2025 年，全球卡支付欺诈损失超过 330 亿美元，其中电子商务占所有卡欺诈的 73%。支付卡行业数据安全标准 (PCI-DSS) 的存在就是为了解决这个问题，4.0 版（于 2025 年 3 月成为强制性标准）引入了许多电子商务企业仍在争相实施的重要新要求。
属于我们的合规与监管系列
阅读完整指南2025 年，全球卡支付欺诈损失超过 330 亿美元，其中电子商务占所有卡欺诈的 73%。支付卡行业数据安全标准 (PCI-DSS) 的存在就是为了解决这个问题，4.0 版（于 2025 年 3 月成为强制性标准）引入了许多电子商务企业仍在争相实施的重要新要求。
好消息：如果您使用 Shopify Payments 或 Stripe Checkout 等托管支付解决方案，您的 PCI 范围将大大缩小。坏消息：它永远不会为零。每个接受卡付款的电子商务企业都承担 PCI-DSS 义务，即使他们从未看到过卡号。
要点
- PCI-DSS v4.0 引入了针对所有持卡人数据访问的定制验证方法和强制 MFA
- 令牌化通过用不可逆令牌替换卡号来消除 80-90% 的 PCI 范围
- SAQ 选择决定您的合规负担 --- 选择正确的 SAQ 可以节省数月的工作
- 季度 ASV 扫描和年度渗透测试是不可协商的要求
PCI-DSS v4.0：发生了什么变化
PCI-DSS v4.0 于 2022 年发布，自 2025 年 3 月 31 日起完全强制执行，是十多年来对该标准最重要的更新。关键的变化影响着每一个电子商务企业。
v4.0 的主要变化
| 改变 | 影响 | 截止日期 |
|---|---|---|
| 允许定制方法 | 公司可以设计满足目标的替代控制措施 | 现在活跃 |
| 针对性风险分析 | 某些控制的基于风险的频率（例如日志审查） | 现在活跃 |
| 增强认证 | 对 CDE 的所有访问（不仅仅是远程）都需要 MFA | 2025 年 3 月 |
| 自动日志审查 | 检测审计日志中异常的自动化机制 | 2025 年 3 月 |
| 脚本管理 | 支付页面脚本库存及完整性监控 | 2025 年 3 月 |
| 电商盗刷防范 | 检测支付页面未经授权的更改的机制 | 2025 年 3 月 |
| 有针对性的密码要求 | 最少 12 个字符（如果系统不支持 12 个字符，则为 8 个） | 2025 年 3 月 |
| 授权前对SAD进行加密 | 如果预身份验证存储敏感身份验证数据，则必须对其进行加密 | 2025 年 3 月 |
脚本管理要求
要求 6.4.3 对电子商务特别有影响：您必须维护支付页面上所有脚本的清单，并实施一种机制来检测未经授权的更改。这意味着：
- 结帐页面上加载的每个 JavaScript 文件都必须记录在案
- 内容安全策略 (CSP) 标头应限制脚本源
- 子资源完整性 (SRI) 哈希值应验证脚本内容
- 监控机制必须对未经授权的脚本更改发出警报
此要求直接针对 Magecart 式的窃取攻击，攻击者将恶意脚本注入支付页面以窃取卡数据。
了解标记化
令牌化是减少 PCI 范围最有影响力的技术。它将敏感卡数据替换为非敏感令牌，如果被破坏，该令牌就没有可利用的价值。
代币化的工作原理
- 客户在支付提供商的托管表单上输入银行卡详细信息（切勿在您的服务器上）
- 支付提供商创建代表该卡的令牌
3.您的系统仅存储令牌（例如，
tok_1MqLkJLkdIwHu7ixUAuBjz5Y） - 对于后续费用，您将令牌发送给支付提供商
- 提供商将令牌映射回实际的卡详细信息并处理付款
标记化与加密
| 方面 | 代币化 | 加密 |
|---|---|---|
| 可逆性 | 不可逆（令牌是随机的） | 用钥匙可反转 |
| PCI 范围 | 从范围中删除系统 | 系统仍在范围内 |
| 密钥管理 | 无需管理钥匙 | 需要密钥管理 |
