Come accennato in precedenza, non archiviare i dati della carta di credito in un database. È una ricetta per i guai. In questo modo sarai un bersaglio molto interessante per gli hacker e, se riescono a recuperarli, metteranno fine alla tua attività e potenzialmente rovinerai la tua vita così come quella di coloro i cui numeri di carta di credito vengono rubati.
Detto questo, ecco tre cose da considerare:
1) La soluzione migliore è utilizzare un elaboratore di pagamento/gateway di pagamento che offre fatturazione ricorrente. Un esempio è Automated Recurring Billing di Authorize.Net servizio. Una volta impostato l'abbonamento, ti addebiteranno automaticamente ogni mese automaticamente e ti faranno conoscere i risultati della transazione. Ti fa risparmiare un sacco di lavoro e ti solleva dalla responsabilità di memorizzare i dati della carta di credito.
2) Se memorizzi i numeri di carta di credito del negozio, devi seguire le linee guida PCI . Queste linee guida sono stabilite dal settore delle carte di pagamento e definiscono cosa puoi e cosa non puoi fare. Definisce inoltre come devono essere archiviate le informazioni sulla carta di credito. Dovrai crittografare i numeri della carta di credito e dovresti, ma non è necessario, crittografare le informazioni correlate (data di scadenza, ecc.). Ti verrà inoltre richiesto di garantire che il tuo server web e la tua rete siano sicuri. Il mancato rispetto della conformità PCI comporterà la perdita del tuo account commerciante e l'esclusione per sempre dall'avere un vero conto commerciante. Ciò ti limiterebbe a utilizzare processori di terze parti che sono meno flessibili. Tieni presente che le linee guida PCI sono un buon inizio ma difficilmente un "come fare" quando si tratta di sicurezza online. Il tuo obiettivo sarebbe superare la raccomandazione (di molto).
3) Le leggi specifiche dello stato e del paese sostituiscono la conformità PCI. Se subisci una violazione e i numeri di carta di credito vengono rubati, rischi di essere perseguito penalmente. Le leggi variano da stato a stato e sono in costante mutamento poiché i legislatori stanno appena iniziando a rendersi conto di quanto sia grave questa questione.
Per quanto riguarda la crittografia, assicurati di leggere quali algoritmi di crittografia sono sicuri e non sono stati ancora violati. Blowfish è un buon inizio e se usi PHP la libreria mcrypt è consigliato (esempio ).
