本周早些时候，Practical eCommerce 分享了关于购物车需要提出的三个重要问题。今天，作为我们持续的 PCI 合规系列的一部分，我将审视那些目前使用未经 PA-DSS（支付应用程序数据安全标准）验证的购物车的电子商务商家的选项。更具体地说，我将分享 Cybrhost 的主机总监 Matt Whitted 的观点。Cybrhost 是一家专注于电子商务的网络托管提供商。
Matt Whitted
Cybrhost 已通知其订阅者基础，购物车必须在 2010 年 7 月 1 日之前实现 PA-DSS 合规，而 Whitted 已经收到了大量商家关于该强制规定的咨询。
Whitted 表示，他认识到 Practical eCommerce 统计的超过 350 种可供商家使用的购物车中，许多尚未获得 PA-DSS 认证。“我认为这项[强制规定]确实会将一些较小的购物车淘汰出去。使您的应用程序获得认证是一项重大投资，而且这是一个持续的过程，”他说。
非合规购物车用户的三种选择
Whitted 表示，如果电子商务商家的购物车提供商不符合 PA-DSS 合规要求或正在申请认证，有三种选择：
- 外包给替代支付解决方案。
替代支付解决方案（例如 Google Checkout 和 PayPal Express Checkout）允许商家外包结账流程。由于支付信息不由商家处理，商家的购物车不被视为支付应用程序，也不受 PA-DSS 强制规定的约束。
然而，Whitted 指出这种方案存在几个缺点：外包通常成本更高；在购物车与替代支付系统交接时偶尔会出现技术故障；且商家将部分业务信息的控制权交给了“PayPal、Amazon 结账或其他你选择的支付服务商”。
- 更换不同的购物车提供商。
目前已有多种购物车申请并获得了认证。
Whitted 表示：“一些走在前列、主动进行认证流程的电子商务应用程序，将从做出这一决定（切换）的人群中受益。”
- 什么都不做，观望 PA-DSS 合规性是否会被强制执行。
收单银行或处理器负责执行 PCI 合规性。Whitted 质疑道：“谁知道 Visa 或 MasterCard 会如何处理呢？他们可能会表示理解，也可能采取更极端的措施。”但他指出，“大多数企业都不愿意靠运气行事。”
总结
正如我本周早些时候提到的，PCI 安全标准委员会维护着一个获得许可的购物车列表，这些购物车已通过 PA-DSS 认证。此外，支付协会也跟踪托管式（而非许可式）且已获得 PCI 合规认证的购物车，例如 Visa 就发布了获批托管购物车的列表。
Visa 在其公司网站上明确表示，截至 2010 年 7 月 1 日，“收单机构必须确保其商户、VNPs（VisaNet 处理器）和代理商仅使用符合 PA-DSS 的应用程序。”许多购物车提供商目前既不符合合规要求，也未寻求合规，使用这些应用程序的商户需自行承担责任。他们可以选择替代支付应用、更换新的购物车提供商，或对行业范围的执法采取观望态度。