ای کامرس کے لیے سائبر سیکیورٹی: 2026 میں اپنے کاروبار کی حفاظت کریں

ای کامرس کاروبار سائبر حملوں کے لیے سب سے زیادہ نشانہ بننے والا شعبہ ہے۔ وہ ادائیگی کارڈ کے ڈیٹا پر کارروائی کرتے ہیں، کسٹمر کی ذاتی معلومات کو ذخیرہ کرتے ہیں، اعلیٰ لین دین کے حجم کو سنبھالتے ہیں، اور عوام کے سامنے آنے والی ویب ایپلیکیشنز کو چلاتے ہیں جو مسلسل خودکار حملوں کا شکار ہیں۔ 2025 میں، خوردہ شعبے میں تمام ڈیٹا کی خلاف ورزیوں کا 37 فیصد ای کامرس کا تھا، جس کی اوسط خلاف ورزی کی لاگت $3.86 ملین آئی بی ایم کی ڈیٹا کی خلاف ورزی کی رپورٹ کے مطابق تھی۔

2026 میں خطرے کا منظر پہلے سے کہیں زیادہ نفیس ہے۔ AI سے چلنے والے حملے بڑے پیمانے پر اسناد کے سامان کو خودکار بناتے ہیں، ڈیپ فیک سے چلنے والی سوشل انجینئرنگ کسٹمر سپورٹ ٹیموں کو نشانہ بناتی ہے، اور سپلائی چین کے حملے چیک آؤٹ پیجز پر لوڈ تھرڈ پارٹی اسکرپٹس سے سمجھوتہ کرتے ہیں۔ لیکن ای کامرس سیکیورٹی کے بنیادی اصول تبدیل نہیں ہوئے ہیں - وہ کاروبار جو نیٹ ورک سیکیورٹی، ایپلیکیشن سیکیورٹی، ادائیگی کی حفاظت، اور واقعے کے ردعمل کا احاطہ کرنے والے جامع سیکیورٹی پروگراموں کو نافذ کرتے ہیں، زیادہ تر حملوں کے خلاف لچکدار رہتے ہیں۔

اہم ٹیک ویز

• PCI DSS 4.0 اب مکمل طور پر قابل نفاذ ہے (مارچ 2025 تمام تقاضوں کے لیے آخری تاریخ)، اسکرپٹ کی سالمیت کی نگرانی، ملٹی فیکٹر توثیق، اور مسلسل سیکیورٹی ٹیسٹنگ کے لیے نئے مینڈیٹ لاتا ہے۔
• ویب ایپلیکیشن فائر والز (WAF) اب اختیاری نہیں ہیں - وہ ای کامرس ایپلی کیشنز کو نشانہ بنانے والے 60-80% خودکار حملوں کو روکتے ہیں
• بوٹ ٹریفک 2026 میں ای کامرس ویب سائٹ ٹریفک کے 40-50% کی نمائندگی کرتا ہے، جس میں نفیس بوٹس کیپچا اور بنیادی بوٹ کی کھوج کو نظرانداز کرنے کی صلاحیت رکھتے ہیں۔
• کریڈینشل اسٹفنگ حملے AI کا استعمال کرتے ہوئے اربوں چوری شدہ صارف نام/پاس ورڈ کے امتزاج کو پیمانے پر جانچتے ہیں — شرح کو محدود کرنا اور بے ضابطگی کا پتہ لگانا بنیادی دفاع ہیں۔
• ادائیگی کی دھوکہ دہی سے ہونے والے نقصانات 2025 میں عالمی سطح پر $48 بلین سے تجاوز کرگئے، جس میں کارڈ ناٹ پریزنٹ (CNP) فراڈ کل کارڈ فراڈ کا 73% ہے۔
• سیکورٹی ہیڈر (CSP، HSTS، X-Frame-Options) کو لاگو کرنے اور حملوں کے تمام زمروں کو روکنے میں 30 منٹ لگتے ہیں
• ہر ای کامرس کاروبار کو خلاف ورزی ہونے سے پہلے ایک واقعے کے جوابی منصوبے کی ضرورت ہوتی ہے - اسے لکھنے کا وقت کسی فعال واقعے کے دوران نہیں ہوتا ہے۔

---

ویب ایپلیکیشن حملے

ایس کیو ایل انجیکشن، کراس سائٹ اسکرپٹنگ (XSS)، سرور سائیڈ ریکویسٹ جعل سازی (SSRF)، اور دیگر ویب ایپلیکیشن کی کمزوریاں حملہ آوروں کو ڈیٹا بیس تک رسائی، کسٹمر ڈیٹا چوری کرنے، قیمتوں میں ترمیم کرنے، یا ادائیگیوں کو ری ڈائریکٹ کرنے کی اجازت دیتی ہیں۔

سپلائی چین حملے (Magecart)

حملہ آور چیک آؤٹ پیجز (ادائیگی کے پروسیسرز، اینالیٹکس، چیٹ ویجٹ، A/B ٹیسٹنگ ٹولز) پر بھری ہوئی تیسری پارٹی کی جاوا اسکرپٹ لائبریریوں سے سمجھوتہ کرتے ہیں۔ سمجھوتہ شدہ اسکرپٹ ادائیگی کارڈ کے ڈیٹا کو پکڑ لیتا ہے جب گاہک اس میں داخل ہوتے ہیں اور اسے حملہ آور کے زیر کنٹرول سرورز کو بھیج دیتے ہیں۔ یہ حملے خاص طور پر مکروہ ہیں کیونکہ مرچنٹ کے اپنے کوڈ سے سمجھوتہ نہیں کیا گیا ہے — حملہ ایک قابل اعتماد تیسرے فریق کے ذریعے ہوتا ہے۔

