Ödəniş edərkən saytın təhlükəsizliyini necə yoxlamaq olar

Hətta «məşhur» saytların zəif cəhətləri var: saxta ödəniş formaları, fişinq domenləri, səhv inteqrasiya səbəbindən kart sızması. Aşağıda - ödənişdən əvvəl riskləri tez bir zamanda qiymətləndirməyə və məlumatları təcavüzkarlara verməməyə kömək edəcək qısa və genişləndirilmiş çek vərəqələri.

60 saniyəlik ekspress çek (minimum)

1. Ünvan çubuğu: Səhv etmədən domen (nümunə: 'brand. com ', deyil' brand. com 'oxşar simvollarla).

2. HTTPS və «kilid»: əlaqə şifrəlidir. Kilid ≠ dürüstlük zəmanəti, lakin onsuz - dərhal tərk edin.

3. Domen uyğunluğu: brend və ya məşhur PSP (ödəniş provayderi) domenində ödəniş forması.

4. 3DS2/biometriya: kartla ödəniş zamanı bank təsdiq tələb edir (SMS/ərizə/biometriya).

5. Vizual uyğunsuzluqlar: orfoqrafik səhvlər, qəribə şriplər/loqotiplər, piksel nişanları dayanmaq üçün bir səbəbdir.

6. Gizlilik/təklif siyasəti: açılır, oxunur, boş qapaqlar yoxdur.

Bunlardan bir şey uyğun gəlmirsə, kart/cüzdan məlumatlarını daxil etməyin.

Genişləndirilmiş yoxlama siyahısı (5-7 dəqiqə)

1) Brauzer göstəriciləri və sertifikatı

HTTPS: redaktorlar da daxil olmaqla bütün ödəniş addımlarında olmalıdır.

TLS sertifikatı: fəaliyyət göstərən, tanınmış sertifikatlaşdırma mərkəzi tərəfindən verilmiş; domen adı üst-üstə düşür.

HSTS: Yenidən daxil olduqda sayt dərhal HTTPS-ni məcbur edir (brauzer HTTP versiyasını açmağa imkan vermir).

«mixed content» yoxdur: ödəniş səhifəsində qeyri-secure resurslar (HTTP ilə şəkil/skript) olmamalıdır.

2) Domen və marka

Domenin yaşı və tarixi: şübhəli «dünən qeydə alınıb».

Vahid marka: site domain, kabinet və dəstək razılaşdırılmış (deyil, müxtəlif zonalardan qarışıq).

Əlaqə: real ünvan, kar. adı, TIN/regnomer (maliyyə xidmətləri/kazino üçün - lisenziya məlumatları).

3) Ödəniş formasının davranışı

Hosting formaları:

PSP-dən inteqrasiya edilmiş iFrame və ya PSP domeninə redirect normal bir təcrübədir.
iframe olmadan əsas saytda kart daxil sahəsi - artan risk (operator özü «görür» PAN/CVV).
Tokenization: Sayt açıq şəkildə kart məlumatlarının tokenləşdirildiyini və satıcıda saxlanılmadığını yazır.
Sahə məhdudiyyətləri: giriş maskaları, JS tətbiq qadağası, BIN avtodetekti - canlı antifrod məntiqinin əlamətləri.
Avtomatik qorunma yoxdur: brauzer kart/cüzdan sahələrinə «parol saxlamaq» təklif etmir.

4) Standartlar və nəzarət

PCI DSS (kartlar üçün): uyğunluq qeyd və əslində PAN emal kim.

SCA/3DS2: bank vasitəsilə iki faktorlu təsdiq.

AML/KYC: qaydalarda əsas yoxlamalar göstərilir - bu «bürokratiya» deyil, normaldır.

Geri qaytarma və mübahisələr siyasəti: vaxtları və qaydaları dəqiq yazılmışdır.

5) Tez-tez fişinq verən UI/UX xırda şeylər

Bir addımda müxtəlif şriftlər və «cırılmış» düzmə.

Hover/hallar olmadan düymələr (canlı düymələr əvəzinə boz «şəkillər»).

Sınıq lokalizasiyalar, qəribə valyuta/saat zonası.

