PCI-DSS hatókörön kívül maradni: a kártyaadat soha nem érinti a szervert

18 asztalos éttermet üzemeltetsz Budapesten, és azt szeretnéd, hogy a vendégek kártyával fizessenek közvetlenül a QR-menüből. Amint egy nyers PAN megérinti a szervered, beleesel a PCI-DSS SAQ-D hatókörbe — pen-tesztek, ASV-szkennelések, szegmentációs auditok, könnyen 8.000 EUR+ évente. A megfelelő architektúrával ez a költség nulla.

SAQ-A vs SAQ-D

SAQ-A a legkönnyebb PCI-DSS önértékelés — 22 igen/nem kérdés azoknak a kereskedőknek, akik teljesen kiszervezik a kártyaadatot. Jogi költség: 0 EUR.

SAQ-D abban a pillanatban érvényes, amikor a kártyaadat megérinti a rendszereidet — memória, naplók, ideiglenes változók. Számolj 8.000-15.000 EUR éves compliance költséggel.

A Stripe Elements minta

A Stripe.js Elements a kártyamezőt egy iframe-ben rendereli a js.stripe.com oldalról. A PAN, CVV és lejárat soha nem osztja meg az origint az alkalmazásoddal.

• A vendég beírja a kártyát → a Stripe iframe-ben marad
• A frontend meghívja a stripe.confirmCardPayment(secret)-et
• A szervered csak a tokent (pi_xxx) látja

A thMenu ezt alapból csinálja

A thMenu Platinum csomag a Stripe Elementset alapként szállítja. Nincs "kártya küldése a szerverre" opció, mert a backend kód soha nem hivatkozik PAN-ra. A 3D Secure 2.0 és a PSD2 SCA Stripe oldalán fut.

Egy magyar étterem számára ez azt jelenti, hogy nincs külön egyeztetés a NAIH-hal a kártyamegőrzésről — elég a kitöltött SAQ-A-t leadni az acquirernek.

GYIK

Igényel-e a SAQ-A éves auditot? Nem, ez önértékelés, amit évente kitöltesz és bevallasz az acquirerednek.

Visszahoznak-e a Stripe webhookok a hatókörbe? Nem. A payload csak az utolsó 4 számjegyet, márkát és lejáratot tartalmazza.

És a telefonos rendelések? Ha a személyzet beüti a kártyát, átlépsz SAQ-D-be. Használj Stripe Terminalt vagy Payment Linkset.

Hasznosnak találtad? Oszd meg.