अगर आपका फ़ॉर्म पेमेंट जानकारी लेता है, तो आप सख्त सुरक्षा नियमों के दायरे में हैं, चाहे आप यह जानते हों या नहीं। Payment Card Industry Data Security Standard (PCI DSS) हर उस व्यक्ति के लिए ज़रूरतें तय करता है जो पेमेंट कार्ड डेटा स्वीकार करता है, स्टोर करता है या प्रोसेस करता है। PCI DSS का उल्लंघन करने पर रोज़ हज़ारों डॉलर के जुर्माने लगते हैं, और कार्ड डेटा चोरी होने पर ज़िम्मेदारी अलग से आती है।
PCI DSS का बुनियादी नियम सीधा है। कच्चा पेमेंट कार्ड डेटा कभी खुद स्टोर न करें। फ़ॉर्म में संवेदनशील डेटा से बचना और सही पेमेंट प्रोसेसर इस्तेमाल करना आपके ब्रांड और आपके ग्राहकों की रक्षा करता है, और आपको नियमों के पालन में रखता है।
आप क्या सीखेंगे: PCI DSS क्या है और कब लागू होता है, कौन-सा पेमेंट डेटा आपको कभी नहीं लेना चाहिए, पेमेंट फ़ॉर्म को सुरक्षित तरीके से कैसे बनाएं, पेमेंट प्रोसेसर को सही तरीके से कैसे इस्तेमाल करें, और अगर आप पहले ही संवेदनशील डेटा ले चुके हैं तो क्या करें।
PCI DSS क्या है?
PCI DSS (Payment Card Industry Data Security Standard) सुरक्षा मानकों का एक सेट है जिसे बड़ी क्रेडिट कार्ड कंपनियों (Visa, Mastercard, American Express, आदि) ने बनाया है। यह हर उस कंपनी पर लागू होता है जो क्रेडिट कार्ड की जानकारी स्वीकार करती है, स्टोर करती है, भेजती है या प्रोसेस करती है।
PCI DSS आप पर लागू होता है अगर:
- आप ऐसी ई-कॉमर्स साइट चलाते हैं जो क्रेडिट कार्ड स्वीकार करती है
- आपके पास ऐसा फ़ॉर्म है जो पेमेंट जानकारी लेता है
- आप पेमेंट निर्देशों वाले ईमेल इनवॉइस इस्तेमाल करते हैं
- आप रिकरिंग बिलिंग के लिए ग्राहक की पेमेंट जानकारी स्टोर करते हैं
- किसी भी कर्मचारी की पेमेंट कार्ड डेटा तक पहुंच है
आप सोच सकते हैं कि अगर आप पेमेंट प्रोसेसर इस्तेमाल करते हैं तो PCI DSS आप पर लागू नहीं होता, पर डेटा प्रोसेसर तक पहुंचने से पहले आप उसे कैसे लेते हैं, इसकी ज़िम्मेदारी आपकी है।
PCI DSS के स्तर और किसे पालन करना ज़रूरी है
PCI DSS पालन की ज़रूरतें इस पर निर्भर करती हैं कि आप कितने लेन-देन प्रोसेस करते हैं:
स्तर 1: साल में 6 मिलियन से ज़्यादा लेन-देन प्रोसेस करने वाली कंपनियां। बाहरी असेसर से हर साल ऑडिट करवाना ज़रूरी। सबसे सख्त ज़रूरतें।
स्तर 2: साल में 1 से 6 मिलियन लेन-देन प्रोसेस करने वाली कंपनियां। विस्तृत सेल्फ़-असेसमेंट पूरा करना ज़रूरी।
स्तर 3: साल में 20,000 से 1 मिलियन लेन-देन प्रोसेस करने वाली कंपनियां। सेल्फ़-असेसमेंट पूरा करना ज़रूरी।
