Als je formulier betaalgegevens verzamelt, gelden er strenge beveiligingsregels, of je dat nu beseft of niet. De Payment Card Industry Data Security Standard (PCI DSS) stelt eisen aan iedereen die betaalkaartgegevens accepteert, opslaat of verwerkt. Overtreding van PCI DSS kost boetes van duizenden dollars per dag, plus aansprakelijkheid als kaartgegevens worden gestolen.
De basisregel van PCI DSS is simpel. Sla nooit zelf onbewerkte betaalkaartgegevens op. Gevoelige gegevens vermijden in formulieren en goede betalingsverwerkers gebruiken beschermt je merk en je klanten en houdt je in lijn met de regels.
Wat je leert: wat PCI DSS is en wanneer het geldt, welke betaalgegevens je nooit mag verzamelen, hoe je betaalformulieren veilig opbouwt, hoe je betalingsverwerkers goed gebruikt en wat je doet als je al gevoelige gegevens hebt verzameld.
Wat is PCI DSS?
PCI DSS (Payment Card Industry Data Security Standard) is een set beveiligingsstandaarden die is opgesteld door de grote creditcardmaatschappijen (Visa, Mastercard, American Express, enzovoort). Het geldt voor elk bedrijf dat creditcardgegevens accepteert, opslaat, verstuurt of verwerkt.
PCI DSS geldt voor jou als:
- Je een webshop hebt die creditcards accepteert
- Je een formulier hebt dat betaalgegevens verzamelt
- Je facturen per e-mail verstuurt met betaalinstructies
- Je betaalgegevens van klanten opslaat voor terugkerende facturering
- Een medewerker toegang heeft tot betaalkaartgegevens
Je denkt misschien dat PCI DSS niet voor jou geldt als je een betalingsverwerker gebruikt, maar je bent verantwoordelijk voor hoe je de gegevens verzamelt voordat ze bij de verwerker aankomen.
PCI DSS-niveaus en wie moet voldoen
De eisen van PCI DSS verschillen naar het aantal transacties dat je verwerkt:
Niveau 1: bedrijven die meer dan 6 miljoen transacties per jaar verwerken. Moeten elk jaar worden gecontroleerd door een externe beoordelaar. De strengste eisen.
Niveau 2: bedrijven die 1 tot 6 miljoen transacties per jaar verwerken. Moeten een gedetailleerde zelfbeoordeling invullen.
Niveau 3: bedrijven die 20.000 tot 1 miljoen transacties per jaar verwerken. Moeten een zelfbeoordeling invullen.
Niveau 4: bedrijven die minder dan 20.000 transacties per jaar verwerken. De eenvoudigste eisen. De meeste kleine bedrijven vallen hier.
Ook niveau 4 (klein bedrijf) heeft strenge eisen. Je kunt betaalkaartgegevens niet zomaar op elke manier innemen.
De hoofdregel: sla nooit onbewerkte kaartgegevens op
De belangrijkste PCI DSS-regel: verzamel of bewaar geen volledige creditcardnummers, vervaldatums of beveiligingscodes (CVV) in je eigen database of op je eigen servers.
Verzamel NOOIT:
- Volledige creditcardnummers (PAN: Primary Account Number)
- Vervaldatums
- Beveiligingscodes (CVV/CVC)
Sla deze NOOIT op, ook niet als je ze versleutelt.
Verzamelt je formulier deze gegevens en sla je ze zelf op, dan overtreed je PCI DSS. De sancties zijn zwaar:
- Boetes van 5.000 tot 100.000 dollar per maand van niet-naleving
- Aansprakelijkheid als kaartgegevens worden gestolen en frauduleus gebruikt
- Aansprakelijkheid voor fraudeverliezen en kosten om klanten te informeren
- Creditcardverwerkers kunnen je het recht ontnemen om betalingen te accepteren
Wat je WEL mag verzamelen en opslaan
Sommige betaalgerelateerde gegevens zijn veilig om te verzamelen:
- Naam en adres voor facturering: voor verificatie en verzending
- E-mailadres: voor het bonnetje en communicatie
- Laatste 4 cijfers van het kaartnummer: ter referentie (bijvoorbeeld "betaalmethode eindigend op 4242"), maar alleen als je het volledige nummer niet verzamelt
- Betaalbedrag en datum: voor je administratie
- Transactie-ID van de betalingsverwerker: voor koppeling en afstemming
Het kernpunt: je mag klantgegevens, bestelgegevens en referentienummers opslaan. Je mag de echte betaalkaartgegevens niet opslaan.
Zo ga je veilig om met betaalgegevens
Maak nooit een eigen betaalformulier
Bouw geen formulier dat creditcardgegevens direct verzamelt. Op het moment dat een betaalformulier kaartgegevens naar je server stuurt, ben jij verantwoordelijk voor naleving van PCI DSS.
Gebruik een betalingsverwerker met gehoste betaalpagina's
Betalingsverwerkers zoals Stripe, PayPal en Square bieden gehoste betaalpagina's. Dat zijn formulieren die op de beveiligde servers van de verwerker staan, niet op die van jou. Als een klant het betaalformulier invult, gaan de kaartgegevens direct naar de verwerker. Je server ziet het volledige kaartnummer nooit.