بوٹ اٹیک

خودکار بوٹس مختلف حملوں کو انجام دیتے ہیں: کریڈینشل اسٹفنگ (چوری شدہ پاس ورڈز کی جانچ)، قیمت سکریپنگ (مسابقتی آپ کی قیمتوں کی نگرانی کر رہے ہیں)، انوینٹری ہورڈنگ (بوٹس دوبارہ فروخت کے لیے محدود اشیاء خرید رہے ہیں)، انوینٹری سے انکار (آئٹمز کو خریدے بغیر کارٹ میں شامل کرنا تاکہ انہیں اسٹاک سے باہر ظاہر کیا جا سکے)، اور گفٹ کارڈ نمبر چیک کرنے کے لیے گفٹ کارڈ نمبر چیک کرنا۔

رینسم ویئر

ای کامرس کے لیے مخصوص ہدف سازی کے لیے کم عام ہونے کے باوجود، رینسم ویئر کے حملے جو کاروباری نظام کو خفیہ کرتے ہیں (ERP، انوینٹری مینجمنٹ، آرڈر پروسیسنگ) دنوں یا ہفتوں کے لیے ای کامرس کی کارروائیوں کو بند کر سکتے ہیں۔ 2025 میں رینسم ویئر کی اوسط ادائیگی 1.54 ملین ڈالر تھی، جس میں مجموعی بحالی کی لاگت اوسطاً 4.5 ملین ڈالر تھی۔

---

PCI DSS 4.0: ای کامرس کے کاروبار کو کیا جاننا چاہیے۔

پیمنٹ کارڈ انڈسٹری ڈیٹا سیکیورٹی اسٹینڈرڈ ورژن 4.0 31 مارچ 2025 کو مکمل طور پر قابل نفاذ ہو گیا۔ تمام کاروبار جو ادائیگی کارڈز قبول کرتے ہیں اس کی تعمیل کرنا ضروری ہے۔ ای کامرس کو متاثر کرنے والی کلیدی نئی ضروریات:

ضرورت 6.4.3: اسکرپٹ انٹیگریٹی مانیٹرنگ

ادائیگی کے صفحات پر عمل کرنے والے تمام JavaScript کو چھیڑ چھاڑ کے لیے انوینٹری، مجاز، اور نگرانی کی جانی چاہیے۔ یہ براہ راست Magecart طرز کی سپلائی چین حملوں سے خطاب کرتا ہے۔

کیا لاگو کرنا ہے:

• چیک آؤٹ اور ادائیگی کے صفحات پر بھری ہوئی تمام اسکرپٹ کی انوینٹری
• مواد کی حفاظت کی پالیسی (CSP) ہیڈر کو نافذ کریں جو مجاز اسکرپٹ کے ذرائع کو وائٹ لسٹ کرتے ہیں۔
• تمام بیرونی اسکرپٹس کے لیے سبری سورس انٹیگریٹی (SRI) ہیشز کو تعینات کریں۔
• PerimeterX، Jscrambler، یا Source Defence جیسے ٹولز کا استعمال کرتے ہوئے غیر مجاز اسکرپٹ کی تبدیلیوں کی نگرانی کریں۔

ضرورت 8.3.6: ملٹی فیکٹر توثیق (MFA)

کارڈ ہولڈر ڈیٹا انوائرمنٹ (CDE) تک تمام رسائی کے لیے MFA درکار ہے، بشمول:

• ای کامرس پلیٹ فارم تک ایڈمن پینل تک رسائی
• ڈیٹا بیس تک رسائی جہاں ادائیگی کا ڈیٹا محفوظ ہے۔
• ادائیگی کی پروسیسنگ کنفیگریشنز تک رسائی
• CDE میں کسی بھی سسٹم تک ریموٹ رسائی

عمل درآمد: TOTP (وقت پر مبنی ون ٹائم پاس ورڈ) ایپس جیسے Google Authenticator یا ہارڈویئر سیکیورٹی کیز (YubiKey) استعمال کریں۔ SIM تبدیل کرنے کی کمزوریوں کی وجہ سے SMS پر مبنی MFA کی حوصلہ شکنی کی جاتی ہے۔

ضرورت 11.3.1: اندرونی کمزوری اسکیننگ

سہ ماہی اندرونی کمزوری اسکین اب درکار ہیں (پہلے، اندرونی اسکین ایک بہترین عمل تھا لیکن لازمی نہیں تھا)۔ اس میں شامل ہیں:

• CDE میں تمام سسٹمز کی خودکار کمزوری اسکیننگ
• اسکین نتائج کا جائزہ لیا گیا اور کمزوریوں کو شدت کے لحاظ سے ترجیح دی گئی۔
• متعین ٹائم لائنز کے اندر اہم اور زیادہ شدت کے خطرات کا تدارک
• تدارک کی تصدیق کرنے کے لیے دوبارہ اسکینز

تقاضہ 12.3.1: ٹارگٹڈ رسک اینالیسس

ہر PCI DSS کی ضرورت کو دستاویزی خطرے کے تجزیے کے ذریعے سپورٹ کیا جانا چاہیے جو سیکیورٹی کنٹرولز کی فریکوئنسی اور دائرہ کار کا تعین کرتا ہے۔ یہ خطرے پر مبنی حفاظتی فیصلوں کے ساتھ ایک سائز کے فٹ ہونے والے تمام نقطہ نظر کی جگہ لے لیتا ہے۔

