自 2005 年以来，美国已发生 9000 多起数据泄露事件，导致超过 100 亿条消费者记录遭到泄露。以下数据来自 Privacy Rights Clearinghouse，该机构持续追踪并报告自 2005 年以来影响消费者的数据泄露与安全事件。为提升消费者数据安全性并增强对支付生态系统的信任，数据安全最低标准应运而生。Visa、Mastercard、American Express、Discover 和 JCB 于 2006 年共同成立支付卡行业安全标准委员会（PCI SSC），负责管理和维护面向信用卡数据处理企业的安全标准。

支付卡行业数据安全标准 (PCI DSS) 是全球性的安全标准，适用于所有存储、处理或传输持卡人数据和/或敏感验证数据的实体。PCI DSS 为消费者设定了基准保护级别，有助于减少支付生态系统中的欺诈和数据泄露事件。该标准适用于所有接受或处理支付卡的组织，未能符合这些标准的组织将面临重大处罚、罚款和成本。

PCI DSS 合规性涉及三个主要组成部分：

1. 处理客户信用卡数据的输入，即确保敏感卡信息的收集和传输安全
   
2. 安全存储数据，这包括 PCI 标准中的 12 个安全领域，如加密、持续监控，以及对卡数据访问的安全测试
   
3. 每年验证所需的安全控制措施是否到位，验证方式可包括表单、调查问卷、外部漏洞扫描服务以及第三方审核（详见下方分步指南中四个合规等级的要求对照表）
   

所有接受信用卡付款的企业都必须遵守 PCI DSS，无论其交易量、地理区域或集成方式如何。遵守此框架的企业可以：

• 保障客户银行卡数据安全，从而建立客户信任
  
• 保护自身免受欺诈和数据泄露的影响
  
• 避免因违反 PCI 合规要求而被罚款
  

Stripe 如何帮助组织实现和维护 PCI 合规性

如果您的业务模式需要您处理银行卡数据，您可能需要满足 PCI DSS 中 300 多项安全控制措施。PCI 安全标准委员会发布的 PCI DSS 官方文档超过 1800 页，仅用于指导企业在验证合规性时选择正确表单的文档就超过 300 页。

Stripe 通过提供多种令牌化集成方式（如 Checkout、Elements、移动 SDK、Terminal SDK），帮助企业避免直接处理敏感信用卡数据，从而显著降低 PCI 合规负担。

• Stripe Checkout 和 Stripe Elements 使用托管支付字段来处理所有支付卡数据，因此持卡人是在直接源自我们经 PCI DSS 验证的服务器的支付字段中输入所有敏感支付信息。
  
• Stripe 移动 SDK 和 Terminal SDK 同样允许持卡人将敏感支付信息直接发送至我们经 PCI DSS 验证的服务器。
  

对于所有用户，无论采用何种集成方式，Stripe 都会作为 PCI 合规的支持方，通过多种方式提供帮助。

• 我们的 Stripe PCI 向导会分析您的集成方法，并就如何减轻合规负担提供建议。
  
• 如果随着交易量增长需要您变更合规验证方式，我们会提前通知您。
  
• 对于因存储信用卡数据或拥有更复杂的支付流程而需要与 PCI QSA 合作的大型或企业级商家，全球有 400 多家此类 QSA 公司。我们可以为您引荐几家对各类 Stripe 集成方式有深入了解的审计机构。
  

PCI DSS 合规性分步指南

1. 了解 PCI 级别

实现 PCI 合规性的第一步是明确哪些要求适用于您的组织。PCI 合规分为四个级别，通常根据您在 12 个月内处理的信用卡交易量来确定。

根据所处级别，您需要满足不同的要求，包括由经批准的扫描服务商 (ASV) 执行的定期漏洞扫描。此外，服务商还需满足额外要求；服务商是指代表其他实体直接参与持卡人数据 (CHD) 和/或敏感验证数据 (SAD) 的处理、存储或传输的业务实体（如支付网关、支付服务商以及独立销售组织）。

(a) 完成 SAQ A、SAQ A-EP 或 SAQ D 的 2 级商家必须聘请 QSA 进行合规验证
(b) Visa 不认可 4 级商家，并将 3 级商家定义为年交易量 < 100 万笔的商家。此外，根据 Mastercard 的指引，4 级商家需遵守 PCI DSS，但除非适用法律法规另有要求，否则无需进行合规验证。

2. 了解您的集成类型和文档要求

确定 PCI 级别后，下一步是根据您与 Stripe 的集成类型、是否属于服务商等情况，确定需要填写哪些 PCI 文档以验证合规性。

1 级用户

1 级企业不符合使用 SAQ 证明 PCI 合规性的资格。企业需完成由 QSA 或商家高管签署的 ROC，以每年验证其 PCI 合规性。

2-4 级用户

2–4 级用户需根据支付集成方式填写不同类型的 SAQ。如不确定应使用哪种 SAQ，Stripe PCI 向导会自动确定适合您企业的文档类型。

服务商

如果您代表其他实体直接参与持卡人数据 (CHD) 和/或敏感验证数据 (SAD) 的处理、存储或传输（如支付网关、支付服务商和独立销售组织），您可能被归类为服务商。服务商通常：

