هل الدفع في متجري الإلكتروني آمن؟ أساسيات PCI للمواقع الصغيرة

القاعدة الذهبية: لا تلمس رقم البطاقة

إذا كتب العميل رقم بطاقته في نموذج داخل موقعك وأُرسل إلى خادمك، فأنت داخل نطاق المتطلبات الثقيلة. أما إذا انتقل الرقم مباشرة من متصفح العميل إلى مزوّد الدفع، فأنت خارجها.

بوابات مثل Moyasar و HyperPay و Tap و PayTabs، وبوابات عالمية مثل Stripe، توفّر صفحة دفع مستضافة أو حقولاً مدمجة تفعل ذلك. موقعك يستلم النتيجة فقط: ناجحة أو فاشلة أو معلّقة.

ما الذي يلزم متجراً صغيراً؟

اعتبر هذه القائمة الحد الأدنى قبل استقبال أول طلب حقيقي:

• بوابة دفع معتمدة بصفحة مستضافة أو حقول مدمجة، وليس نموذج بطاقة من صنعك.
• HTTPS في كل الصفحات، بما فيها السلة وصفحة الشكر.
• تفعيل 3-D Secure، وهو مطلوب أصلاً لمعظم البطاقات المحلية.
• وسائل دفع يثق بها عملاؤك مثل مدى و Apple Pay و STC Pay، وخيارات التقسيط مثل تابي وتمارا عند الحاجة.
• حفظ مفاتيح API السرية في إعدادات الخادم، لا داخل كود الصفحة ولا في مستودع عام.

ما الذي لا تفعله أبداً

لا تخزّن أرقام البطاقات ولا رمز التحقق المكوّن من ثلاث خانات، لا في قاعدة بيانات ولا ملف إكسل ولا محادثة ولا بريد. ولا تطلب من العميل إرسال صورة بطاقته عبر واتساب، بل أرسل له رابط دفع.

واحمِ حسابات الإدارة أيضاً: كلمات مرور قوية وفريدة، وتحقق بخطوتين في لوحة البوابة، وإزالة صلاحية أي شخص غادر الفريق.

الأوراق السنوية

التاجر الذي يستخدم صفحة دفع مستضافة يملأ عادةً أبسط استبيان تقييم ذاتي مرة في السنة، وغالباً من لوحة البوابة نفسها. تختلف المتطلبات بين المزوّدين والبنوك، فراجع شروط مزوّدك الحالية واسأله عمّا يتوقعه منك.

مع أوترا يمكنك أن تكتب في المحادثة: «أضف صفحة دفع باستخدام صفحة الدفع المستضافة من بوابتي، وأظهر مدى و Apple Pay، واحفظ مفتاح API في الإعدادات». ثم تعاين المسار وتجرّب دفعة في وضع الاختبار وتنشر.