تعمیل کی سطحیں۔

زیادہ تر ای کامرس کاروباروں کے لیے: میزبان ادائیگی والے فیلڈز کے ساتھ PCI کے مطابق ادائیگی پروسیسر (سٹرائپ، ایڈین، برینٹری) کا استعمال کرنے کا مطلب ہے کہ کارڈ ڈیٹا کبھی بھی آپ کے سرورز کو نہیں چھوتا، آپ کے PCI کے دائرہ کار کو SAQ A (سادہ ترین سطح) تک کم کر دیتا ہے۔ یہ تجویز کردہ طریقہ ہے — ادائیگی کے پروسیسر کو کارڈ ڈیٹا سیکیورٹی کو سنبھالنے دیں۔

---

ویب ایپلیکیشن فائر وال (WAF) کا نفاذ

ایک WAF آپ کی ویب سائٹ اور انٹرنیٹ کے درمیان بیٹھتا ہے، ہر HTTP درخواست کا معائنہ کرتا ہے اور ان کو بلاک کرتا ہے جو حملے کے معروف نمونوں سے میل کھاتا ہے۔ 2026 میں، WAF کے بغیر ای کامرس سائٹ چلانا آپ کے سامنے کے دروازے کو کھلا چھوڑنے کے مترادف ہے۔

WAF کے اختیارات

Cloudflare WAF — سب سے زیادہ وسیع پیمانے پر تعینات WAF، جو Cloudflare کے CDN اور DDoS تحفظ کے ساتھ مربوط ہے۔ پرو پلان ($20/مہینہ) میں WAF شامل ہے جس میں منظم قوانین ہیں۔ کاروبار ($200/مہینہ) حسب ضرورت قواعد اور جدید بوٹ مینجمنٹ کا اضافہ کرتا ہے۔

AWS WAF — AWS سروسز (کلاؤڈ فرنٹ، ALB، API گیٹ وے) کے ساتھ گہرائی سے مربوط۔ ادائیگی فی استعمال قیمت (~$5/ماہ فی ویب ACL + $1 فی ملین درخواستیں)۔ Cloudflare سے زیادہ کنفیگریشن کی ضرورت ہے لیکن زیادہ حسب ضرورت پیش کرتا ہے۔

Sucuri WAF — ورڈپریس اور چھوٹے سے درمیانے ای کامرس (WooCommerce، Magento) پر مرکوز ہے۔ قیمت $199/سال سے شروع ہوتی ہے۔ میلویئر کی صفائی اور نگرانی پر مشتمل ہے۔

Imperva/Incapsula — اعلی درجے کی بوٹ تخفیف، API تحفظ، اور DDoS دفاع کے ساتھ انٹرپرائز گریڈ WAF۔ چھوٹی سائٹس کے لیے قیمت ~$50/ماہ سے شروع ہوتی ہے۔

ای کامرس کے لیے WAF کے ضروری اصول

1. OWASP کور رول سیٹ (CRS) — ایس کیو ایل انجیکشن، XSS، کمانڈ انجیکشن، پاتھ ٹراورسل، اور دیگر عام ویب حملوں کو روکتا ہے۔ اسے اپنی بنیادی لائن کے طور پر فعال کریں۔
2. ریٹ محدود کرنا — بریٹ فورس اور اسناد کی بھرائی کو روکنے کے لیے فی منٹ فی IP درخواستوں کو محدود کریں۔ تجویز کردہ: عام صفحات کے لیے 100 درخواستیں/ منٹ، لاگ ان اور چیک آؤٹ کے لیے 10 درخواستیں/ منٹ
3. جیو بلاکنگ — اگر آپ صرف مخصوص ممالک کو فروخت کرتے ہیں تو ان ممالک سے ٹریفک بلاک کریں جہاں آپ کے کوئی گاہک نہیں ہیں۔ یہ خودکار حملوں کی ایک بڑی فیصد کو ختم کرتا ہے۔
4. بوٹ مینجمنٹ — مشتبہ بوٹس کو جاوا اسکرپٹ کے چیلنجز کے ساتھ چیلنج کریں نہ کہ کیپچا (جس سے جائز صارفین نفرت کرتے ہیں)۔ منظم بوٹ کا پتہ لگانے کی خدمات رویے کے تجزیہ (ماؤس کی حرکت، ٹائپنگ پیٹرن، نیویگیشن پیٹرن) کے ذریعے بوٹس کی شناخت کرتی ہیں
5. کاروباری منطق کے لیے حسب ضرورت اصول — اپنے کاروبار کے لیے مخصوص غیر معمولی نمونوں کو مسدود کریں (مثال کے طور پر، ایک ہی IP سے 10 منٹ میں ادائیگی کی 5 سے زیادہ ناکام کوششیں، کارٹ میں 50 سے زیادہ آئٹمز شامل کرنا، 100 سے زیادہ پروڈکٹ پیجز فی منٹ تک رسائی حاصل کرنا)

