Որտեղ անվտանգ մուտքագրել տվյալները և վճարումները 'SSL, կոդավորումը

1) Կայքի անվտանգության հիմնական նվազագույն մակարդակը

TFC միայն 1։ 2/1. 3 (ոչ 1։ 0/1. 1).
Ժամանակակից ծածկագրերը ՝ ECDHE-ը AES-GCM-ի կամ ChaCha20-Poly13.1 (պերֆ. ww.aile-ում)։
PFS (Perfect Forward Secrecy) — через ECDHE.
Գործող հավաստագիր (SHA-256), RSA-2048 կամ ECDPP-256/244 բանալին։
HSTS (+ ցանկալի է preloaded) 'կոշտ հարկադրանք HTTPS-ին։
Redirect-ի հետ HTTPS-ում առանց բացառությունների։
Certificate Transparency (SCT) - տեսանելի է մրցույթի մանրամասներում։

2) Ինչպես ստուգել վկայագիրը 30-60 վայրկյանում

1. Տե՛ ս «ամրոց» վկայականը

Ո՞ վ է տրված = ճշգրիտ տիրույթը/ենթատոմը (SAN)։
Ո՞ վ է տրված 'ճանաչելի CA-ն։
Ժամկետը չի ավարտվել/ոչ «վաղը»։
2. В DevTools → Security:

• TLS 1. 2/1. 3, ECDHE и AES-GCM/ChaCha20.
• Ոչ «mixed entent» (HTTTPS-ի էջում)։
• 3. Բացեք վճարային էջը 'ձևի տիրույթը համընկնում է կայքի հետ կամ սա հայտնի PBS-ն է iframe-ում։

3) Պաշտպանված վճարումները. Ի՞ նչ կարելի է համարել նորմ

PCI DSS: Կայքը չի հավաքում PAN/CVV-ը ինքնին 'քարտեզի դաշտերը fields/iframe PSA-ի կամ պրովայդերի վճարովի էջի վրա։
Տոկենիզացիա 'քարտեզը վերածվում է հոսանքի; կայքում պահպանվում է միայն «last4» և հոսող, երբեք CVV։
3-D Secure 2. X/SCA: Բանկում տեղեկատվական-հաստատություն/կենսաչափություն։
Apple Express/Google Live: Ցանցային հոսանքները, ձեռքերի նվազագույն շահագործումը։
Բանկային հաշիվի մեթոդները (PayID/Osko, այլն) ցույց են տալիս ճշգրիտ գրառումներ և հաշվարկման ապացույց։ ոչ մի խնդրանք չկա «ուղարկել քարտեզի սկրինը զրույցի մեջ»։
Cryptoplategy: Հասցեն/QR-ն ստեղծվում է PSA-ի էջում, գումարը/ցանցը գրված է, կա ցանցերի և կոմիսարների մասին նախազգուշացում։

4) Նստաշրջաններ և լոգիններ

Passkeys/FIDO2 կամ 2FA (TOTR/app, FIDO բանալին; SMS-ը պահեստային տարբերակն է)։
Куки: `Secure`, `HttpOnly`, `SameSite=Lax/Strict`; Auto-logout-ը թայմաուտով։
Սարքերի կառավարումը 'ակտիվ նստաշրջանների ցուցակը, «բոլոր սարքերից» ելքը։
Մուտքի ալերտները/գաղտնաբառի փոփոխությունը e-mail/թնդանոթով։

5) Առջևի և բեքենդի պաշտպանությունը (անուղղակի գծապատկերներ)

CSP (Content-Policy), X-Entertent-Type-Options, Referrer-Policy, frame-ancestors (anti-clikjeking)։
Առանց մյուս «ձախ» ջութակները վճարային էջում (anti-skimmer/Magecart)։
Սահմանափակում/wwww.king տվյալներ. Օրինագծում ցուցադրվում են միայն «last4» և քողարկված e-mail/հեռախոսը։

6) KUS/փաստաթղթերը, ինչպես անվտանգ բեռնել

Միայն պաշտպանված գրասենյակի միջոցով (HTTPS/TSA 1։ 2 +) բեռնիչով; մի ուղարկեք փաստաթղթերը չաթ/փոստով։
Աջակցված կոմպոզիցիաները (PDF/JPG/PNG), սահմանաչափը չափսով, ակնհայտ պահեստավորման քաղաքականությունը/108։
Հիբրիդային նշանները («միայն KYC-ի համար [կայք] [ամսաթիվը]»), թաքնված քարտեզների/QR համարները։
Privacy-ի քաղաքականությունը 'պահպանման ժամանակահատվածը, երրորդ կողմերի փոխանցումը (KYC-պրովայդեր), պահեստավորման երկիրը։

7) Altaile և ծրագրեր

Առանց ARK/ընդլայնման 'խաղացեք բրաուզերում (HTML5) կամ պաշտոնական խանութներում (App Store/Google Play)։
Դիմումի իրավունքները նվազագույն են։ Ոչ «SMS/կոնտակտներ/զանգեր»։
Հանրային Wi-Fi-ը միայն CSN-ի և առանց KUS/քարտի մուտքագրելու։
ՕՀ/զննարկչի ավտոմատ նորարարությունները ներառված են։

8) Կայքի արագ աուդիտը (15 րոպե)

