电子商务的 PCI-DSS 合规性：支付安全和令牌化

2025 年，全球卡支付欺诈损失超过 330 亿美元，其中电子商务占所有卡欺诈的 73%。支付卡行业数据安全标准 (PCI-DSS) 的存在就是为了解决这个问题，4.0 版（于 2025 年 3 月成为强制性标准）引入了许多电子商务企业仍在争相实施的重要新要求。

好消息：如果您使用 Shopify Payments 或 Stripe Checkout 等托管支付解决方案，您的 PCI 范围将大大缩小。坏消息：它永远不会为零。每个接受卡付款的电子商务企业都承担 PCI-DSS 义务，即使他们从未看到过卡号。

要点

• PCI-DSS v4.0 引入了针对所有持卡人数据访问的定制验证方法和强制 MFA
• 令牌化通过用不可逆令牌替换卡号来消除 80-90% 的 PCI 范围
• SAQ 选择决定您的合规负担 --- 选择正确的 SAQ 可以节省数月的工作
• 季度 ASV 扫描和年度渗透测试是不可协商的要求

---

PCI-DSS v4.0：发生了什么变化

PCI-DSS v4.0 于 2022 年发布，自 2025 年 3 月 31 日起完全强制执行，是十多年来对该标准最重要的更新。关键的变化影响着每一个电子商务企业。

v4.0 的主要变化

脚本管理要求

要求 6.4.3 对电子商务特别有影响：您必须维护支付页面上所有脚本的清单，并实施一种机制来检测未经授权的更改。这意味着：

• 结帐页面上加载的每个 JavaScript 文件都必须记录在案
• 内容安全策略 (CSP) 标头应限制脚本源
• 子资源完整性 (SRI) 哈希值应验证脚本内容
• 监控机制必须对未经授权的脚本更改发出警报

此要求直接针对 Magecart 式的窃取攻击，攻击者将恶意脚本注入支付页面以窃取卡数据。

---

了解标记化

令牌化是减少 PCI 范围最有影响力的技术。它将敏感卡数据替换为非敏感令牌，如果被破坏，该令牌就没有可利用的价值。

代币化的工作原理

1. 客户在支付提供商的托管表单上输入银行卡详细信息（切勿在您的服务器上）
2. 支付提供商创建代表该卡的令牌 3.您的系统仅存储令牌（例如，tok_1MqLkJLkdIwHu7ixUAuBjz5Y）
3. 对于后续费用，您将令牌发送给支付提供商
4. 提供商将令牌映射回实际的卡详细信息并处理付款

标记化与加密

主要平台的实施

Shopify： 令牌化完全由 Shopify Payments 处理。商户绝不会接触卡数据。 Shopify 的 1 级认证涵盖 PCI 合规性。您负责 SAQ-A。

Stripe： 使用 Stripe Elements 或 Stripe Checkout 确保卡数据直接进入 Stripe 的服务器。您的后端仅接收令牌。这使您有资格获得 SAQ-A 或 SAQ-A-EP，具体取决于实施情况。

与 Odoo 的自定义支付集成： 如果您在 Odoo 上构建自定义电子商务解决方案，请使用其托管字段或重定向方法与 PCI 兼容的支付网关（Stripe、Adyen、Authorize.net）集成。切勿在 Odoo 服务器上处理原始卡数据。

---

SAQ 选择指南

您必须完成的自我评估问卷 (SAQ) 取决于您处理卡数据的方式。选择正确的 SAQ——并设计您的支付流程以获得更简单的 SAQ——是您将做出的最重要的 PCI 决策。

SAQ 类型选择指南

决策流程

您是否将客户重定向到托管支付页面（Shopify Checkout、Stripe Checkout、PayPal）？ 如果是，请填写 SAQ-A。

您是否在页面上嵌入了支付提供商的表单（Stripe Elements、Braintree 托管字段）？ 如果是，请填写 SAQ-A-EP。您的页面托管表单，但卡数据直接发送至提供商。

卡数据是否曾经接触过您的服务器，即使是暂时的？ 如果是，SAQ-D。这是完整的评估，您应该强烈考虑重新架构以获得 SAQ-A 或 SAQ-A-EP 资格。

成本影响

使用托管支付表单而不是自行处理卡数据的架构决定每年可以节省 50,000 至 250,000 美元的合规成本。

---

3D Secure 2.0：责任转移和欺诈预防

3D Secure 2.0 (3DS2) 为在线卡交易添加了身份验证层。如果实施得当，它将欺诈责任从商家转移到发卡机构。

3DS2 的工作原理

1. 客户在您的网站上发起付款
2. 您的支付提供商将交易数据发送给发卡机构
3. 发行人的风险引擎对交易进行评估（设备指纹、交易历史、金额）
4. 无摩擦流程： 低风险交易以静默方式进行身份验证（无需客户操作）
5. 挑战流程： 高风险交易需要额外身份验证（生物识别、OTP、应用程序确认） 6.返回认证结果并处理支付

3DS2 的优点

• 责任转移： 欺诈责任转移至经过验证的交易的发卡银行
• 减少欺诈： 与未经身份验证的交易相比，3DS2 将欺诈率降低了 40-60%
• 更好的用户体验： 无摩擦身份验证意味着 85-95% 的交易不需要客户执行额外操作
• 监管合规性： PSD2 强客户身份验证 (SCA) 需要 3DS2 进行欧盟交易