| 性能 | 基于查找，快速 | 基于计算，稍慢 |
| 违规影响 | 令牌对攻击者来说毫无用处 | 如果密钥被泄露，加密数据就很有价值 |
主要平台的实施
Shopify： 令牌化完全由 Shopify Payments 处理。商户绝不会接触卡数据。 Shopify 的 1 级认证涵盖 PCI 合规性。您负责 SAQ-A。
Stripe： 使用 Stripe Elements 或 Stripe Checkout 确保卡数据直接进入 Stripe 的服务器。您的后端仅接收令牌。这使您有资格获得 SAQ-A 或 SAQ-A-EP，具体取决于实施情况。
与 Odoo 的自定义支付集成： 如果您在 Odoo 上构建自定义电子商务解决方案，请使用其托管字段或重定向方法与 PCI 兼容的支付网关（Stripe、Adyen、Authorize.net）集成。切勿在 Odoo 服务器上处理原始卡数据。
SAQ 选择指南
您必须完成的自我评估问卷 (SAQ) 取决于您处理卡数据的方式。选择正确的 SAQ——并设计您的支付流程以获得更简单的 SAQ——是您将做出的最重要的 PCI 决策。
SAQ 类型选择指南
| SAQ 类型 | 它适合谁 | 问题数量 | 要求 |
|---|---|---|---|
| SAQ-A | 完全外包（托管支付页面/iframe） | 〜25 | 卡数据永远不会接触您的系统 |
| SAQ-A-EP | 外包付款但您的网站控制页面 | 〜140 | 您域上的付款页面，数据直接发送至处理器 |
| SAQ-B | 仅限印记或独立终端 | 〜40 | 无电子持卡人数据存储 |
| SAQ-B-IP | 带 IP 连接的独立 PTS 终端 | 〜80 | 终端通过网络连接到处理器 |
| SAQ-C | 连接到互联网的支付应用程序 | 〜160 | 应用程序处理卡片但不存储数据 |
| SAQ-C-VT | 虚拟终端（手动按键输入，基于网络） | 〜80 | 一次一笔交易，无需电子存储 |
| SAQ-D | 其他人（存储、处理或传输） | 〜330 | 需要全面的 PCI 评估 |
决策流程
您是否将客户重定向到托管支付页面（Shopify Checkout、Stripe Checkout、PayPal）？ 如果是，请填写 SAQ-A。
您是否在页面上嵌入了支付提供商的表单（Stripe Elements、Braintree 托管字段）？ 如果是，请填写 SAQ-A-EP。您的页面托管表单，但卡数据直接发送至提供商。
卡数据是否曾经接触过您的服务器，即使是暂时的？ 如果是，SAQ-D。这是完整的评估，您应该强烈考虑重新架构以获得 SAQ-A 或 SAQ-A-EP 资格。
成本影响
| SAQ 类型 | 典型的年度合规成本 | 努力程度 |
|---|---|---|
| SAQ-A | 2,000 美元 - 5,000 美元 | 天 |
| SAQ-A-EP | 10,000 美元 - 30,000 美元 | 周 |
| SAQ-C | 20,000 美元 - 50,000 美元 | 几周到几个月 |
| SAQ-D | $50,000 - $300,000+ | 几个月 |
使用托管支付表单而不是自行处理卡数据的架构决定每年可以节省 50,000 至 250,000 美元的合规成本。
3D Secure 2.0：责任转移和欺诈预防
3D Secure 2.0 (3DS2) 为在线卡交易添加了身份验证层。如果实施得当，它将欺诈责任从商家转移到发卡机构。
3DS2 的工作原理
- 客户在您的网站上发起付款
- 您的支付提供商将交易数据发送给发卡机构
- 发行人的风险引擎对交易进行评估（设备指纹、交易历史、金额）
- 无摩擦流程： 低风险交易以静默方式进行身份验证（无需客户操作）
- 挑战流程： 高风险交易需要额外身份验证（生物识别、OTP、应用程序确认） 6.返回认证结果并处理支付
