23

如果我依靠 Braintree 进行支付处理，我可以存储哪些信用卡信息同时仍符合 PCI 标准？

我问的原因是，作为一个简单的优化，如果客户已经用信用卡从我的商店购买了东西，我可以向他们显示他们信用卡的最后 4 位数字和卡类型，而无需对 BrainTree 的 API 调用。如果他们想换卡或购买，我必须打电话，但对于那一页，我不会。

问题是，我可以存储：

  • 信用卡的最后 4 位数字
  • 和卡类型
  • 和可能的持卡人姓名

或者哪里有我可以查看的 PCI 合规性“注意事项”列表？

4

3 回答 3

23

是的，存放这些东西很好。

查看PCI 快速参考指南，简要了解您应该做什么和不应该做什么。

于 2010-12-21T09:12:26.467 回答
4

正如已经说过的，存储该数据是可以的。

关于“注意事项”，值得查看 Open Web Application Security Project (owasp.org)。特别是，查看他们的 OWASP 指南（可在此处获得http://prdownloads.sourceforge.net/owasp/OWASPGuide2.0.1.pdf?download），了解如何开发安全的 Web 应用程序。它们涵盖了从第 53 页开始的 PCI 合规性和最佳实践。

于 2010-12-21T17:36:58.920 回答
0

我会使用 attr_encrypted gem 之类的东西来保护数据库中的数据（请参阅https://github.com/shuber/attr_encrypted）。

于 2010-12-21T20:36:41.023 回答