API Security - отправка информации CC

Question

Я пытаюсь разработать платежный API, и он требует отправки информации CC по проводам. Поэтому для этого я подумал об использовании открытого ключа для шифрования информации CC и расшифровки ее на сервере. Имейте в виду, что соединение также https. Есть предложения по теме?

Answer 1

Если соединение шифруется по протоколу https, оно не принесет пользы, за исключением случаев, когда кто-либо нарушает SSL / TLS. В таком случае, поверьте мне, ваш API станет наименьшей проблемой в мире.

Answer 2

В отличие от предыдущих ответов, я настоятельно рекомендую вам прочитать PCI-DSS . В основном вы хотите сохранить номер карты в зашифрованном виде, пока он абсолютно не понадобится в виде простого текста, например, при авторизации или расчете. Непонятно, что именно будут делать ваши вызовы API, но, вероятно, вы почти наверняка не захотите, чтобы номер карты отображался в виде простого текста, как только он попадет на ваш веб-сервис.

Кроме того, если у вас есть компонент на стороне клиента, который фиксирует данные карты, он попадает под контроль PA-DSS.

Answer 3

Если соединение HTTPS, не нужно шифровать данные CC.