3DS2 的优点
- 责任转移： 欺诈责任转移至经过验证的交易的发卡银行
- 减少欺诈： 与未经身份验证的交易相比，3DS2 将欺诈率降低了 40-60%
- 更好的用户体验： 无摩擦身份验证意味着 85-95% 的交易不需要客户执行额外操作
- 监管合规性： PSD2 强客户身份验证 (SCA) 需要 3DS2 进行欧盟交易
实施注意事项
- 通过您的支付提供商启用 3DS2（Stripe、Adyen 和大多数提供商本身支持）
- 配置基于风险的身份验证阈值：将 3DS2 应用于高风险交易，同时豁免低价值或低风险交易
- 监控身份验证率：如果太多交易受到质疑，请检查您的风险信号
- 在上线前彻底测试无摩擦和挑战流程
漏洞扫描和渗透测试
PCI-DSS 要求对范围内的所有环境进行自动漏洞扫描（每季度）和手动渗透测试（每年）。
每季度 ASV 扫描
批准的扫描供应商 (ASV) 必须每季度执行一次外部漏洞扫描。要求：
- 扫描必须覆盖持卡人数据环境 (CDE) 中的所有面向外部的 IP 地址和域
- 在扫描通过之前，必须修复并重新扫描所有高严重性漏洞（CVSS 4.0+）
- 必须保留通过的扫描报告以供审核之用
- 常见 ASV：Qualys、Tenable、SecurityMetrics、Trustwave
年度渗透测试
要求 11.4 要求每年进行以下渗透测试：
- 网络分段控制（如果用于缩小范围）
- CDE的外围
- CDE内部系统
- 支付应用的应用层测试
v4.0 中的新增功能： 渗透测试现在必须明确验证分段控制是否正常工作以及 CDE 是否与网络的其余部分正确隔离。
持续监控
除了季度和年度测试之外，PCI-DSS v4.0 还强调持续监控：
- 对关键系统文件和支付页面脚本进行文件完整性监控（FIM）
- CDE 网络边界的入侵检测/预防系统 (IDS/IPS)
- 自动日志审查以进行异常检测（新的 v4.0 要求）
- 针对未经授权的访问尝试实时发出警报
构建符合 PCI 的电子商务架构
PCI 合规性的最有效方法是通过架构决策来最小化范围。
推荐架构
第 1 层：付款页面（最小范围）。 使用嵌入结账页面 iframe 中的托管付款字段（Stripe Elements、Adyen Drop-in）。卡数据直接从客户的浏览器流向支付提供商。您的服务器永远不会看到它。
第 2 层：应用程序服务器（超出范围）。 您的电子商务应用程序（Shopify、Odoo、自定义）处理订单管理、库存和客户数据。它仅通过令牌与支付提供商进行通信。
第 3 层：数据存储（超出卡数据范围）。 您的数据库存储订单详细信息、客户信息和支付令牌 --- 但绝不会存储卡号、CVV 或到期日期。
网络分段
如果您的基础设施的任何部分处理卡数据，网络分段至关重要：
- 将 CDE 隔离在单独的网段（VLAN、子网或 VPC）中
- 实施限制进出 CDE 的流量的防火墙规则
- 监控所有跨越分段边界的流量
- 渗透测试期间测试分段控制
有关超越 PCI-DSS 的全面合规性架构指南，请参阅我们的企业合规性手册。
常见问题
如果我只在 Shopify 上销售，是否需要 PCI 合规性？
是的，但你的范围很小。 Shopify 是 PCI-DSS 1 级认证的服务提供商，这意味着 Shopify 可以处理繁重的工作。但是，您仍然有责任每年完成 SAQ-A 并维护基本的安全实践：强密码、Shopify 管理员上的 MFA、不在 Shopify 之外存储卡数据以及对员工进行安全培训。
如果我的季度 ASV 扫描失败会怎样？
您有机会修复已识别的漏洞并请求重新扫描。扫描失败不会受到惩罚——只有在季度窗口内没有通过扫描的情况才会受到惩罚。但是，如果您始终未能扫描并且无法证明合规性，您的收单银行可能会增加您的处理费用，要求进行更严格的评估，或者在极端情况下，终止您的商家帐户。