Voorbeeld van de stroom:
- De klant vult je bestelformulier in (naam, e-mailadres, verzendadres)
- De klant klikt op "Betalen"
- De browser stuurt door naar het beveiligde formulier van de betalingsverwerker
- De klant voert kaartgegevens in op het formulier van de verwerker
- De verwerker verwerkt de betaling en stuurt je een melding
- Je formulier ontvangt alleen een transactie-ID, niet de kaartgegevens
Je gaat nooit met de kaartgegevens om, dus naleving van PCI DSS is de verantwoordelijkheid van de verwerker.
Gebruik een iframe voor betaling
Sommige verwerkers bieden een iframe dat je in je formulier kunt insluiten. Het iframe staat in werkelijkheid op de beveiligde servers van de verwerker, maar lijkt een deel van je pagina. De klant ziet één geheel formulier, maar het betaalgedeelte staat feitelijk op de servers van de verwerker.
Gebruik een betaal-API met tokenisatie
Geavanceerde betalingsverwerkers laten je betaalgegevens in je formulier verzamelen met hun JavaScript-bibliotheek. De bibliotheek versleutelt de gegevens in de browser van de klant voordat ze je server bereiken. Ze stuurt je een token (een veilige verwijzing) in plaats van de echte kaartgegevens. Jij slaat het token op, niet de kaart.
Dit vraagt een zorgvuldige implementatie om te voorkomen dat je onversleutelde kaartgegevens verwerkt. Gebruik het alleen als je het proces volledig begrijpt.
Wat je NIET moet doen
E-mail geen betaalgegevens. Vraag klanten niet om creditcardnummers per e-mail te sturen. E-mail is niet versleuteld en niet veilig.
Vraag niet om de CVV als je de kaart opslaat. Sla je een kaart op voor terugkerende betalingen, vraag dan niet om de CVV en sla hem niet op. De CVV is alleen nodig op het moment van betalen.
Verzamel geen kaartgegevens in een gewoon formulier om ze naar jezelf te mailen. Dat stuurt betaalgegevens via onversleutelde e-mail en dat is een overtreding van PCI DSS.
Sla kaartgegevens niet onversleuteld op in een spreadsheet, tekstbestand of database. Heb je al kaartgegevens verzameld (wat niet had gemoeten), dan moet je ze versleutelen of direct verwijderen.
Als je al gevoelige betaalgegevens hebt verzameld
Heeft je formulier volledige creditcardnummers of CVV's verzameld, stop dan direct:
- Stop met het verzamelen van de gegevens. Haal de kaartvelden direct uit het formulier.
- Beveilig wat je hebt. Heb je kaartgegevens opgeslagen, versleutel of verwijder ze dan.
- Stap over op een betalingsverwerker. Zet een betaalmethode op die voldoet, met een externe verwerker.
- Informeer getroffen klanten. Is er een lek geweest of staan kaartgegevens van klanten nog opgeslagen, informeer ze dan.
- Raadpleeg een jurist. Heb je kaartgegevens onveilig verzameld, dan loop je mogelijk een regelgevend risico. Vraag juridisch advies.
Tokenisatie: de veilige manier om betaalmethoden op te slaan
Tokenisatie is het vervangen van gevoelige betaalgegevens door een niet-gevoelig referentienummer.
Zonder tokenisatie: je slaat "4532-1234-5678-9010" op in je database.
Met tokenisatie: de betalingsverwerker slaat "4532-1234-5678-9010" op en geeft je een token zoals "tok_abc123def456". Jij slaat het token op.
Moet je de kaart opnieuw belasten (voor terugkerende facturering), dan stuur je het token naar de verwerker. De verwerker gebruikt het token om de oorspronkelijke kaartgegevens op te halen en de afschrijving te verwerken. Jij gaat nooit met de kaart zelf om.
Tokens zijn veilig om op te slaan. Ze kunnen niet worden gebruikt om betalingen te verwerken zonder medeweten van de verwerker en ze onthullen het kaartnummer niet.
PCI DSS-eisen naast betaalformulieren
Ook als je een betalingsverwerker goed gebruikt, heeft PCI DSS andere eisen:
- Beveilig je servers. Werk software bij, gebruik firewalls, beperk toegang.
- Gebruik sterke wachtwoorden. Voor je account bij de betalingsverwerker en alle beheeraccounts.
- Versleutel gegevens onderweg en in opslag. Gebruik HTTPS, versleutel databases.
- Controleer en audit. Registreer toegang tot betaalgerelateerde systemen en bekijk de logs regelmatig.
- Train medewerkers. Iedereen met toegang tot betaalgegevens heeft beveiligingstraining nodig.
- Voldoe aan netwerkbeveiligingsnormen. PCI DSS omvat 12 hoofdeisen over toegangsbeheer, monitoring en incidentrespons.
Verwerk je betalingen, maak je dan vertrouwd met alle 12 PCI DSS-eisen. Veel ervan gaan verder dan alleen formulierbeveiliging.
Wat WEMASY doet voor betaalbeveiliging
De e-commerceformulieren van WEMASY verzamelen of bewaren geen onbewerkte betaalgegevens. Zet je een betaalformulier op in WEMASY, dan koppelt het met betalingsverwerkers die aan PCI voldoen. Het betaalformulier stuurt door naar het beveiligde systeem van de verwerker, of sluit een beveiligd iframe in dat door de verwerker wordt geleverd. Jij gaat nooit met kaartgegevens om en WEMASY bewaart ze nooit. Je bedrijf blijft automatisch in lijn met PCI DSS.
Lees meer over hoe WEMASY veilig met betalingen omgaat in je accountinstellingen of op de prijspagina.