स्तर 4: साल में 20,000 से कम लेन-देन प्रोसेस करने वाली कंपनियां। सबसे सीधी ज़रूरतें। ज़्यादातर छोटे बिज़नेस यहीं आते हैं।
स्तर 4 (छोटे बिज़नेस) की भी ज़रूरतें सख्त हैं। आप पेमेंट कार्ड डेटा जैसे चाहें वैसे नहीं ले सकते।
मुख्य नियम: कच्चा कार्ड डेटा कभी स्टोर न करें
PCI DSS का सबसे अहम नियम: पूरे क्रेडिट कार्ड नंबर, एक्सपायरी की तारीखें या सिक्योरिटी कोड (CVV) अपने डेटाबेस या सर्वर में न लें और न स्टोर करें।
कभी न लें:
- पूरे क्रेडिट कार्ड नंबर (PAN: Primary Account Number)
- एक्सपायरी की तारीखें
- सिक्योरिटी कोड (CVV/CVC)
इन्हें एन्क्रिप्ट करके भी कभी स्टोर न करें।
अगर आपका फ़ॉर्म यह डेटा लेता है और आप उसे खुद स्टोर करते हैं, तो आप PCI DSS का उल्लंघन कर रहे हैं। सज़ाएं गंभीर हैं:
- नियमों का पालन न करने पर प्रति माह 5,000 से 100,000 डॉलर के जुर्माने
- कार्ड डेटा चोरी होकर धोखाधड़ी में इस्तेमाल होने पर ज़िम्मेदारी
- धोखाधड़ी के नुकसान और ग्राहकों को सूचित करने की लागत की ज़िम्मेदारी
- क्रेडिट कार्ड प्रोसेसर आपकी पेमेंट स्वीकार करने की क्षमता रद्द कर सकते हैं
आप क्या ले और स्टोर कर सकते हैं
पेमेंट से जुड़ा कुछ डेटा लेना सुरक्षित है:
- बिलिंग का नाम और पता: सत्यापन और शिपिंग के लिए
- ईमेल एड्रेस: रसीद और संवाद के लिए
- कार्ड नंबर के आखिरी 4 अंक: संदर्भ के लिए (जैसे "4242 पर खत्म होने वाला पेमेंट तरीका") - पर तभी जब आप पूरा नंबर न लें
- पेमेंट की रकम और तारीख: रिकॉर्ड रखने के लिए
- पेमेंट प्रोसेसर से ट्रांज़ैक्शन ID: मिलान और हिसाब के लिए
मुख्य बात: आप ग्राहक की जानकारी, ऑर्डर की जानकारी और संदर्भ नंबर स्टोर कर सकते हैं। आप असली पेमेंट कार्ड डेटा स्टोर नहीं कर सकते।
पेमेंट डेटा को सुरक्षित तरीके से कैसे संभालें
कभी अपना कस्टम पेमेंट फ़ॉर्म न बनाएं
ऐसा फ़ॉर्म न बनाएं जो क्रेडिट कार्ड जानकारी सीधे ले। जिस पल पेमेंट फ़ॉर्म कार्ड डेटा आपके सर्वर को भेजता है, PCI DSS पालन की ज़िम्मेदारी आपकी हो जाती है।
होस्टेड पेमेंट पेज वाला पेमेंट प्रोसेसर इस्तेमाल करें
कई पेमेंट प्रोसेसर होस्टेड पेमेंट पेज देते हैं। ये ऐसे फ़ॉर्म हैं जो प्रोसेसर के सुरक्षित सर्वर पर रहते हैं, आपके सर्वर पर नहीं। जब ग्राहक पेमेंट फ़ॉर्म भरता है, तो कार्ड डेटा सीधे प्रोसेसर के पास जाता है। आपका सर्वर पूरा कार्ड नंबर कभी नहीं देखता।
उदाहरण का प्रवाह:
- ग्राहक आपका ऑर्डर फ़ॉर्म भरता है (नाम, ईमेल, शिपिंग पता)
- ग्राहक "Pay" पर क्लिक करता है
- ब्राउज़र पेमेंट प्रोसेसर के सुरक्षित फ़ॉर्म पर रीडायरेक्ट होता है
