Vraag klanten hun volledige kaartnummer en beveiligingscode niet via gewone e-mail, chat of een contactformulier toe te sturen. PCI DSS verbiedt het verzenden van onbeschermde kaartnummers via zulke berichtkanalen. De PCI Security Standards Council verduidelijkt dat een speciaal beschermd berichtkanaal niet categorisch verboden is, maar dan wel aan alle toepasselijke eisen moet voldoen en binnen de PCI-beoordeling valt.
Voor een normale online betaalroute is het verstandiger klanten naar de daarvoor ingerichte betaalpagina te verwijzen. Stripe beschrijft integraties waarbij gevoelige kaartgegevens rechtstreeks naar Stripe gaan en niet door de servers van de verkoper. Dat kan de eigen PCI-verplichtingen beperken, maar neemt ze niet volledig weg. Gebruik bij ondersteuning een transactiereferentie en neem geen volledige kaartgegevens over in tickets, notities of foutmeldingen.
Bronnen bij dit antwoord
- Can unencrypted PANs be sent over e-mail, instant messaging, SMS, or chat? PCI Security Standards Council
- Are entities allowed to request that cardholder data be provided over end-user messaging technologies? PCI Security Standards Council
- Integration security guide Stripe