---

بوٹ پروٹیکشن اور کریڈینشل اسٹفنگ ڈیفنس

بوٹ کا مسئلہ

خودکار بوٹ ٹریفک ای کامرس ویب سائٹ ٹریفک کے 40-50% کی نمائندگی کرتا ہے۔ تمام بوٹس بدنیتی پر مبنی نہیں ہیں — گوگل کا کرالر، قیمت کا موازنہ کرنے والے انجن، اور نگرانی کی خدمات جائز ہیں۔ But malicious bots cause real financial harm:

• کریڈینشل اسٹفنگ: اپنے لاگ ان پیج پر چوری شدہ صارف نام/ پاس ورڈ کے امتزاج کی جانچ کرنا
• کارڈ کی جانچ: چوری شدہ کارڈ نمبروں کی فہرستوں کے ساتھ چھوٹے لین دین کی کوشش کرنا
• انوینٹری ہورڈنگ: دوبارہ فروخت کے لیے محدود اشیاء کی خریداری (اسنیکر بوٹس، ٹکٹ بوٹس)
• قیمتوں کو ختم کرنا: حریف آپ کی قیمتوں کو کم کرنے کے لیے اصل وقت میں نگرانی کر رہے ہیں
• انوینٹری سے انکار: اشیاء کو کارٹ میں شامل کرنا تاکہ وہ حقیقی صارفین کے لیے اسٹاک سے باہر دکھائی دیں۔

دفاعی پرتیں۔

پرت 1: شرح کو محدود کرنا — سب سے آسان اور موثر پہلا دفاع۔ لاگ ان کوششوں کو 5 فی منٹ فی IP تک محدود کریں۔ چیک آؤٹ کی کوششوں کو 3 فی منٹ فی IP تک محدود کریں۔ API کالز کو 60 فی منٹ فی API کلید تک محدود کریں۔

پرت 2: ڈیوائس فنگر پرنٹنگ — براؤزر کی خصوصیات (اسکرین ریزولوشن، انسٹال کردہ فونٹس، WebGL رینڈرر، ٹائم زون، زبان کی ترتیبات) کی بنیاد پر منفرد آلات کی شناخت کریں۔ بغیر ہیڈ لیس براؤزرز یا خودکار فریم ورک استعمال کرنے والے بوٹس کے فنگر پرنٹس الگ الگ ہوتے ہیں۔

پرت 3: طرز عمل کا تجزیہ — حقیقی انسان خصوصیت کے نمونوں کی نمائش کرتے ہیں: ماؤس کی حرکت کے منحنی خطوط، متغیر ٹائپنگ کی رفتار، اسکرول سلوک، صفحات کے درمیان وقت۔ بوٹس میں یا تو ان سگنلز کی کمی ہے یا انہیں مشتبہ یکسانیت کے ساتھ پیدا کرتے ہیں۔

پرت 4: چیلنج میکانزم — جب کوئی درخواست مشکوک ہو لیکن یقینی طور پر بدنیتی پر مبنی نہ ہو، تو ایک چیلنج پیش کریں۔ غیر مرئی جاوا اسکرپٹ چیلنجز (صارف کے تعامل کی ضرورت نہیں) بنیادی بوٹس کو پکڑتے ہیں۔ کیپچا یا انٹرایکٹو چیلنجز زیادہ نفیس آٹومیشن حاصل کرتے ہیں لیکن جائز صارفین کے لیے رگڑ پیدا کرتے ہیں۔

پرت 5: مشین لرننگ بے ضابطگی کا پتہ لگانا — اپنے معمول کے ٹریفک کے نمونوں پر ٹرین ماڈلز اور اعدادوشمار کے لحاظ سے غیر معمولی رویے پر جھنڈا لگائیں: غیر معمولی جغرافیائی نمونے، دن کے وقت کی بے ضابطگیاں، ایسی ترتیب کی درخواست کریں جن کی پیروی کوئی انسان نہیں کرے گا۔

اسناد بھرنے کے مخصوص دفاع

• ** پاس ورڈ کی خلاف ورزی کا پتہ لگانا**: معلوم خلاف ورزی کے ڈیٹا بیس کے خلاف لاگ ان کی اسناد چیک کریں (کیا میں نے API کو Pwned کیا ہے)۔ اگر کسی صارف کا پاس ورڈ خلاف ورزی میں ظاہر ہوتا ہے، تو پاس ورڈ دوبارہ ترتیب دینے پر مجبور کریں۔
• اضافے کے ساتھ اکاؤنٹ لاک آؤٹ: 5 ناکام کوششوں کے بعد اکاؤنٹ کو لاک کریں۔ غیر مقفل کرنے کے لیے ای میل کی توثیق درکار ہے۔ اکاؤنٹ کے مالک کو ناکام کوششوں سے آگاہ کریں۔
• لاگ ان بے ضابطگی کا پتہ لگانا: نئے آلات، غیر معمولی مقامات، یا غیر معمولی اوقات سے لاگ ان پر جھنڈا لگائیں۔ ہائی رسک لاگ ان کے لیے مرحلہ وار تصدیق (ای میل کی توثیق یا MFA) کی ضرورت ہے
• بغیر پاس ورڈ تصدیق: پاس ورڈ کو مکمل طور پر ختم کرنے کے لیے جادوئی لنکس، پاس کیز، یا سوشل لاگ ان پیش کریں۔ کوئی پاس ورڈ کا مطلب ہے کہ کوئی اسناد بھرنے کا ہدف نہیں۔

---

ادائیگی کی دھوکہ دہی کی روک تھام

سرور سائیڈ فراڈ سگنلز

اپنے ادائیگی کے پروسیسر پر لین دین جمع کرانے سے پہلے، فراڈ سگنلز کا جائزہ لیں سرور سائیڈ:

