Uden for PCI-DSS-omfang: kortdata rører aldrig din server

Du driver en restaurant med 18 borde i København og vil have, at gæster betaler med kort direkte fra QR-menuen. I det øjeblik et rå PAN rører din server, falder du ind under PCI-DSS SAQ-D — pen-tests, ASV-scanninger, segmenteringsaudits, let 8.000 EUR+ om året. Med den rette arkitektur er omkostningen nul.

SAQ-A vs SAQ-D

SAQ-A er den letteste PCI-DSS selvevaluering — 22 ja/nej spørgsmål for forhandlere der helt outsourcer kortdata. Juridiske omkostninger: 0 EUR.

SAQ-D gælder så snart kortdata rører dine systemer — hukommelse, logs, midlertidige variabler. Regn med 8.000-15.000 EUR årlig compliance.

Stripe Elements-mønstret

Stripe.js Elements renderer kortfeltet inde i en iframe serveret fra js.stripe.com. PAN, CVV og udløb deler aldrig origin med din app.

• Gæst indtaster kort → bliver i Stripe-iframe
• Frontend kalder stripe.confirmCardPayment(secret)
• Din server ser kun tokenet (pi_xxx)

thMenu gør dette som standard

Platinum-planen i thMenu leverer Stripe Elements ud af boksen. Der findes ingen mulighed for at "sende kort til server", fordi backendkoden aldrig refererer et PAN. 3D Secure 2.0 og PSD2 SCA håndteres på Stripe-siden.

For en dansk restaurant betyder det nul ekstra samtaler med Datatilsynet om kortretention — bare indlever den udfyldte SAQ-A til din acquirer.

FAQ

Kræver SAQ-A årlig audit? Nej, det er en selvevaluering du udfylder årligt og erklærer over for din acquirer.

Bringer Stripe-webhooks mig tilbage i omfang? Nej. Payload indeholder kun sidste 4 cifre, brand og udløb.

Hvad med telefoniske bestillinger? Når personalet indtaster kortet, ryger du i SAQ-D. Brug Stripe Terminal eller Payment Links.

Var dette nyttigt? Del det.