Paypal payments pro和pci合规性

Question

当我使用PayPal payments pro时，我试着在网上筛选所有关于PCI合规性的讨论，但没有明确的答案。除了SSL之外，由于我没有存储持卡人信息(我只是在传输它)，我需要做什么才能符合pci标准？我已经实现了直接付款、快速结账和循环计费。

Answer 1

PCI合规性通过通过PCI审核来确定。只有在通过了初始审核和定期审核后，服务才能将自己标榜为符合PCI。

任何服务都可以遵守PCI指南，而且应该遵守，但遵守和合规性是两码事。

对这个问题的更直接的回答是：

PayPal存储和管理所有客户付款信息，因此他们承担了遵守PCI指南的大部分负担。在您的情况下，您至少应该：

cookie).

• Collect

1. 确保您的服务器上没有存储任何财务数据(即使在会话中也没有存储)，并将客户数据以安全的方式传输到PayPal。这通常意味着对传输到您的服务器的所有客户财务数据使用SSL，并在将这些数据重新传输到PayPal的API时使用SSL。
2. 可保持您的软件/基础架构处于最新状态，以防范零日漏洞攻击和其他vulnerabilities.

攻击

Answer 2

您可以在多种模式下运行Paypal Payments Pro。如果您正在使用他们的托管页面或者透明重定向或快速结帐功能，那么您应该可以轻松通过PayPal对您施加的任何PCI遵从性要求。

如果你使用他们的直接付款选项(你的网站有信用卡号码)，你将不得不经历一个广泛的过程，这是我强烈推荐的。如果你直接收集信用卡号码，你可能会考虑使用Braintree而不是PayPal，因为他们的API更友好，文档也更简单，他们会为你做很多PCI合规性的工作。

如果你确实需要使用PCI Compliance咨询公司，http://www.panopticsecurity.com/paypal/有一个合理的费率，他们对问题的反应很好。