Zamanlayıcılar «2:59 üçün ödəyin, əks halda hər şey yox olacaq» - təzyiq və manipulyasiya.

Ödəniş metodları üzrə xüsusiyyətlər

Bank kartları

3DS2 məcburidir. Əlavə təsdiq yoxdur - yüksək risk.

Kartın şəklini çəkməyin və PAN/CVV-ni «dəstək» söhbətinə göndərməyin.

Kart saxlama - yalnız provayder tokenləri dəstəkləyir və sayta etibar edirsinizsə.

Elektron pul kisələri/lokal üsullar

Giriş - satıcının saytında deyil, yalnız cüzdan/bank domenində.

Təsdiq etməzdən əvvəl limitləri və komissiyaları yoxlayın.

Kriptovalyuta

Şəbəkə və ünvan göstərilənlərlə dəqiq üst-üstə düşməlidir (TRC20/ERC20/BTC/LN).

Unutmayın: əməliyyatlar geri qaytarılmazdır; ünvan/məbləğin ikiqat yoxlanılması tələb olunur.

Kastodial xidmət vasitəsilə ödəniş - onun nüfuzunu və KYC-ni yoxlayın.

Qırmızı bayraqlar (dərhal dayandırın)

No HTTPS və ya brauzer sertifikat söyüş.

Simvolların səhv yazılması/dəyişdirilməsi ilə domen, heç bir izahat olmadan «güzgü».

Kart sahələri açıq iFrame/PSP redaktoru olmadan saytın özündə yerləşir.

Hər iki tərəfdən foto kart və bir məktubda pasport tələb «sürətləndirmək üçün».

Onlar «KYC olmadan», «hər hansı bir ölkə məhdudiyyətsiz», «0% həmişə» vəd edirlər.

«Menecerin şəxsi kartına/cüzdanına köçürün» yazırlar.

Şübhə edirsinizsə nə etməli

1. dayandırın. Heç bir məlumat daxil etməyin.

2. Domeni əl ilə yoxlayın, yer imi və ya sıfırdan axtarış vasitəsilə sayta daxil olun.

3. Bankın/cüzdanın ofisini yoxlayın: tamamlanmamış avtorizasiya sorğuları var.

4. Dəstək istəyin (qısa və iş üzrə) - onların ödəniş provayderi kimdir və PCI DSS/3DS2 varmı?

5. Alternativ ödəniş: yoxlanılmış cüzdan/PSP vasitəsilə; şəxsi kartlarda P2P çəkinin.

6. Hər hansı bir şübhəli avtorizasiya üçün banka məlumat verin, PAN/CVV sızması üçün kartı yenidən verin.

Özünüz üçün mini siyasət (şablon)

Mən yalnız HTTPS ödəyirəm, 3DS2/SCA və tokenizasiya ilə.

PAN/CVV/seed ifadələrini nə məktubla, nə də söhbətlə ötürmürəm.

Kartları yalnız etibarlı provayderlərdə saxlayıram.

Kriptovalyuta üçün - ünvanlar və 2FA whitelist, böyük məbləğdən əvvəl kiçik bir test tərcüməsi.

Ən kiçik şübhə ilə - fərqli üsul/fərqli sayt.

FAQ (qısa)

Ünvan çubuğundakı kilid təhlükəsizliyə zəmanət verirmi?

Yox. O, yalnız əlaqənin şifrələnməsindən danışır. Sayt hələ də fişinq ola bilər.

Ödəniş domeninin redirekti normaldır?

Bəli, əgər domen məşhur PSP-dirsə. Əsas odur ki, ünvanı yoxlayın.

Dəstək kart məlumatlarını «sürətli yoxlama üçün» tələb edir. Vermək?

Heç vaxt. Dəstək PAN/CVV görməməlidir.

Təhlükəsiz ödəniş bir neçə sadə qaydadan ibarətdir: düzgün domen, HTTPS/sertifikat, 3DS2/SCA, PSP/tokenizasiyanın görünən işi və ekzotik «vədlərin» olmaması. Hər dəfə bir dəqiqəlik yoxlama edərək, fişinq və ödəniş məlumatlarının sızması ssenarilərinin 90% -ni bağlayırsınız.