Почему через Stripe (USA) можно принимать платежи через свой сервер, а через PayOnline (Россия) нельзя — у мерчанта должен быть сертификат PCI DSS?

Question

[Григорий Пташко]

Всем привет.

Изучаю приём платежей через сайт. Изучил Stripe (и Braintree, но сейчас не о нём). Очень жаль, что Stripe не работает в России. В доке по нему нашел все ответы на свои вопросы.

Потом стал смотреть российские аналоги. Наткнулся на такой момент. Есть наш платежный агрегатор PayOnline.ru. Из документации на их сайте (www.payonline.ru/SDK/Net) я понял, что я могу сделать свою форму оплаты и разместить её на своём сайте. И принимать платежи через свою форму, делая запрос к своему серверу.

И вот тут всплывает то, чего я не могу понять. Они пишут, что для того, чтобы использовать их SDK на своём сервере, цитирую

Данная схема используется в случае, если у мерчанта имеется сертификат PCI DSS.

Это как? В моём текущем понимании оплата через SDK агрегатора - это именно то, что сделал Stripe. И, как мне показалось, это сделали PayOnline.

Почему же при использовании Stripe у мерчанта может не быть PCI DSS, а для PayOnline он обязателен?

Я что-то где-то упускаю. Подскажите, пожалуйста, кто знает.

Answer 1

[PayOnline]

Сертификат PCI DSS необходим для приема платежей на сайте, если вы планируете обрабатывать данные карт на своем сервере, - вне зависимости от количества транзакций. От их количества зависит только уровень сертификата.
На сайте Stripe, на странице https://stripe.com/us/features#seamless-security сообщается, что персональные данные на сервере клиента не обрабатываются.
Если ваша потребность заключается в том, чтобы сделать свою форму оплаты и разместить ее на своем сайте (чтобы клиент не переходил на отдельную платежную страницу), PayOnline позволяет реализовать это с использованием Iframe.
С удовольствием ответим на все ваши вопросы.

Comments

[Вадим Кысса]

При этом у вас на сайте указано, что размещать платежную форму в виде iframe запрещается.

Answer 2

[Пума Тайланд]

pci dss зависит от количества платежей которые вы хотите принимать, можно легко использовать тот же пейпал или яндекс деньги для приема карточек.

Comments

[Григорий Пташко]

Не вижу связи. Stripe позволяет делать платежи через свой SDK хоть один раз в год. При этом не требует от меня PCI DSS.
Тут что-то другое.

[Slava Kryvel]

pci dss никаким образом не зависит от количества платежей.
А зависит он только от способа, которым обрабатываются данные клиентов, и от того, на чьей стороне они обрабатываются