ادائیگی کے پروسیسر فراڈ ٹولز

سٹرائپ ریڈار — مشین لرننگ فراڈ کا پتہ لگانا پٹی میں بنایا گیا ہے۔ فی لین دین 500+ سگنلز کا اندازہ کرتا ہے۔ پٹی پروسیسنگ کے ساتھ مفت شامل ہے۔ فراڈ ٹیموں کے لیے ریڈار ($0.07/اسکرین شدہ لین دین) حسب ضرورت قواعد اور دستی جائزہ کی قطاریں شامل کرتا ہے۔

Adyen RevenueProtect — ڈیوائس فنگر پرنٹنگ، رفتار کی جانچ، حسب ضرورت خطرے کے اصول، اور مشین لرننگ اسکورنگ کے ساتھ ملٹی لیئرڈ فراڈ کی روک تھام۔ ایڈین پروسیسنگ کے ساتھ شامل ہے۔

سگنیفائیڈ — اسٹینڈ لون فراڈ پروٹیکشن جو ایک گارنٹی شدہ فراڈ پروٹیکشن ماڈل فراہم کرتا ہے — اگر وہ کسی لین دین کو منظور کرتے ہیں اور یہ دھوکہ دہی ثابت ہوتا ہے، تو وہ چارج بیک کا احاطہ کرتے ہیں۔ قیمتوں کا تعین محفوظ ٹرانزیکشن ویلیو کے 0.5-0.7% سے شروع ہوتا ہے۔

3D Secure 2.0 (3DS2)

3D Secure آن لائن لین دین میں کارڈ ہولڈر کی تصدیق کا اضافہ کرتا ہے۔ 3DS2 (موجودہ ورژن) کم خطرے والے لین دین کے لیے بغیر رگڑ کے تصدیقی بہاؤ اور زیادہ خطرہ والے لین دین کے لیے چیلنج کا بہاؤ (OTP یا بائیو میٹرک) فراہم کرتا ہے۔

فوائد:

• ذمہ داری کی تبدیلی: اگر آپ 3DS استعمال کرتے ہیں اور لین دین دھوکہ دہی پر مبنی ہے، تو کارڈ جاری کرنے والا نقصان برداشت کرے گا، آپ کو نہیں۔
• اعلی منظوری کی شرح: 3DS2 کی خطرے پر مبنی توثیق صرف مشکوک لین دین کو چیلنج کرتی ہے (بمقابلہ 3DS1 جس نے سب کو چیلنج کیا)
• مضبوط گاہک کی تصدیق (SCA) کی تعمیل: یورپی لین دین کے لیے PSD2 کے ذریعے درکار

عمل درآمد: زیادہ تر ادائیگی کے پروسیسرز (سٹرائپ، ایڈین، برینٹری) اپنے SDKs کے ذریعے 3DS2 انضمام کو ہینڈل کرتے ہیں۔ کنفیگریشن اس بات کا تعین کرتی ہے کہ کون سی لین دین 3DS کو متحرک کرتی ہے (تجویز کردہ: تمام لین دین $50 سے زیادہ، تمام نئے صارفین، تمام بین الاقوامی آرڈرز)۔

---

سیکیورٹی ہیڈرز: فوری جیت

HTTP سیکورٹی ہیڈر رسپانس ہیڈرز ہیں جو براؤزر کو حفاظتی خصوصیات کو فعال کرنے کی ہدایت کرتے ہیں۔ وہ حملوں کی پوری اقسام کو لاگو کرنے اور روکنے میں منٹ لگتے ہیں۔

ضروری ہیڈرز

مواد-سیکیورٹی-پالیسی (CSP) — کنٹرول کرتا ہے کہ کون سے وسائل (اسکرپٹ، سٹائل، تصاویر، فونٹس) آپ کے صفحات پر لوڈ ہو سکتے ہیں۔ Prevents XSS attacks by blocking unauthorized script execution.

Content-Security-Policy: default-src 'self'; script-src 'self' https://js.stripe.com https://www.googletagmanager.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' https://fonts.gstatic.com; connect-src 'self' https://api.stripe.com;

Strict-Transport-Security (HSTS) — براؤزر کو مستقبل کے تمام دوروں کے لیے HTTPS استعمال کرنے پر مجبور کرتا ہے۔ SSL اتارنے والے حملوں کو روکتا ہے۔

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

X-Frame-Options — آپ کے صفحات کو دوسری سائٹوں پر iframes میں سرایت کرنے سے روکتا ہے۔ کلک جیکنگ حملوں کو روکتا ہے۔

X-Frame-Options: DENY

X-Content-Type-options — براؤزرز کو MIME-قسم کے سنفنگ سے روکتا ہے، جس کا استعمال اسکرپٹ کو دیگر مواد کی اقسام کے بھیس میں کرنے کے لیے کیا جا سکتا ہے۔

X-Content-Type-Options: nosniff

ریفرر پالیسی — یہ کنٹرول کرتی ہے کہ آپ کی سائٹ سے دور جانے پر ریفرر کی کتنی معلومات شامل کی جاتی ہیں۔ حساس URL پیرامیٹرز کو لیک ہونے سے روکتا ہے۔

