PCI DSS простими словами

PCI DSS (Payment Card Industry Data Security Standard) — міжнародний стандарт безпеки платіжних карток: набір технічних і організаційних вимог до тих, хто зберігає, обробляє чи передає дані карток. Його розробила рада PCI SSC, а діє він для продавців, платіжних процесорів, банків-еквайєрів і емітентів.

Простими словами

Якщо ваш магазин приймає картки, дані картки (номер, термін, CVV) мають проходити тільки захищеним шляхом. PCI DSS описує, як саме. Рада PCI SSC пояснює, що стандарт — це базовий рівень вимог для захисту даних платіжного рахунку, і застосовується він до всіх, хто зберігає, обробляє чи передає дані власників карток, або може вплинути на безпеку середовища, де вони є (PCI SSC).

Важливо: PCI SSC сам не карає й не вирішує, хто мусить підтверджувати відповідність. Це визначають платіжні бренди та еквайєр — банк, який приймає ваші платежі. Тому першим кроком є питання до вашого банку чи платіжного провайдера, що саме вони вимагають (PCI SSC, для продавців).

Як мінімізувати обсяг вимог

Чим менше даних карток проходить через ваш сайт, тим менше вимог. Інтернет-торгівля — це середовище без фізичної картки, і платіжні дані в ній треба захищати за PCI DSS (PCI SSC).

Для самооцінки існують анкети SAQ — різні для різних середовищ, кожна має критерії допуску (там само). Найпростіша, SAQ A, призначена продавцям, чиї операції з даними карток повністю передані провайдерам, що самі відповідають PCI DSS, і які не зберігають, не обробляють і не передають дані карток у своїх системах (PCI SSC, блог).

Практично: сторінку оплати, яку повністю відображає платіжний провайдер (редирект або його форма), зазвичай сприймають як найлегший варіант. Свої форми, що збирають номер картки, значно збільшують обсяг. Шифрування саме по собі не виводить середовище з-під стандарту, якщо зашифровані дані й ключі доступні в одному місці (PCI SSC).

Що змінилося недавно

Для SAQ A у 2025 році внесли зміни: вимоги 6.4.3 і 11.6.1 (контроль скриптів на платіжній сторінці) та 12.3.1 прибрали з анкети, а додали критерій допуску: продавець підтверджує, що його сайт не вразливий до атак через скрипти, які можуть вплинути на його електронну комерцію. Зміни набули чинності 31 березня 2025 року, і вони не скасовують самих вимог стандарту, а змінюють спосіб підтвердження (PCI SSC, блог). Висновок для магазину: сторонні скрипти на сторінці оплати (чат, аналітика, віджети) мають бути обмежені до потрібного.

Деталі застосування залежать від вашого еквайєра, тож рішення про форму підтвердження узгоджуйте з ним. Окремо пошукові результати свідчать, що вендори по-різному тлумачать, до яких сценаріїв (iframe чи редирект) цей критерій застосовується, тому спирайтеся на офіційні ЧаП PCI SSC та банк.

Типові помилки

• Зберігати CVV чи повний номер картки у базі, поштовій скриньці або CRM.
• Приймати дані картки в чаті, месенджері, по телефону без захищеного рішення.
• Не питати банк, який саме рівень підтвердження вимагається.
• Додавати сторонні скрипти на сторінку оплати без потреби.
• Вважати відповідність одноразовою. Це постійний процес.

FAQ

Чи обов'язковий PCI DSS для інтернет-магазину в Україні? Стандарт застосовується до всіх, хто працює з картковими даними, але чи вимагати підтвердження і в якій формі, вирішують платіжні бренди й еквайєр. Запитайте свій банк або платіжного провайдера (PCI SSC).

Чи потрібен PCI DSS, якщо оплата йде через платіжну сторінку провайдера? Обсяг вимог до вас значно менший, але повністю від відповідальності це не звільняє: підтвердження залежить від вашої схеми й банку.

Що таке SAQ? Самооцінна анкета для продавців, що можуть підтвердити відповідність самостійно. Різні схеми роботи мають різні анкети.

Яка версія стандарту чинна? У довідковій бібліотеці PCI SSC опубліковано PCI DSS v4.0.1 (PCI SSC, бібліотека документів).

Пов'язані терміни

• Способи оплати в інтернет-магазині в Україні
• Шахрайство з оплатами та 3-D Secure
• Безпека інтернет-магазину: мінімум
• Оформлення замовлення (чекаут)

Джерела

• PCI SSC, PCI DSS — pcisecuritystandards.org/standards/pci-dss
• PCI SSC, Merchants — pcisecuritystandards.org/merchants
• PCI SSC, Document Library — pcisecuritystandards.org/document_library
• PCI SSC blog, Important updates announced for merchants validating to SAQ A — blog.pcisecuritystandards.org/important-updates-announced-for-merchants-validating-to-self-assessment-questionnaire-a