La sicurezza dei pagamenti nel Suo negozio online: PCI, card testing e cosa fa il Suo hosting provider
Chi riceve pagamenti online deve confrontarsi con le regole di sicurezza delle società emittenti di carte (PCI DSS), con i criminali che vogliono rubare i dati delle carte e con il card testing: il tentativo di utilizzare carte rubate nel Suo negozio. Questo articolo spiega cosa significa questo per un piccolo negozio online, cosa può fare Lei stesso e cosa il Suo hosting provider gestisce e cosa no.
La regola principale: i dati delle carte non entrano mai nel Suo negozio
Il numero della carta, la data di scadenza e il codice di sicurezza vengono inseriti dal cliente presso il Suo fornitore di pagamenti, non nel Suo negozio. Il Suo negozio riceve solo la conferma che il pagamento è avvenuto. Questo significa anche:
- mai un campo di modulo proprio per i numeri di carta, nemmeno per un ordine telefonico;
- mai accettare dati di carte via email, chat o telefono e inserirli in una nota su un ordine;
- nessun plugin che conserva i dati delle carte nel Suo database.
PCI DSS e SAQ A in parole semplici
Il PCI DSS (Payment Card Industry Data Security Standard) è lo standard di sicurezza delle società emittenti di carte; la versione attuale è la v4.0.1. Un'azienda che elabora direttamente i dati delle carte deve soddisfare un pacchetto consistente di requisiti. Un piccolo negozio che esternalizza completamente il pagamento dimostra la propria conformità tramite un breve questionario: il SAQ A (Self-Assessment Questionnaire A). Il Suo fornitore di pagamenti talvolta lo richiede.
L'esternalizzazione può avvenire in due modi:
- Reindirizzamento: dopo l'ordine, il cliente viene indirizzato alla pagina di pagamento del fornitore e successivamente riportato al negozio.
- Un campo di pagamento incorporato: il campo di pagamento si trova nella Sua pagina di checkout, ma è una parte di pagina (iframe) del fornitore.
Dal 31 marzo 2025 è in vigore una nuova versione del SAQ A. Chi utilizza un campo di pagamento incorporato deve confermare che il proprio sito non è vulnerabile ad attacchi con script che possano compromettere il pagamento. Chi utilizza il reindirizzamento non rientra in questa condizione. Chieda al Suo fornitore di pagamenti quale questionario si applica alla Sua integrazione.
Proteggere la pagina di checkout
- Mantenga la pagina di checkout essenziale. In linea di principio, ogni script presente su quella pagina può leggere ciò che il cliente digita (e-skimming): widget di chat, gestori di tag, pixel pubblicitari. Carichi lì solo ciò che è necessario per il pagamento.
- Pochi plugin, e sempre aggiornati. Gli script malevoli entrano solitamente attraverso una falla in un plugin o una password amministratore rubata.
- https ovunque, con reindirizzamento da http a https e HSTS. Consulti Reindirizzare obbligatoriamente i visitatori a https e HSTS e header di sicurezza per il Suo sito web.
Riconoscere e limitare il card testing
Nel card testing, i criminali effettuano automaticamente molti piccoli ordini per verificare quali carte rubate funzionano. Lo riconosce da un numero elevato di ordini in poco tempo, spesso dello stesso prodotto economico, con nomi variabili e numerosi ordini con stato Non riuscito. Questo comporta costi di transazione e storni, e nel peggiore dei casi il Suo fornitore di pagamenti blocca il Suo account.
- Rate limiting (un limite al numero di richieste per unità di tempo). WooCommerce include questa funzione per i blocchi di checkout, ma è disattivata per impostazione predefinita. La attivi in WooCommerce > Impostazioni > Avanzate > Funzionalità, opzione Rate limiting Checkout block and Store API.
- Un captcha al momento del checkout. Gli aggressori spesso cambiano indirizzo IP; rate limiting e captcha insieme funzionano meglio.
- I filtri antifrode del Suo fornitore di pagamenti. Li attivi e verifichi cosa segnalano.
- 3-D Secure, la conferma aggiuntiva nell'app bancaria, rende più difficile l'uso improprio di carte rubate.
Cosa gestisce il Suo hosting provider, e cosa no
Gestito da WebOké:
- Un certificato Let's Encrypt gratuito per https
- HSTS è attivato per impostazione predefinita sulla maggior parte dei server
- Il Web Application Firewall è attivo per impostazione predefinita e blocca gli attacchi noti
- Imunify360 controlla immediatamente i nuovi file alla ricerca di malware e analizza regolarmente il Suo pacchetto
- Un backup completo del Suo pacchetto ogni notte, conservato per 30 giorni, in un altro data center
Resta di Sua competenza (o del Suo sviluppatore web):
- Aggiornare WordPress, WooCommerce, il tema e i plugin (Installatron può farlo automaticamente, consulti Aggiornamenti e aggiornamenti automatici)
- L'integrazione e le impostazioni antifrode presso il Suo fornitore di pagamenti
- Quali script sono presenti sulla Sua pagina di checkout
- Password solide e verifica in due passaggi per gli amministratori
- Rate limiting, captcha e il controllo degli ordini sospetti
Il software che installa Lei stesso, anche tramite Installatron, lo gestisce Lei. Se il Suo sito viene comunque violato, segua il piano d'azione Il mio sito web è stato violato: piano d'azione. Se un'intrusione coinvolge dati personali dei clienti, consulti anche È una violazione dei dati e devo segnalarla?
Per saperne di più
- Corso gratuito Sicuri online, lezione 4.2 Il Suo sito web: https, HSTS e header di sicurezza
- PCI Security Standards Council sul SAQ A (in inglese)
- WooCommerce sul card testing e rate limiting (in inglese)