- ग्राहक प्रोसेसर के फ़ॉर्म पर कार्ड की जानकारी डालता है
- प्रोसेसर पेमेंट प्रोसेस करके आपको नोटिफ़िकेशन भेजता है
- आपके फ़ॉर्म को सिर्फ़ ट्रांज़ैक्शन ID मिलती है, कार्ड डेटा नहीं
आप कभी कार्ड डेटा नहीं संभालते, इसलिए PCI DSS पालन प्रोसेसर की ज़िम्मेदारी है।
पेमेंट के लिए iframe इस्तेमाल करें
कुछ प्रोसेसर iframe देते हैं जिसे आप अपने फ़ॉर्म में एम्बेड कर सकते हैं। iframe असल में प्रोसेसर के सुरक्षित सर्वर पर होस्ट होता है, पर आपके पेज का हिस्सा लगता है। ग्राहक को एक जुड़ा हुआ फ़ॉर्म दिखता है, पर पेमेंट वाला हिस्सा असल में प्रोसेसर के सर्वर पर है।
टोकनाइज़ेशन वाला पेमेंट API इस्तेमाल करें
उन्नत पेमेंट प्रोसेसर आपको अपने फ़ॉर्म पर उनकी JavaScript लाइब्रेरी से पेमेंट जानकारी लेने देते हैं। लाइब्रेरी डेटा को आपके सर्वर तक पहुंचने से पहले ग्राहक के ब्राउज़र में एन्क्रिप्ट कर देती है। वह असली कार्ड डेटा की जगह आपको टोकन (सुरक्षित संदर्भ) भेजती है। आप टोकन स्टोर करते हैं, कार्ड नहीं।
बिना एन्क्रिप्ट किए कार्ड डेटा संभालने से बचने के लिए इसे सावधानी से लागू करना पड़ता है। इसे तभी इस्तेमाल करें जब आप प्रक्रिया पूरी तरह समझते हों।
क्या न करें
पेमेंट जानकारी ईमेल न करें। ग्राहकों से ईमेल पर क्रेडिट कार्ड नंबर भेजने को न कहें। ईमेल एन्क्रिप्टेड नहीं है और सुरक्षित नहीं है।
अगर आप कार्ड स्टोर कर रहे हैं तो CVV न मांगें। अगर आप रिकरिंग पेमेंट के लिए कार्ड स्टोर कर रहे हैं, तो आपको CVV न मांगना चाहिए और न स्टोर करना चाहिए। CVV की ज़रूरत सिर्फ़ पेमेंट के पल पर होती है।
आम फ़ॉर्म पर कार्ड डेटा लेकर खुद को ईमेल न करें। इससे पेमेंट जानकारी बिना एन्क्रिप्ट किए ईमेल से जाती है, जो PCI DSS का उल्लंघन है।
कार्ड डेटा को स्प्रेडशीट, टेक्स्ट फ़ाइल या बिना एन्क्रिप्शन वाले डेटाबेस में स्टोर न करें। अगर आप पहले ही कार्ड डेटा ले चुके हैं (जो आपको नहीं लेना चाहिए था), तो आपको उसे तुरंत एन्क्रिप्ट करना या डिलीट करना होगा।
अगर आप पहले ही संवेदनशील पेमेंट डेटा ले चुके हैं
अगर आपका कोई फ़ॉर्म पूरे क्रेडिट कार्ड नंबर या CVV लेता रहा है, तो तुरंत रुकें:
- डेटा लेना बंद करें। फ़ॉर्म से कार्ड फ़ील्ड तुरंत हटाएं।
- जो आपके पास है उसे सुरक्षित करें। अगर आपने कार्ड डेटा स्टोर किया है, तो उसे एन्क्रिप्ट करें या डिलीट करें।
- पेमेंट प्रोसेसर पर जाएं। थर्ड-पार्टी प्रोसेसर से नियमों के अनुरूप पेमेंट का तरीका सेट करें।
- प्रभावित ग्राहकों को सूचित करें। अगर ब्रीच हुआ है, या ग्राहकों का कार्ड डेटा अब भी स्टोर है, तो उन्हें सूचित करें।