Referrer-Policy: strict-origin-when-cross-origin

اجازتیں-پالیسی — آپ کی سائٹ براؤزر کی کون سی خصوصیات (کیمرہ، مائیکروفون، جغرافیائی محل وقوع، ادائیگی) استعمال کر سکتی ہے اس پر پابندی لگاتی ہے۔ حملے کی سطح کو محدود کرتا ہے۔

Permissions-Policy: camera=(), microphone=(), geolocation=()

نفاذ

Nginx کے لیے (پروڈکشن ای کامرس کے لیے سب سے عام):

add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://js.stripe.com;" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Frame-Options "DENY" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Cloudflare کے لیے: SSL/TLS > Edge Certificates (HSTS) اور Rules > Transform Rules (دیگر ہیڈرز) کے تحت ڈیش بورڈ میں کنفیگر کریں۔

securityheaders.com پر اپنے ہیڈرز کی توثیق کریں — A+ درجہ بندی کا مقصد۔

---

SSL/TLS کنفیگریشن

SSL/TLS انکرپشن ای کامرس کے لیے ٹیبل اسٹیک ہے — براؤزر غیر HTTPS سائٹس کے لیے حفاظتی انتباہات دکھاتے ہیں، اور Google HTTPS کو درجہ بندی کے سگنل کے طور پر استعمال کرتا ہے۔ لیکن مناسب TLS کنفیگریشن صرف سرٹیفکیٹ رکھنے سے بالاتر ہے۔

سرٹیفکیٹ کا انتظام

• قابل اعتماد CAs سے سرٹیفکیٹ استعمال کریں (آئیے انکرپٹ مفت اور وسیع پیمانے پر تعاون یافتہ ہے)
• خودکار تجدید کو فعال کریں (سرٹ بوٹ اسے لیٹس انکرپٹ کے لیے ہینڈل کرتا ہے)
• انتظام کو آسان بنانے کے لیے ذیلی ڈومینز (*.yourdomain.com) کے لیے وائلڈ کارڈ سرٹیفکیٹ استعمال کریں
• الرٹ کے ساتھ سرٹیفکیٹ کی میعاد ختم ہونے کی نگرانی کریں (غیر متوقع میعاد ختم ہونے سے سائٹ کی بندش ہوتی ہے)

TLS کنفیگریشن کے بہترین طریقے

• کم از کم TLS 1.2 — TLS 1.0 اور 1.1 کو غیر فعال کریں (فرسودہ، معلوم کمزوریاں)
• TLS 1.3 کو ترجیح دیں — تیز تر مصافحہ، مضبوط انکرپشن، پہلے سے طے شدہ رازداری کو آگے بڑھانا
• مضبوط سائفر سویٹس — ECDHE کلیدی تبادلہ اور AES-GCM خفیہ کاری کو ترجیح دیں
• OCSP اسٹیپلنگ — سرٹیفکیٹ کی توثیق میں تاخیر کو کم کرتا ہے۔
• سرٹیفکیٹ کی شفافیت — اپنے ڈومین کے لیے غیر مجاز سرٹیفکیٹ کے اجراء کے لیے CT لاگز کی نگرانی کریں

اپنی TLS کنفیگریشن کو SSL Labs پر آزمائیں — A+ درجہ بندی کا مقصد۔

---

واقعہ رسپانس پلان

ہر ای کامرس کاروبار کو خلاف ورزی ہونے سے پہلے ایک دستاویزی واقعے کے جوابی منصوبے کی ضرورت ہوتی ہے۔ منصوبہ کو احاطہ کرنا چاہئے:

کھوج

• مانیٹرنگ: ایپلیکیشن پرفارمنس مانیٹرنگ (APM)، WAF الرٹس، پیمنٹ پروسیسر کی بے ضابطگی الرٹس، کسٹمر کی شکایات
• سمجھوتہ کے اشارے: ٹریفک کے غیر معمولی نمونے، منتظم کی غیر متوقع رسائی، ترمیم شدہ فائلیں، ڈیٹا اکٹھا کرنے کی کوششیں، غیر مجاز خریداریوں کی کسٹمر رپورٹس

کنٹینمنٹ

1. متاثرہ سسٹمز کو الگ کریں (انہیں آف لائن لے جائیں یا نیٹ ورک تک رسائی کو بلاک کریں)
2. تبدیلیاں کرنے سے پہلے ثبوت (ڈسک امیجز، لاگ ایکسپورٹ) کو محفوظ رکھیں
3. معلوم حملہ آور IP پتوں اور سمجھوتہ شدہ اسناد کو مسدود کریں۔
4. ان تمام پاس ورڈز اور API کیز کو گھمائیں جو ظاہر ہو چکے ہیں۔

مواصلات

• اندرونی: سیکیورٹی ٹیم، ایگزیکٹو لیڈرشپ، قانونی مشیر کو 1 گھنٹے کے اندر مطلع کریں۔
• پیمنٹ پروسیسر: اگر ادائیگی کے ڈیٹا سے سمجھوتہ کیا جا سکتا ہے تو 24 گھنٹوں کے اندر مطلع کریں۔
• قانون کا نفاذ: FBI IC3 (US)، ایکشن فراڈ (UK) یا مقامی سائبر کرائم یونٹ کو رپورٹ کریں
• ریگولیٹرز: GDPR کو 72 گھنٹوں کے اندر اطلاع درکار ہے۔ PCI DSS کو کارڈ برانڈز کو اطلاع درکار ہے۔
• صارفین: متاثرہ افراد کو واضح وضاحت کے ساتھ مطلع کریں کہ کیا ہوا، کون سا ڈیٹا سامنے آیا، اور انہیں کون سے حفاظتی اقدامات کرنے چاہئیں۔