法律是否要求遵守 PCI 规定？
PCI-DSS 不是政府法规，而是卡品牌（Visa、Mastercard、American Express、Discover、JCB）的合同要求。合规性是通过您与收单银行签订的商户协议来强制执行的。不合规可能会导致卡品牌处以罚款（每月 5,000 美元至 100,000 美元）、交易费用增加以及欺诈交易的责任。一些司法管辖区（内华达州、明尼苏达州、华盛顿州）已颁布纳入 PCI-DSS 要求的法律。
PCI-DSS 与 GDPR 有何关系？
PCI-DSS 和 GDPR 在访问控制、加密和事件响应等领域有重叠，但它们的侧重点不同。 PCI-DSS 专门保护支付卡数据，而 GDPR 则保护欧盟居民的所有个人数据。根据 GDPR，支付卡号也是个人数据，因此您需要同时遵守这两项数据。请参阅我们的数据隐私比较指南，了解有关不同法规如何相互作用的更多信息。
下一步是什么
对于任何接受卡支付的企业来说，PCI-DSS 合规性都不是可选的。好消息是，现代支付平台通过代表您处理卡数据处理中最敏感的方面，使事情变得更加容易。您的工作是选择正确的架构，完成适当的 SAQ，维护持续的安全实践，并随着标准的发展保持最新状态。
ECOSIRE 帮助电子商务企业从一开始就构建符合 PCI 的支付架构。我们的 Shopify 实施 利用 Shopify 的 1 级认证来实现最小 PCI 范围，而我们的 Odoo ERP 集成 使用标记化支付流程，使您的系统脱离 PCI 范围。 联系我们 进行支付安全评估。
由 ECOSIRE 发布 — 通过 Odoo ERP、Shopify 电子商务 和 OpenClaw AI 等人工智能驱动的解决方案帮助企业扩展规模。
作者
ECOSIRE Team技术写作
ECOSIRE 技术写作团队的内容涵盖 Odoo ERP、Shopify 电子商务、AI 智能体、Power BI 分析、GoHighLevel 自动化以及企业软件最佳实践。我们的指南帮助企业做出明智的技术决策。
相关文章
电子商务的人工智能内容生成：产品描述、SEO 等
利用 AI 扩展电子商务内容：产品描述、SEO 元标签、电子邮件副本和社交媒体。质量控制框架和品牌声音一致性指南。
人工智能驱动的动态定价：实时优化收入
实施人工智能动态定价，通过需求弹性模型、竞争对手监控和道德定价策略来优化收入。架构和投资回报率指南。
电子商务人工智能欺诈检测：在不阻止销售的情况下保护收入
实施 AI 欺诈检测，捕获 95% 以上的欺诈交易，同时将误报率控制在 2% 以下。机器学习评分、行为分析和投资回报率指南。
更多来自合规与监管
电子商务网络安全：2026 年保护您的业务
2026 年完整电子商务网络安全指南。PCI DSS 4.0、WAF 设置、机器人防护、支付欺诈预防、安全标头和事件响应。
化工行业 ERP：安全、合规性和批量处理
ERP 系统如何管理化学品公司的 SDS 文件、REACH 和 GHS 合规性、批量处理、质量控制、危险品运输和配方管理。
适用于进出口贸易的 ERP：多货币、物流与合规性
ERP 系统如何为贸易公司处理信用证、海关文件、国际贸易术语解释通则、多币种损益表、集装箱跟踪和关税计算。
使用 ERP 进行可持续发展和 ESG 报告：2026 年合规指南
通过 ERP 系统在 2026 年实现 ESG 报告合规性。涵盖 CSRD、GRI、SASB、范围 1/2/3 排放、碳追踪和 Odoo 可持续性。
审核准备清单：准备好您的书籍
完整的审计准备清单，涵盖财务报表准备情况、支持文件、内部控制文件、审计员 PBC 清单和常见审计结果。
澳大利亚电子商务企业商品及服务税指南
完整的澳大利亚电子商务企业 GST 指南，涵盖 ATO 注册、75,000 美元门槛、低值进口、BAS 申报和数字服务 GST。