PCI-samsvar i kassen: Slik forenkler Shopify arbeidet

I en digital verden som stadig endrer seg, kan det være både krevende og forvirrende å holde tritt med de nyeste sikkerhetskravene. Versjon 4 av Payment Card Industry Data Security Standard (PCI DSS) innførte nye krav mot såkalt digital skimming, som skal beskytte kjøpere mot svindel med betalingsdata.

Dette er et viktig skritt for sikkerheten, men kan også gjøre arbeidet med PCI-samsvar i kassen mer omfattende for mange forhandlere.

Den gode nyheten er at Shopify gjør det enklere å oppfylle disse kravene, slik at du kan konsentrere deg om å utvide og utvikle virksomheten. Shopifys arkitektur og sikre skripthåndtering i kassen gjør det enklere å etterleve kravene i PCI DSS versjon 4.

Slik påvirker PCI DSS-kravene kassen

Kravene til netthandel blir stadig flere og dekker alt fra personvern og datatilgang til universell utforming av nettsider og åpenhet i markedsføring. Nye PCI DSS-krav mot digital skimming ble obligatoriske 31. mars 2025. Skimming skjer når angripere stjeler kortopplysninger fra kunder under betaling, ved hjelp av ondsinnet kode i kassen. Koden kan stjele betalingsdata ved å avskjære opplysninger eller erstatte sikre inntastingsfelt med falske felt som fanger opp brukerdata.

Cyberangrep som involverer digital skimming, setter sensitive kundedata i fare. I 2019 dokumenterte Trend Micro en Magecart-kampanje som rammet 3126 nettbutikker. Angriperne hadde lagt skadelig kode i et JavaScript-bibliotek som ble lastet inn i butikkene. Koden lastet deretter inn et skript som kunne fange opp og stjele kundenes kortopplysninger under betaling.

Det finnes mange viktige oppdateringer i PCI DSS versjon 4, men du bør legge særlig merke til krav 6.4.3. Dette skal motvirke digital skimming gjennom effektiv håndtering av skript som lastes inn og kjøres i kundens nettleser på betalingssider der kortopplysninger kan tastes inn.

For å redusere risiko og etterleve de nye sikkerhetskravene må forhandlere som selv har ansvar for betalingssiden, kartlegge og vedlikeholde en oppdatert liste over alle skript. De må dokumentere hvorfor hvert skript er nødvendig, bekrefte at det er godkjent og kontrollere at det ikke er endret urettmessig. Det stilles også krav til varsling om uautoriserte endringer på betalingssiden. Slike skript kan blant annet brukes til identitetsbekreftelse, digitale lommebøker og påmelding til markedsføring. Begrenset innsyn i disse detaljene kan gjøre det vanskelig å følge de nye kravene.

Hvis du ikke bruker en plattform som håndterer disse kravene, kan du trenge egne løsninger for beskyttelse på klientsiden og sikkerhetsverktøy for å håndtere og godkjenne skriptene. Verktøyene skal sørge for at bare godkjente skript lastes inn og kjøres. De kan gi ekstra kostnader og kreve tid og opplæring for å tas i bruk og vedlikeholdes. Slike verktøy kan også påvirke ytelsen, fordi de må lastes inn før annet innhold på siden og kontrollere hvordan nettleseren laster inn og kjører JavaScript.

Enklere PCI-samsvar i kassen med Shopify

Shopifys kasse er utviklet for høy konvertering og for å stå imot sikkerhetstrusler med en sikker arkitektur. Den har et administrert og sikkert kjøremiljø som driftes av Shopify. Plattformen håndterer oppdateringer og sikkerhetstiltak som bidrar til at kassen oppfyller PCI DSS-kravene og beskytter kundenes kortopplysninger.

Shopifys arkitektur bidrar til å sikre at bare godkjent og pålitelig kode kjører på selve betalingssiden. Kode fra apper som tilpasser kassen, kjøres i isolerte JavaScript-miljøer, også kalt sandkasser, med begrenset tilgang til betalingssiden. Dette reduserer risikoen for at uautoriserte skript stjeler betalingsdata eller utfører annen skadelig aktivitet som kan sette sensitiv informasjon i fare.

Finn ut hvordan Shopify driver en kasse med høy ytelse som oppfyller PCI DSS-kravene ved hjelp av isolerte kjøremiljøer, forklart av Shopify-ingeniør Ilya Grigorik.

For deg som bruker Shopifys kasse, håndterer plattformen kravene til sikker skripthåndtering i kassen, uten at du trenger å bygge en egen løsning for dette. Shopify vedlikeholder sikkerhetstiltakene, slik at du kan konsentrere deg om å utvide virksomheten. Denne tilnærmingen gjør arbeidet med PCI-samsvar enklere og gir deg trygghet for at kassen er pålitelig, godt beskyttet og oppdatert.

Shopify Extensions: Tilpasning uten kompromisser

Selv med strenge sikkerhetskrav kan Shopify Plus-butikker fortsatt skape unike opplevelser i kassen og integrere nødvendig rapportering og analyse med Shopify Extensions gjennom hele kjøpsprosessen. Tilpasninger kan gi utfordringer med sikkerhet og ytelse, men Shopifys kontrollerte kjøremiljø gjør det mulig å kombinere tilpasningene med følgende fordeler:

• Sikkerhet på bedriftsnivå: Med Shopify Extensions kjører tilpasninger av kassen i sikre, isolerte miljøer. Slik får ikke tilpasningene fri tilgang til betalingssiden eller kortopplysningene, og kravene til sikker skripthåndtering i kassen ivaretas.
• Høy ytelse: Shopifys kasse er optimalisert for hastighet og store salgstopper og kan håndtere opptil 40 000 kasseøkter per butikk i minuttet.
• Infrastruktur som utvikles videre: Shopifys kasse har et administrert og sikkert kjøremiljø som er laget for å hjelpe deg med å oppfylle PCI DSS-kravene og sørge for at kortopplysninger beskyttes.
• Tryggere oppdateringer: Shopifys arkitektur er fleksibel og robust, og utvidelsene er laget for å fungere videre når kassen oppdateres. Du får tilgang til nye funksjoner uten å måtte bygge om tilpasningene ved hver oppdatering.

Lytt til opptaket av ShopifyDevs’ samtale på X om hvordan du kan utvide kassen med apper som yter godt, tåler oppdateringer og oppfyller sikkerhetskravene. Samtalen er på engelsk. Etter hvert som kravene utvikler seg, kan du stole på at Shopifys arkitektur gjør det enklere å holde kassen oppdatert.