- कानूनी सलाहकार से बात करें। अगर आप असुरक्षित तरीके से कार्ड डेटा लेते रहे हैं, तो आपके सामने नियामक जोखिम हो सकता है। कानूनी सलाह लें।
टोकनाइज़ेशन: पेमेंट के तरीके स्टोर करने का सुरक्षित रास्ता
टोकनाइज़ेशन संवेदनशील पेमेंट जानकारी को गैर-संवेदनशील संदर्भ नंबर से बदलने की प्रक्रिया है।
टोकनाइज़ेशन के बिना: आप "4532-1234-5678-9010" अपने डेटाबेस में स्टोर करते हैं।
टोकनाइज़ेशन के साथ: पेमेंट प्रोसेसर "4532-1234-5678-9010" स्टोर करता है और आपको "tok_abc123def456" जैसा टोकन देता है। आप टोकन स्टोर करते हैं।
जब आपको कार्ड दोबारा चार्ज करना हो (रिकरिंग बिलिंग के लिए), तो आप टोकन प्रोसेसर को भेजते हैं। प्रोसेसर टोकन से मूल कार्ड डेटा निकालकर चार्ज प्रोसेस करता है। आप कभी कार्ड खुद नहीं संभालते।
टोकन स्टोर करना सुरक्षित है। उनसे प्रोसेसर की जानकारी के बिना पेमेंट प्रोसेस नहीं हो सकती, और वे कार्ड नंबर नहीं बताते।
पेमेंट फ़ॉर्म से आगे की PCI DSS ज़रूरतें
पेमेंट प्रोसेसर सही तरीके से इस्तेमाल करने पर भी PCI DSS की दूसरी ज़रूरतें हैं:
- अपने सर्वर सुरक्षित करें। सॉफ़्टवेयर अपडेट करें, फ़ायरवॉल इस्तेमाल करें, पहुंच सीमित करें।
- मज़बूत पासवर्ड इस्तेमाल करें। अपने पेमेंट प्रोसेसर अकाउंट और सभी एडमिन अकाउंट के लिए।
- रास्ते में और स्टोरेज में डेटा एन्क्रिप्ट करें। HTTPS इस्तेमाल करें, डेटाबेस एन्क्रिप्ट करें।
- निगरानी और ऑडिट करें। पेमेंट से जुड़े सिस्टम की पहुंच दर्ज करें, लॉग नियमित रूप से देखें।
- कर्मचारियों को प्रशिक्षण दें। पेमेंट डेटा तक पहुंच रखने वाले हर व्यक्ति को सुरक्षा प्रशिक्षण चाहिए।
- नेटवर्क सुरक्षा मानकों का पालन करें। PCI DSS में 12 मुख्य ज़रूरतें हैं जो एक्सेस कंट्रोल, निगरानी और घटना के जवाब को कवर करती हैं।
अगर आप पेमेंट प्रोसेस करते हैं, तो PCI DSS की सारी 12 ज़रूरतों से परिचित हों। कई सिर्फ़ फ़ॉर्म सुरक्षा से आगे की हैं।
अपने फ़ॉर्म में पेमेंट सुरक्षा
पेमेंट फ़ॉर्म बनाते समय ऊपर के नियम अपनाएं: कच्चा पेमेंट डेटा न लें और न स्टोर करें, पेमेंट के लिए PCI अनुपालन वाले पेमेंट प्रोसेसर का होस्टेड पेज या iframe इस्तेमाल करें, और सिर्फ़ ट्रांज़ैक्शन ID या टोकन रखें।
WEMASY के प्लान और कीमतों के लिए प्राइसिंग पेज देखें।
अक्सर पूछे जाने वाले सवाल
अगर मैं पेमेंट प्रोसेसर इस्तेमाल करता हूं, तो क्या मुझे फिर भी PCI DSS का पालन करना होगा?
अगर मैं कार्ड डेटा लेकर तुरंत डिलीट कर दूं, तो क्या मैं ले सकता हूं?