Kendi Sitemizde Kredi Kartı Saklamak İçin PCI-DSS Seviye 1 Sertifikası Şart mı?

Question

Abonelik ve tekrarlayan ödeme (recurring billing) sistemimizde müşterilerin kredi kartı bilgilerini kendi veritabanımızda saklamak istiyoruz. PCI-DSS Seviye 1 denetim maliyetleri çok yüksek. Kart saklama işlemi için yerel sunucularda saklama yapmak zorunda mıyız yoksa tokenization altyapısı yeterli midir?

Bora T. · Accepted Answer

Kredi kartı PAN numarasını, son kullanma tarihini ve CVV kodunu kendi sunucularınızda saklamanız BDDK ve uluslararası kart kuruluşları kurallarınca kesinlikle yasaktır. Bunun yerine endüstri standardı olan Tokenization (Belirteçleme) mimarisi kullanılır: Vault ve Tokenization Altyapısı: Kart verisi müşterinin tarayıcısından doğrudan PCI-DSS Seviye 1 sertifikalı lisanslı ödeme kuruluşunun güvenli kasasına (Vault) gider. Sunucunuza sadece anlamsız bir referans anahtarı (Token ID: tok_9831a2... ) döner. Mevzuata %100 Uyum: Veritabanınızda hiçbir kart verisi tutulmadığı için siteniz kapsam dışı (PCI-DSS SAQ-A seviyesinde) kalır ve milyonlarca liralık donanımsal HSM ve güvenlik denetim masrafından kurtulursunuz. Abonelik yenilemelerinde 3D Secure 2.2 sürtünmesiz ödeme ve CIT/MIT işlem bayrakları kullanılarak arka planda karttan tahsilat yapılır.

Kendi Sitemizde Kredi Kartı Saklamak İçin PCI-DSS Seviye 1 Sertifikası Şart mı?

💡 Uzman Çözümleri ve Yanıtlar 1

Benzer Danışma Başlıkları

Şahıs şirketi kurmadan sanal POS veya linkle ödeme alabilir miyim?

Sanal POS başvurularında en sık yaşanan ret sebepleri nelerdir ve nasıl çözülür?

Ertesi gün (T+1) valör ile blokeli sanal POS tarifesi arasındaki fark nedir, hangisi seçilmeli?