PCI-DSS 범위 밖 유지: 카드 데이터가 서버에 닿지 않는다

18테이블 레스토랑을 운영하며 고객이 QR 메뉴에서 바로 카드로 결제하길 원합니다. 원본 PAN이 서버에 닿는 순간 PCI-DSS SAQ-D 범위에 들어가며 펜테스트, ASV 스캔, 세분화 감사로 쉽게 8,000 EUR+/년이 듭니다. 올바른 아키텍처로 이 비용을 0으로 만들 수 있습니다.

SAQ-A 대 SAQ-D

SAQ-A는 가장 가벼운 PCI-DSS 자가평가로, 카드 데이터를 완전히 외부 위탁한 가맹점용 22문항입니다. 법무 비용 0 EUR.

SAQ-D는 카드 데이터가 메모리, 로그, 임시 변수에 닿는 순간 적용됩니다. 연간 8,000-15,000 EUR 컴플라이언스 비용을 예상하세요.

Stripe Elements 패턴

Stripe.js Elements는 카드 입력 필드를 js.stripe.com에서 제공하는 iframe 안에 렌더링합니다. PAN, CVV, 만료일은 절대 앱과 origin을 공유하지 않습니다.

• 고객이 카드 입력 → Stripe iframe 내에 머무름
• 프론트가 stripe.confirmCardPayment(secret) 호출
• 서버는 토큰(pi_xxx)만 수신

thMenu의 기본 동작

thMenu Platinum 플랜은 Stripe Elements를 기본 채택합니다. "카드를 서버로 전송" 옵션이 존재하지 않으며, 백엔드 코드는 PAN을 참조하지 않습니다. 3D Secure 2.0과 PSD2 SCA는 Stripe 측에서 처리됩니다.

한국 식당이라면 금감원과 카드 보관에 관한 추가 협의 없이 SAQ-A 양식만 매입사에 제출하면 됩니다.

FAQ

SAQ-A는 연간 감사가 필요한가요? 아니요, 자가평가로 매년 작성하여 매입사에 신고합니다.

Stripe 웹훅이 범위로 되돌리나요? 아니요. 페이로드는 끝자리 4, 브랜드, 만료월만 포함하며 전체 PAN은 없습니다.

전화 주문은 어떻게 하나요? 직원이 카드를 입력하면 SAQ-D로 이동합니다. Stripe Terminal 또는 Payment Links 사용을 권장합니다.

도움이 되셨나요? 공유해 주세요.