بازیابی۔

1. خطرے کی بنیادی وجہ کی شناخت اور تدارک کریں۔
2. معروف اچھے بیک اپس سے سمجھوتہ شدہ سسٹمز کو دوبارہ بنائیں
3. تکرار کو روکنے کے لیے اضافی کنٹرول لاگو کریں۔
4. بہتر نگرانی کے ساتھ آپریشن دوبارہ شروع کریں۔
5. واقعے کے بعد کا جائزہ 2 ہفتوں کے اندر انجام دیں۔

ٹیسٹنگ

اپنی رسپانس ٹیم کے ساتھ کم از کم سالانہ ایک ٹیبل ٹاپ ورزش (نقلی خلاف ورزی کا منظرنامہ) چلائیں۔ پورے جوابی منصوبے پر عمل کریں اور کسی حقیقی واقعے کے سامنے آنے سے پہلے خلا کی نشاندہی کریں۔

---

سیکیورٹی آڈٹ چیک لسٹ

اپنی موجودہ ای کامرس سیکیورٹی پوزیشن کا اندازہ لگانے کے لیے اس چیک لسٹ کا استعمال کریں:

بنیادی ڈھانچہ:

• WAF کو OWASP CRS کے ساتھ تعینات اور ترتیب دیا گیا ہے۔
• DDoS تحفظ فعال (Cloudflare، AWS شیلڈ، یا مساوی)
• TLS 1.2+ نافذ، TLS 1.3 کو ترجیح دی گئی۔
• سیکیورٹی ہیڈر کنفیگر کیے گئے (CSP، HSTS، X-Frame-Options)
• سرور سافٹ ویئر کو سیکیورٹی پیچ کے 30 دنوں کے اندر اپ ڈیٹ کیا گیا۔

درخواست:

• تمام صارف کے جمع کردہ ڈیٹا پر ان پٹ کی توثیق
• XSS کو روکنے کے لیے آؤٹ پٹ انکوڈنگ
• پیرامیٹرائزڈ سوالات (SQL میں کوئی سٹرنگ کنکٹیشن نہیں)
• ریاست کو تبدیل کرنے والے تمام آپریشنز پر CSRF تحفظ
• فائل اپ لوڈ کی پابندیاں (قسم، سائز، مواد کی توثیق)

توثیق:

• MFA تمام ایڈمن اکاؤنٹس کے لیے فعال ہے۔
• لاگ ان کی ناکام کوششوں کے بعد اکاؤنٹ لاک آؤٹ
• خلاف ورزی شدہ پاس ورڈ کا پتہ لگانا
• سیشن کا انتظام (محفوظ کوکیز، مناسب میعاد ختم ہونے، پاس ورڈ کی تبدیلی پر سیشن کی غلط کاری)

ادائیگی:

• PCI DSS 4.0 تعمیل کی تصدیق ہو گئی۔
• ادائیگی کا ڈیٹا PCI کے مطابق پروسیسر کے ذریعے سنبھالا جاتا ہے (آپ کے سرورز پر کبھی ذخیرہ نہیں کیا جاتا ہے)
• 3D سیکیور قابل اطلاق لین دین کے لیے فعال ہے۔
• تمام لین دین پر فراڈ اسکورنگ

مانیٹرنگ:

• درخواست کے نوشتہ جات کو جمع اور تجزیہ کیا گیا۔
• غیر معمولی رویے کے لیے ترتیب کردہ سیکیورٹی الرٹس
• سہ ماہی کمزوری اسکیننگ (کم سے کم)
• سالانہ دخول کی جانچ

---

اکثر پوچھے گئے سوالات

ای کامرس کے لیے واحد سب سے اہم حفاظتی اقدام کیا ہے؟

ہوسٹڈ پیمنٹ فیلڈز (سٹرائپ ایلیمینٹس، ایڈین ڈراپ ان، برینٹری ہوسٹڈ فیلڈز) کے ساتھ پی سی آئی کے مطابق ادائیگی پروسیسر کا استعمال کرنا تاکہ ادائیگی کارڈ کا ڈیٹا آپ کے سرورز کو کبھی نہ چھوئے۔ یہ سب سے زیادہ اثر والے خطرے کو ختم کرتا ہے — کارڈ ڈیٹا کی خلاف ورزی — اور ڈرامائی طور پر PCI کی تعمیل کو آسان بناتا ہے۔

ایک ای کامرس کاروبار کو سیکیورٹی پر کتنا خرچ کرنا چاہیے؟

انڈسٹری کا بینچ مارک سیکیورٹی کے لیے مختص کردہ IT بجٹ کا 5-10% ہے۔ درمیانے سائز کے ای کامرس کاروبار کے لیے، یہ عام طور پر $20,000-80,000 سالانہ کا ترجمہ کرتا ہے جس میں WAF، مانیٹرنگ ٹولز، کمزوری کی اسکیننگ، دخول کی جانچ، اور عملے کی تربیت کا احاطہ کیا جاتا ہے۔ خلاف ورزی کی لاگت ($3.86M اوسط) اس سرمایہ کاری کو مقابلے کے لحاظ سے معمولی بناتی ہے۔

