有许多电子商务企业必须处理的事项，才能成为PCI合规企业。首先，在线商家的购物车必须通过PCI的PA-DSS流程进行认证。商家的网络托管环境和支付网关必须安全。此外，商家自身的内部支付数据处理实践必须符合PCI安全标准委员会的要求。在这篇“电商知识”中，我将仅专注于购物车，更具体地说，我将为您提供三个关于购物车的重要问题需要回答。回答这些问题将使您更接近运营一家PCI合规的企业。
1. 我的购物车是否需要通过 PA-DSS 认证？
对于绝大多数商家来说，这个问题的答案是“是”。根据 PCI 安全标准委员会（PCI Security Standards Council）网站的说法，PA-DSS（支付应用数据安全标准）认证的目标是“帮助软件供应商及其他方开发安全的支付应用，这些应用不得存储禁止的数据，如完整磁条数据、CVV2 码或 PIN 码”。PCI 安全标准委员会明确指出，所有支付应用都必须获得 PA-DSS 认证。
少数企业使用外包的支付流程，例如 Google Checkout、PayPal 或 PayPal Express。在这种情况下，商家的购物车不被视为支付应用，因为它既不存储也不传递支付信息。因此，此类情况下的购物车无需进行 PA-DSS 认证。
支付应用安全要求规定，信用卡收单机构必须确保其商户、VisaNet处理器（VPNs）和代理在2010年7月1日之前仅使用符合PA-DSS的应用程序。
2. 我如何知道我的购物车是否符合合规要求？
购物车开发者自愿向PCI安全标准委员会提交其购物车进行测试。这些购物车经过审查，以确保它们不会不当存储个人数据。PCI安全标准委员会维护着一个已获许可的购物车列表，这些购物车已通过PA-DSS认证。
托管式购物车开发者（与已获许可的购物车不同）必须通过与委员会培训的合格安全评估师进行的评估来证明其合规性。支付协会跟踪记录那些已被认证为PCI合规的托管式购物车。例如，Visa发布了一个这些获批购物车的列表。
3. 如果我的购物车不符合合规要求，我该怎么办？
如果您的购物车未出现在任一列表中，请直接询问开发者是否已申请认证。该申请过程耗时且昂贵。您的购物车可能正处于评估阶段。
也有可能是您的购物车开发者因固有的成本而选择避免认证流程。据 Practical eCommerce 统计，市面上有超过 350 款可供商家使用的购物车，但其中大多数并未出现在任何已验证列表中。
如果您作为在线商家感觉到您的购物车开发者无意遵守 PA-DSS 强制规定，那么是时候考虑其他方案了。如果小型企业未能满足 PCI 合规要求，可能会面临严重后果。例如，收单银行或处理机构可以对商家处以罚款，并撤销其接受信用卡支付的权限。
总结
经过 PA-DSS 验证的购物车只是 PCI 合规的一个组成部分，但至关重要。如果您是存储或传递支付信息的商家，您需要确定您的购物车是否已通过验证。如果您的购物车尚未获得认证或正在认证过程中，您仍有其他可选方案。
本周晚些时候，在 Practical eCommerce 关于 PCI 合规的系列报道中，我们将介绍目前使用未经 PA-DSS 验证的购物车的电子商务商家可采用的替代方案。