Betalsäkerhet

Skripten i er kassa.Godkända och kontrollerade varje dag

PollySec renderar er betalsida som kundens webbläsare gör, listar skripten den laddar så att ni kan godkänna dem, kontrollerar koden de körde varje dag och larmar era administratörer när ett skript eller en säkerhetsheader ändras.

Boka demo Skydd mot e-skimming

shop.example.se/checkoutSkript från tredje part 4

cdn.payments.example/iframe.jsGodkänd
widgets.reviews.example/badge.jsGodkänd
tags.analytics.example/collect.jsÄndrad sedan baslinjen
static.unknown-cdn.example/x.jsNy · ej godkänd

6.4.3 inventering · 11.6.1 ändringsdetektering

PCI DSS v4.0.1

Kassanär målet

Kortdata stjäls allt oftare i kundens webbläsare, via ett manipulerat skript på betalsidan. PCI DSS v4.0.1 svarar med 6.4.3 och 11.6.1. PollySec ger underlag för båda utifrån, och fynd till stöd för 4.2.1, 6.3.1, 6.3.3 och intern skanning (11.3.1).

6.4.3

Skriptinventering

Varje skript som betalsidan laddar via adress, era egna och tredje parters, hittade i en riktig webbläsare, vart och ett med det integritetsskydd det har.

6.4.3

Godkännande

Godkänn varje skript med en skriftlig motivering. Alla beslut sparas, ett skript vars kod ändras går tillbaka för granskning, och registret exporteras som underlag.

11.6.1

Ändringsdetektering

Betalsidan kontrolleras i en riktig webbläsare varje dag, aldrig mer än fem dagar emellan. Koden som varje skript körde, även inbäddade skript, och säkerhetsheaders jämförs med en baslinje som ni godkänner. En ändring mejlas direkt till era administratörer.

4.2.1

Kryptering

TLS-styrka, certifikatens giltighet och föråldrade protokoll.

6.3.1 · 6.3.3

Föråldrad mjukvara

Komponenter utan leverantörens säkerhetsstöd, och kända sårbarheter i det ni kör.

11.3.1

Intern skanning

Inifrån nätet, via sensorn på plats.

Ändringsdetekteringen körs schemalagt mot sidan så som en anonym kund ser den, eller inloggad med en sparad inloggningssession. Det är ingen realtidsövervakning av varje session: ett skript som bara visas för vissa besökare, eller som ändras och ändras tillbaka mellan två kontroller, kan missas. Sedan den 31 mars 2025 innehåller SAQ A inte längre 6.4.3 och 11.6.1. I stället bekräftar handlaren, som ett behörighetskriterium, att webbplatsen inte är sårbar för attacker från skript som kan påverka handlarens e-handelssystem. Er inlösare och er QSA avgör hur efterlevnaden valideras.

En plattform

Kassa, yta,nät

Samma plattform bevakar resten av det en angripare provar först. Den tar också fram en PCI DSS v4.0.1-rapport, plus en separat rapport för betalsidans skript (6.4.3).

Extern yta

Exponerade tjänster, adminsidor och svag TLS på allt ni exponerar mot internet.

Kontrollerat av ARIA

Allvarliga fynd testas live mot målet där ett test kan avgöra saken, och ni ser domen med beviset.

NIS2 & ISO 27001

Samma data matar era rapporter för NIS2 och ISO 27001.

Fånga ändringen ingen godkände

Vi renderar en riktig betalsida med er och visar skriptregistret direkt.

Boka demo