اگر میں اسٹرائپ استعمال کرتا ہوں تو کیا مجھے PCI DSS کی تعمیل کی ضرورت ہے؟

ہاں، لیکن آسان ترین سطح پر۔ اسٹرائپ کے میزبان ادائیگی والے فیلڈز کو استعمال کرنے کا مطلب ہے کہ آپ SAQ A (سیلف اسسمنٹ سوالنامہ A) کے لیے اہل ہیں، جس کی ضروریات بہت کم ہیں۔ آپ اب بھی اپنی ویب سائٹ، ایڈمن تک رسائی، اور میزبانی کے ماحول کو محفوظ بنانے کے ذمہ دار ہیں — پٹی صرف PCI کی تعمیل کے کارڈ ڈیٹا والے حصے کو ہینڈل کرتی ہے۔

میں Magecart حملوں سے کیسے بچ سکتا ہوں؟

مواد کی حفاظتی پالیسی کے ہیڈرز کو لاگو کریں جو صرف مجاز اسکرپٹ ذرائع کو وائٹ لسٹ کرتے ہیں۔ تمام بیرونی اسکرپٹس پر Subresource Integrity (SRI) ہیش استعمال کریں۔ غیر مجاز DOM ترمیم کے لیے اپنے چیک آؤٹ صفحہ کی نگرانی کریں۔ ادائیگی کے صفحات پر تیسرے فریق کے اسکرپٹ کو بالکل کم سے کم رکھیں۔ PerimeterX Code Defender جیسی خصوصی اسکرپٹ پروٹیکشن سروس استعمال کرنے پر غور کریں۔

کیا Cloudflare WAF ای کامرس سیکیورٹی کے لیے کافی ہے؟

Cloudflare WAF ایک بہترین فاؤنڈیشن ہے جو 60-80% خودکار حملوں کا احاطہ کرتی ہے۔ جامع سیکیورٹی کے لیے، اس کو ایپلیکیشن لیول سیکیورٹی (ان پٹ کی توثیق، تصدیق کے کنٹرول، CSRF تحفظ)، ادائیگی کی دھوکہ دہی کا پتہ لگانے (سٹرائپ ریڈار)، اور خطرات کے باقاعدہ جائزوں کے ساتھ ضمیمہ کریں۔ WAF دفاع کی ایک تہہ ہے، مکمل حفاظتی حل نہیں۔

مجھے کتنی بار دخول کی جانچ کرنی چاہیے؟

سالانہ طور پر کم از کم، اور ایپلی کیشن میں کسی بھی اہم تبدیلی کے بعد (نئے چیک آؤٹ فلو، نئی ادائیگی کا انضمام، بڑا پلیٹ فارم اپ گریڈ)۔ PCI DSS کو سالانہ دخول کی جانچ کی ضرورت ہوتی ہے۔ ہائی رسک ای کامرس کے لیے (زیادہ لین دین کا حجم، ذخیرہ شدہ کسٹمر ڈیٹا)، سہ ماہی جانچ کی سفارش کی جاتی ہے۔

اگر مجھے ڈیٹا کی خلاف ورزی کا شبہ ہو تو مجھے فوری طور پر کیا کرنا چاہیے؟

1. اپنے واقعے کے جوابی منصوبے کو فعال کریں۔ 2) متاثرہ نظاموں کو الگ تھلگ کریں۔ 3) ثبوت کو محفوظ رکھیں (نوشتہ جات، ڈسک کی تصاویر)۔ 4) اپنے پیمنٹ پروسیسر کو 24 گھنٹوں کے اندر مطلع کریں۔ 5) فرانزک انویسٹی گیشن ٹیم کو شامل کریں (اگر کارڈ ڈیٹا شامل ہے تو PCI فرانزک انویسٹی گیٹر)۔ 6) جب تک دائرہ کار سمجھ نہ آجائے تب تک عوامی بیانات نہ دیں۔ 7) متاثرہ صارفین اور ریگولیٹرز کو مطلوبہ ٹائم لائنز کے اندر مطلع کریں۔

---

اپنے ای کامرس کاروبار کو محفوظ بنانا

سائبرسیکیوریٹی ایک وقتی منصوبہ نہیں ہے - یہ ایک جاری آپریشنل ڈسپلن ہے۔ خطرے کا منظر نامہ مسلسل تیار ہوتا ہے، اور آپ کے دفاع کو اس کے ساتھ تیار کرنا چاہیے۔ سب سے زیادہ اثر انداز ہونے والے اقدامات (ادائیگی پروسیسر سیکیورٹی، ڈبلیو اے ایف، سیکیورٹی ہیڈرز، ایم ایف اے) کے ساتھ شروع کریں، پھر جامع سیکیورٹی پروگراموں بشمول نگرانی، جانچ، اور واقعے کے ردعمل کی طرف تعمیر کریں۔

ECOSIRE محفوظ ای کامرس سلوشنز بناتا ہے حفاظتی فن تعمیر کے ساتھ جو فاؤنڈیشن میں ڈیزائن کیا گیا ہے — جسے بعد میں سوچا نہیں گیا ہے۔ Shopify security hardening سے لے کر Odoo ERP سیکیورٹی کنفیگریشن تک، ہماری ٹیم یقینی بناتی ہے کہ آپ کا ای کامرس انفراسٹرکچر ان سیکیورٹی معیارات پر پورا اترتا ہے جس کے آپ کے کاروبار اور آپ کے صارفین مستحق ہیں۔ ہم سے رابطہ کریں اپنے ای کامرس سیکیورٹی اسسمنٹ پر بات کرنے کے لیے۔