支付卡行业数据安全标准

一句话解释： PCI DSS（Payment Card Industry Data Security Standard）是国际卡组织联合制定的、所有处理信用卡数据的商家和服务商都必须遵守的信息安全标准，违规会面临罚款甚至被停止刷卡收款资格。

生活化类比

把信用卡数据想象成放射性物质：你碰它没问题，但必须有专门的防护服、隔离区、操作流程和定期检测，否则一旦泄漏就会造成大范围伤害。PCI DSS 就是那本《放射性物质操作手册》——它不关心你卖什么、赚多少，只关心你在接触卡号的那一刻，有没有把防护做到位。

对独立站卖家来说，这意味着：你可以收信用卡，但卡号不能随便存在自己的服务器上，传输必须加密，访问必须留痕，系统必须定期扫描漏洞。

PCI DSS 目前主流版本为 v4.0，核心围绕 6 大目标、12 项要求展开：

1. 建立并维护安全的网络和系统

2. 保护持卡人数据

3. 维护漏洞管理计划

4. 实施强访问控制

5. 定期监控和测试网络

6. 维护信息安全政策

对独立站最关键的判断标准是 SAQ（Self-Assessment Questionnaire，自我评估问卷），不同收款方式对应不同 SAQ 类型：

收款方式	卡号是否经过你的服务器	适用 SAQ	合规难度
跳转至 PayPal/Stripe 托管页	否	SAQ A	最低
iframe 嵌入支付页	否	SAQ A	低
自有表单直连支付网关	是（短暂经过）	SAQ A-EP	中
自己存储卡号	是	SAQ D	最高

核心公式可以理解为：

合规成本 = 数据接触面 × 存储时长 × 访问人数

你离卡号越远、存得越短、能碰的人越少，合规就越便宜。所以行业里有一句话：最好的 PCI 合规策略，是根本不碰卡号。

场景一：Shopify 独立站

使用 Shopify Payments 或 Stripe 托管收银台，卡号不经过你的服务器，通常只需完成 SAQ A，每年约 20-50 道题，配合季度 ASV 扫描即可。

场景二：自建站直连 Stripe API

如果使用 Stripe.js / Elements，卡号仍由 Stripe 前端组件处理，你属于 SAQ A-EP，需要额外做代码安全审计和年度渗透测试。

场景三：订阅制独立站

需要保存卡号做自动续费时，必须使用支付网关的 Token 化服务，把卡号替换成 token，自身系统不落卡号，否则直接落入 SAQ D。

三个关键数据：

- 罚款： 违规商户每月可能被罚 $5,000–$100,000，具体由收单行和卡组织决定。

- 成本： 2023 年 IBM《数据泄露成本报告》显示，支付相关数据泄露平均成本达 $445 万美元。

- 风险： Verizon DBIR 数据显示，约 80% 的支付数据泄露涉及 Web 应用漏洞，独立站正是重灾区。

误区一：用了 Stripe/PayPal 就自动合规。

错。支付服务商合规不等于你合规。你仍需确认自己的网站没有在日志、数据库或分析工具中意外收集卡号。

误区二：小卖家不会被盯上。

错。攻击者常批量扫描独立站，自动抓取未加密的支付表单。规模小不代表安全。

误区三：PCI DSS 是一次性认证。

错。它是持续合规，需要年度评估、季度扫描、持续监控。

误区四：只要 HTTPS 就安全。

错。HTTPS 只解决传输加密，不解决存储、访问控制、漏洞管理等问题。