• 为其他组织处理持卡人数据
  
• 代表客户存储持卡人数据
  
• 在系统之间传输持卡人数据
  
• 提供可能影响持卡人数据安全或持卡人环境安全的服务
  

常见示例包括支付网关、存储持卡人数据的托管服务商、第三方数据中心、提供支付应用程序的公司，以及令牌化服务商。

作为服务商，您需要验证额外要求。

3. 完成评估，并提交 SAQ 文档

确定需要完成的评估后，下一步就是执行评估，填写相应的 SAQ 或 ROC 文档，并将其提交给 Stripe 审核。

交易量大的用户可能需要聘请在您运营地区注册的 QSA。QSA 将根据 PCI 要求审核您的系统，并就任何缺陷提供整改建议。他们还会编制并签署相应文档，您可以将这些文档每年分享给 Stripe。

3 级和 4 级用户可能需要完成与其业务类型相匹配的 PCI DSS 自我评估调查问卷。更多商家资源 可通过 PCI 安全标准委员会获得。Stripe 也可以为您提供帮助，因为 PCI 管理平台上的定制向导会提出一系列问题，并为您生成所需文档。您可以使用 Stripe PCI 管理平台上传任何自行完成的 SAQ 或 ROC 文档。

4. 监控与维护

需要注意的是，PCI 合规并非一次性事件，而是一项年度流程，以确保您的企业在数据流和客户接触点不断变化的情况下持续保持合规。

PCI DSS 为处理和存储持卡人数据设定了重要标准，但其自身并不能为所有支付环境提供充分保护。相反，转向使用令牌化数据的更安全的卡接收方法（例如 Stripe Checkout、Elements 和移动 SDK）是保护您组织的更有效方式。这种方式为敏捷型企业提供了一种缓解潜在数据泄露风险的途径，同时避免了传统 PCI 验证方法耗时且成本高昂的问题。

随着公司的发展，核心业务逻辑和流程也会随之发展，合规要求亦会相应变化。例如，一家在线企业可能会决定开设实体店、进入新市场或设立客户服务中心。如果任何新增业务涉及支付卡数据，建议主动检查这是否会影响所选的 PCI 验证方法，并在必要时重新验证 PCI 合规性。

如需进一步了解 PCI 合规这一复杂领域的信息，请访问 PCI 安全标准委员会网站。如果您只打算阅读本指南及少量其他 PCI 文档，我们建议从以下内容开始：

• PCI DSS 的优先方法
  
• SAQ 说明和指南
  
• 关于使用 SAQ 资格标准确定现场评估要求的常见问题解答
  
• 关于为接受支付卡数据的消费类设备开发应用程序的企业义务的常见问题解答
  

Stripe 如何帮助组织维持 PCI 合规性

Stripe 是一家 PCI 1 级服务商，每年由独立的 PCI 合格安全性评估商 (QSA) 依据全部 PCI DSS 要求进行认证。这意味着我们所有产品默认即具备安全性，从而降低了您的合规要求。

对于所有用户，无论采用何种集成方式，Stripe 都会作为 PCI 合规的支持方，通过多种方式提供帮助。

面向小型企业的支持

Stripe 通过提供定制的合规流程，显著减轻小型用户的 PCI 合规负担，包括为部分用户提供预填充的自我评估调查问卷 (SAQ) 和引导式流程；这些用户可采用更安全的集成方式，如Checkout、Elements、移动 SDK和Terminal SDK。

定制的管理平台体验

成为 Stripe 客户后，我们将分析您的交易记录，并通过定制化的管理平台体验，就如何减轻合规负担提供建议。

伴随业务成长提供支持

随着年交易量增长，您可能在一年内跨越不同的 PCI 级别。Stripe 会在您临近 PCI 续期时提醒您需要满足的新合规要求，从而协助您平稳过渡。

涉及多个服务商的情况

如果您的企业使用多个处理商，PCI 合规流程可能会变得复杂。Stripe 支持您的服务商提交 AOC，从而简化合规流程。

支持 MOTO（邮件订单/电话订单）支付

Stripe 通过与第三方服务集成，支持接受 MOTO 支付的企业实现安全的电话端卡信息收集。这些服务利用按键式卡号提交或语音识别等技术自动收集卡信息，无需人工手动录入卡号。这种方式消除了“人工参与”环节，从而可以显著减轻 PCI 合规负担。针对 MOTO 应用场景，通常对应以下三种 SAQ 结果：

• SAQ-A：支付连接器应用场景，即通过符合 PCI 标准的第三方解决方案在电话中收集持卡人数据，卡数据直接流入 Stripe。在此场景下，用户在电话端呈现卡数据时不应接触卡数据，且不应在其自身环境中存储、处理或传输持卡人数据。
  
• SAQ C-VT：用户通过 MOTO 支付接收卡数据，并直接将其录入 Stripe 管理平台。在这种情况下，手动录入仅适用于有限应用场景，不得作为常规操作，且须注意不允许以电子方式存储卡信息。
  
• SAQ-D：用户从客户处收集持卡人数据，并在其自身环境中以电子方式存储持卡人数据的任何应用场景。
  

如需就 PCI 合规及 MOTO 实施方案获取更具体的指导，我们建议您向 PCI 合格安全性评估商 (QSA) 咨询。