paypal Payments Pro。如果您使用的是托管页面或透明重定向或快速结账功能，您应该可以轻松地通过PayPal对您施加的任何PCI合规性要求。

如果您使用的是直接付款选项（您的网站本身有信用卡号码），则必须经过我强烈推荐的广泛流程。如果您直接收集信用卡#s，您可能会考虑使用Braintree而不是PayPal，因为他们的API更友好且文档简单，他们将为您完成大部分PCI合规工作。

如果您确实需要使用PCI合规咨询公司，http://www.panopticsecurity.com/paypal/具有合理的费率，他们对问题的反应非常敏捷。