Вся инициатива по соблюдению PCI является полным беспорядком и станет неисполнимой, потому что нет реальных окончательных ответов.Те немногие, которые существуют, являются мутными и неоднозначными.
В руководстве четко сказано, что если вы храните или передаете конфиденциальные данные о платежах, то вы находитесь в поле зрения.Вы можете выйти из области применения, используя сервис токенизации платежей для хранения и прямую проводку в платежный шлюз для передачи.Обе эти техники не позволят вам выйти за рамки.
Прямая публикация для меня не имеет смысла.Я не вижу, как шаг обратной отправки сервера квалифицируется как передача, а прямая публикация на платежном шлюзе - нет.Вы отправляете конфиденциальные данные в обоих случаях.Если конфиденциальные данные получены через защищенную обратную передачу и сразу же отбрасываются после отправки их на шлюз, то в чем разница?
Вы умрете от смеха, когда узнаете, что веб-браузер не обязательно должен быть PCI-совместимым.Он может даже хранить платежные данные локально и передавать их по незащищенному каналу!Вы можете утверждать, что вероятность кражи меньше, потому что это не публичный сервер, и им управляет пользователь кредитной карты.Независимо от этого, крошечное количество времени, в течение которого данные платежа находятся на сервере, подлежащем обработке во время обратной передачи, должно учитывать то же самое.
Кроме того, браузеры могут работать в любом месте, в том числе на общественных киосках и телефонах.