1. Լիցենզիա/220 (2 րոպե): կայքում 'համարը և տեսահոլովակը, խմբագրության մեջ համապատասխանում են իրավաբանական/տիրույթը։
2. TFC/հավաստագիր (2 րոպե) 'ռուսական հավաստագիր (SAN, ժամանակը, CA); DevTools → TLS 1. 2/1. 3, ECDHE+AES-GCM/ChaCha20.
3. HSTS/redirects (1 րոպե) 'հարկադիր HTTPS, անձնական գրասենյակի/տոմսարկղերի HTTP տարբերակներ չկան։
4. Պլատաժային ձևը (4 րոպե) 'hosted fields/iframe PSA, չկա "name =" cardnumium "կայքի կոդում։ 3-D Secure 2. x; թոկենիզացիա; մեթոդները և SLA-ները հրապարակվում են։
5. Հաշկունտ (3 րոպե) 'միացրեք 2FA/Passkeys; մուտքերի/սարքերի լոգները։ տիկնիկներ 'Black Only/Secure'։
6. KYC (3 րոպե) 'գրասենյակում բեռնիչ, Privacy քաղաքականությունը, էլեկտրոնային-mail ուղարկելու արգելքը։

9) Անվտանգության գնահատման մատրիցը (100 միավոր)

TFC/հավաստագիրը 20 (TFC 1։ 2/1. 3, ECDHE+AES-GCM/ChaCha20, CT, HSTS)
Վճարումները/PCI-25 (PMS-iframe/redirect, տոկենիզացիա, 3-DS 2։ x, առանց PAN/CVV պահեստավորման)
Նստաշրջաններ/2FA - 15 (Passkeys/TOTP, secure cookies, սարքերի կառավարում)
Առջևի պաշտպանությունը 10 (CSP, referrer-policy, frame-ancestors, չկա կողմնակի ջութակներ տոմսարկղում)
KYC/Privacy-10 (գրասենյակային ծափահարություն, պահեստավորման ժամկետներ, e-mail արգելք)
Լիցենզիա/2019-10 (տեսահոլովակ խմբագրության մեջ, իրավաբանական/տիրույթի համընկնում)
Altaile-5 (ոչ ARK/ընդարձակումներ, օֆից։ stors)
Թափանցելիությունը 5 (մեթոդներ, min/max, 108, SLA, same-method)
Մեկնաբանությունը ՝ 2485 - ուժեղ առաջարկություն; 75-84 - տարեկան; 60-74 - միջին; <60 - խուսափել։

10) Կարմիր դրոշները (անմիջապես)

Ոչ HTTPS-ը լոգինի/վճարման էջերում, խառը բովանդակություն։
TLS 1. 0/1. 1, հնացած ծածկագրեր, ինքնատիպ/պարզեցված վկայագիր։
Քարտային դաշտերը DFC կայքում (ոչ թե iframe PSA); խնդրում եմ ուղարկել քարտեզի նկար/CUS չաթ/փոստ։
Չկա 3-D Secure 2, ոչ թունավորում։ PAN/CVV պահպանումը հաշվում։
Ոչ 2FA/Passkeys; տիկնիկներ առանց «Windows Only/Secure»։
Պահանջում են ARK/ընդլայնում խաղի/2019 համար։
Գաղտնիության քաղաքականությունը առանց տվյալների պահեստավորման/փոխանցման։

11) Ստուգման քարտերը (լրացրեք մեկ կայք)

Տիրագիր/լիցենզիա/հղում խմբագրության վրա
TMS/հավաստագիր ՝ տարբերակը/ծածկագիրը/CA/ժամանակահատվածը/HSTS/CT
Վճարումներ: PMS-iframe/redirect/3-DS 2/տոկենիզացիա/մեթոդներ և SLA/same-method
Account: 2FA/Passkeys/secure cookies/նստաշրջանների կառավարում
KYC/Privacy: Գրասենյակային apload/պահեստավորման ժամկետի/արգելքի e-mail
Պաշտպանություն 'CSP/frame-ancestors/referrer-policy
Altaile: Ofic. stors/ոչ ARK/ընդլայնումներ/
Վերջնական գնահատականը (0-100)

12) FAQ (կարճ)

Ամրոցը = ապահով։ Ոչ։ Տե՛ ս TFC տարբերակը, ծածկագիրը, հավաստագիրը, HSTS-ը և ինչպես ներկառուցված է վճարովի ձևը։
Կարո՞ ղ եք տեղադրել քարտեզը կայքում։ Ավելի ապահով 'iframe/redirect PSA-ի միջոցով։ Եթե կայքը ինքնին մշակում է PAN-ը, այն պետք է համապատասխանի PCI DSS-ին (հազվադեպ)։
SMS-2FA նորմեր։ Ավելի լավ է TOTP/FIDO; SMS-ը պահեստային տարբերակ է։
KYC փաստաթղթերը չաթում են։ Ոչ։ Միայն HTTPS-ի գրասենյակային բեռնման միջոցով։

Արդյունքը

Տվյալների և վճարումների անվտանգ շահագործումը ոչ թե «ամրոցը հասցեային տողում» է, այլ նշանների հավաքածու ՝ ժամանակակից TFC, HSTS, հավաստագիր առանց անակնկալների, վճարովի ձևեր PRC-ից և 3-D Secure 2, 2FA/Passkeys, պաշտպանված նստաշրջաններ և KYC գրասենյակ apload. Անցեք 15 րոպեանոց աուդիտ, կգնահատեք 100 բալանոց մատրիցայի կայքը և կտրեք կարմիր դրոշներով նախագծերը, այնպես որ դուք նվազագույնի կհասցնեք տվյալների ընդհատման և արտահոսքի ռիսկը փողի վրա խաղալիս։