这个问题讨论了不同的支付处理器和它们的成本，但我想知道如果我想接受信用卡支付，我需要做什么?
假设我需要为客户存储信用卡号码，因此依赖信用卡处理器来完成繁重工作的明显解决方案是不可用的。
PCI数据安全，这显然是存储信用卡信息的标准，有一堆一般的要求，但如何实现它们呢?
像Visa这样有自己最佳实践的供应商呢?
我需要用钥匙卡进入机器吗?那保护它不被大楼里的黑客入侵呢?甚至如果有人拿到了包含sql server数据文件的备份文件呢?
备份呢?周围还有其他数据的物理副本吗?
Tip: If you get a merchant account, you should negotiate that they charge you "interchange-plus" instead of tiered pricing. With tiered pricing, they will charge you different rates based on what type of Visa/MC is used -- ie. they charge you more for cards with big rewards attached to them. Interchange plus billing means you only pay the processor what Visa/MC charges them, plus a flat fee. (Amex and Discover charge their own rates directly to merchants, so this doesn't apply to those cards. You'll find Amex rates to be in the 3% range and Discover could be as low as 1%. Visa/MC is in the 2% range). This service is supposed to do the negotiation for you (I haven't used it, this is not an ad, and I'm not affiliated with the website, but this service is greatly needed.)
这篇博文给出了一个完整的处理信用卡的纲要(特别是在英国)。
也许我问错了问题，但我在寻找这样的建议:
使用SecurID或eToken为物理盒添加额外的密码层。
确保盒子在一个有物理锁或键码组合的房间里。
问自己以下问题:为什么要存储信用卡号码?很可能你不知道。事实上，如果你确实储存了它们，并设法偷了一个，你可能会面临一些严重的责任。
我写了一个存储信用卡号码的应用程序(因为交易是离线处理的)。这里有一个好方法:
Get an SSL certificate!
Create a form to get CC# from the user.
Encrypt part (not all!) of the CC# and store it in your database. (I'd suggest the middle 8 digits.) Use a strong encryption method and a secret key.
Mail the remainder of the CC# to whoever processes your transactions (probably yourself) with the ID of the person to process.
When you log in later, you will type in the ID and the mailed-out portion of the CC#. Your system can decrypt the other portion and recombine to get the full number so you can process the transaction.
Finally, delete the online record. My paranoid solution was to overwrite the record with random data before deletion, to remove the possibility of an undelete.
这听起来工作量很大，但由于从未在任何地方记录完整的CC#，黑客很难在你的web服务器上找到任何有价值的东西。相信我，这值得你安心。
我想补充一个非技术的评论，你可能会想一下
我的几个客户经营着电子商务网站，其中包括一对拥有中等规模商店的夫妇。这两者，虽然他们当然可以实现支付网关，但他们选择不，他们获取cc号，将其临时加密在线存储，并手动处理。
他们这样做是因为欺诈的高发率和人工处理允许他们在填写订单之前进行额外的检查。我被告知他们拒绝了20%多一点的交易——手工处理当然需要额外的时间，在一个案例中，他们有一个员工除了处理交易什么都不做，但如果他们只是通过在线网关传递抄送号码，支付他的工资的成本显然比他们的风险要小。
这两个客户端都提供具有转售价值的实物商品，因此特别容易暴露，对于像软件这样的产品，欺诈性销售不会导致任何实际损失，但如果您真的想要实现在线网关，则值得考虑在线网关的技术方面。
编辑:既然给出了这个答案，我想加上一个警世故事，说这是一个好主意的时代已经过去了。
为什么?因为我知道另一个线人也在用类似的方法。信用卡的详细信息被加密存储，网站通过SSL访问，处理后立即删除号码。你觉得安全吗?
他们的网络上没有一台机器受到密钥日志木马的感染。结果，他们被认定为几张伪造分数信用卡的来源，并因此受到了巨额罚款。
因此，我现在从不建议任何人自己处理信用卡。自那以后，支付网关变得更具竞争力和成本效益，欺诈措施也得到了改进。现在冒险已经不值得了。
我可以删除这个答案，但我认为最好还是编辑一下，作为一个警世故事。
