Страница оплаты: что нельзя хранить и что нельзя подключать

Магазину обычно не нужно хранить номер карты. Это работа платёжного провайдера: человек вводит данные в его поле или на его странице, магазин получает статус платежа. Как только магазин начинает принимать карту «к себе в форму», объём ответственности прыгает. Эта заметка не про сертификацию платёжных систем. Она про бытовые ошибки, которые встречаются до любого аудитора.

Бытовой минимум

• Поля карты принадлежат провайдеру. В вашей базе остаются заказ и статус, не пан и не срок.
• На странице оплаты нет лишних чатов, пикселей и экспериментов, которые читают ввод.
• Адрес оплаты объясним. Если будет редирект, покупатель не должен гадать, его ли это банк.
• Админка, где видны заказы, закрыта отдельными правами. Кладовщик не обязан видеть платёжные идентификаторы.
• Повторная отправка формы не создаёт второй заказ на ту же оплату.

WAF на этом пути полезен против мусора и перебора, но не заменяет проверку логики: подмена суммы, чужой заказ, статус «оплачено» без платежа. Это уже пентест сценария, и его имеет смысл делать на тестовых платежах, а не на живых картах сотрудников.

Lexora проходит страницу оплаты вместе с магазином: и как путь покупателя, и как контур, в который не должны попадать лишние данные.