实施注意事项

• 通过您的支付提供商启用 3DS2（Stripe、Adyen 和大多数提供商本身支持）
• 配置基于风险的身份验证阈值：将 3DS2 应用于高风险交易，同时豁免低价值或低风险交易
• 监控身份验证率：如果太多交易受到质疑，请检查您的风险信号
• 在上线前彻底测试无摩擦和挑战流程

---

漏洞扫描和渗透测试

PCI-DSS 要求对范围内的所有环境进行自动漏洞扫描（每季度）和手动渗透测试（每年）。

每季度 ASV 扫描

批准的扫描供应商 (ASV) 必须每季度执行一次外部漏洞扫描。要求：

• 扫描必须覆盖持卡人数据环境 (CDE) 中的所有面向外部的 IP 地址和域
• 在扫描通过之前，必须修复并重新扫描所有高严重性漏洞（CVSS 4.0+）
• 必须保留通过的扫描报告以供审核之用
• 常见 ASV：Qualys、Tenable、SecurityMetrics、Trustwave

年度渗透测试

要求 11.4 要求每年进行以下渗透测试：

• 网络分段控制（如果用于缩小范围）
• CDE的外围
• CDE内部系统
• 支付应用的应用层测试

v4.0 中的新增功能： 渗透测试现在必须明确验证分段控制是否正常工作以及 CDE 是否与网络的其余部分正确隔离。

持续监控

除了季度和年度测试之外，PCI-DSS v4.0 还强调持续监控：

• 对关键系统文件和支付页面脚本进行文件完整性监控（FIM）
• CDE 网络边界的入侵检测/预防系统 (IDS/IPS)
• 自动日志审查以进行异常检测（新的 v4.0 要求）
• 针对未经授权的访问尝试实时发出警报

---

构建符合 PCI 的电子商务架构

PCI 合规性的最有效方法是通过架构决策来最小化范围。

推荐架构

第 1 层：付款页面（最小范围）。 使用嵌入结账页面 iframe 中的托管付款字段（Stripe Elements、Adyen Drop-in）。卡数据直接从客户的浏览器流向支付提供商。您的服务器永远不会看到它。

第 2 层：应用程序服务器（超出范围）。 您的电子商务应用程序（Shopify、Odoo、自定义）处理订单管理、库存和客户数据。它仅通过令牌与支付提供商进行通信。

第 3 层：数据存储（超出卡数据范围）。 您的数据库存储订单详细信息、客户信息和支付令牌 --- 但绝不会存储卡号、CVV 或到期日期。

网络分段

如果您的基础设施的任何部分处理卡数据，网络分段至关重要：

• 将 CDE 隔离在单独的网段（VLAN、子网或 VPC）中
• 实施限制进出 CDE 的流量的防火墙规则
• 监控所有跨越分段边界的流量
• 渗透测试期间测试分段控制

有关超越 PCI-DSS 的全面合规性架构指南，请参阅我们的企业合规性手册。

---

常见问题

如果我只在 Shopify 上销售，是否需要 PCI 合规性？

是的，但你的范围很小。 Shopify 是 PCI-DSS 1 级认证的服务提供商，这意味着 Shopify 可以处理繁重的工作。但是，您仍然有责任每年完成 SAQ-A 并维护基本的安全实践：强密码、Shopify 管理员上的 MFA、不在 Shopify 之外存储卡数据以及对员工进行安全培训。

如果我的季度 ASV 扫描失败会怎样？

您有机会修复已识别的漏洞并请求重新扫描。扫描失败不会受到惩罚——只有在季度窗口内没有通过扫描的情况才会受到惩罚。但是，如果您始终未能扫描并且无法证明合规性，您的收单银行可能会增加您的处理费用，要求进行更严格的评估，或者在极端情况下，终止您的商家帐户。

法律是否要求遵守 PCI 规定？

PCI-DSS 不是政府法规，而是卡品牌（Visa、Mastercard、American Express、Discover、JCB）的合同要求。合规性是通过您与收单银行签订的商户协议来强制执行的。不合规可能会导致卡品牌处以罚款（每月 5,000 美元至 100,000 美元）、交易费用增加以及欺诈交易的责任。一些司法管辖区（内华达州、明尼苏达州、华盛顿州）已颁布纳入 PCI-DSS 要求的法律。

PCI-DSS 与 GDPR 有何关系？

PCI-DSS 和 GDPR 在访问控制、加密和事件响应等领域有重叠，但它们的侧重点不同。 PCI-DSS 专门保护支付卡数据，而 GDPR 则保护欧盟居民的所有个人数据。根据 GDPR，支付卡号也是个人数据，因此您需要同时遵守这两项数据。请参阅我们的数据隐私比较指南，了解有关不同法规如何相互作用的更多信息。

---

下一步是什么

对于任何接受卡支付的企业来说，PCI-DSS 合规性都不是可选的。好消息是，现代支付平台通过代表您处理卡数据处​​理中最敏感的方面，使事情变得更加容易。您的工作是选择正确的架构，完成适当的 SAQ，维护持续的安全实践，并随着标准的发展保持最新状态。

ECOSIRE 帮助电子商务企业从一开始就构建符合 PCI 的支付架构。我们的 Shopify 实施 利用 Shopify 的 1 级认证来实现最小 PCI 范围，而我们的 Odoo ERP 集成 使用标记化支付流程，使您的系统脱离 PCI 范围。 联系我们 进行支付安全评估。

---

由 ECOSIRE 发布 — 通过 Odoo ERP、Shopify 电子商务 和 OpenClaw AI 等人工智能驱动的解决方案帮助企业扩展规模。