根据 Practical eCommerce 的统计，英语购物车软件有近 600 种，涵盖托管式、授权及开源类型；其中既有服务少数客户的中小型产品，也有拥有数万名客户的大型平台。
但截至 7 月 14 日，仅有 40 款符合 PCI 合规要求（托管解决方案）或获得 PA-DSS 验证（授权购物车）。这一日期至关重要，因为 PCI 安全标准委员会规定，被定义为“支付应用程序”或“已验证服务提供商”的购物车必须在 2010 年 7 月 1 日前通过合规标准。由于存在两份独立清单，获批购物车易于识别。
已批准的购物车
首先，授权购物车清单由 PCI 安全标准委员会维护，涵盖零售商处理信用卡的各类软件（含 POS 终端、支付网关及在线购物车）；截至 7 月 14 日，共有 18 款授权在线购物车在列。
其次，已批准的主机托管式购物车列表由 Visa 维护。Visa 将其与支付网关、中介商等非许可软件支付提供商归为“验证服务提供商”。该列表为 57 页 PDF 文档，据 Practical eCommerce 统计包含 22 个主机托管式购物车。
在约 600 个购物车中仅 40 个出现在上述列表中。鉴于 7 月 1 日截止日期已过，PCI 安全标准委员会发言人表示：“Visa 负责执行监管工作”，而非该委员会。
商户账户提供商负有责任
事实上，Visa 设定的 2010 年 7 月 1 日截止期适用对象是商户账户提供商（收单机构、ISO 或商户银行），而非购物车提供商。Visa 要求商户账户提供商确保商户在该日期前仅使用符合 PCI 标准的购物车。
这使商户账户提供商面临棘手任务：既要依赖电商客户收入，又要要求其更换或升级至 PCI 认证购物车。许多已获认证者透露合规花费超 2 万美元；小型提供商则表示无力聘请程序员修改代码以满足标准。
此外还存在诸多问题：使用旧版非合规购物车但最新版合规的商户是否必须升级？对于投入资金获合规却未见实际收益的提供商，情况又将如何？
与 Visa 高管的访谈
针对上述情况，我们与 Visa Inc. 美国支付系统风险负责人 Jennifer Fischer 进行了沟通。Fischer 表示：“支付系统风险部门专注于执行 Visa 收单机构和发卡行的风险管理计划及数据安全倡议，旨在降低全支付系统风险。包括推进 PCI 数据安全标准等合规性，以及欺诈和拒付减少计划。”
Fischer 是注册信息系统安全专业人士（CISSP），自 2001 年 Visa 推出持卡人信息安全计划以来一直专注支付安全工作。
以下是邮件采访内容：
Practical eCommerce：仅少量在线购物车获 PCI 批准，7 月 1 日后它们会怎样？
Jennifer Fischer
Jennifer Fischer：“许多在线购物车以 SaaS 形式提供，由第三方定制、托管和管理，并根据 PCI DSS 审核。Visa 全球 PCI DSS 已验证服务提供商名单上可找到常用购物车供应商。以‘现成’产品出售的软件供应商应使其产品接受 PA-DSS 验证，并通过列入 PCI SSC 已验证支付应用程序清单来证明。”
PEC：7 月 1 日后，使用不合规购物车的电商商家会面临什么？
Fischer：“商户银行应与电商商家合作确认其是否使用合规购物车应用。若否，银行应协助确定迁移路径，Visa 将与商户银行共同监控进展。未受适当保护的支付应用常引入导致数据泄露的漏洞，因此商家确保使用符合 PA-DSS 且满足 PCI DSS 要求的应用至关重要。”
PEC：Visa 在此过程中扮演什么角色？
费舍尔：“Visa 制定支付应用安全强制要求，旨在消除易受攻击应用的使用并推广支持 PCI DSS 合规的应用。Visa 通过制定行业标准及基于常见漏洞风险的合规强制要求，在促进数据安全方面发挥领导作用，并与商户银行合作支持合规及监控进展。”
PEC：PCI 安全标准委员会称其在 PA-DSS 处罚、罚款和执行方面无角色，均由 Visa 负责。这是真的吗？
费舍尔：“PCI 安全标准理事会负责维护数据安全标准（PCI DSS、PA-DSS 和 PTS）。卡品牌（Visa、MasterCard、American Express、Discover 和 JCB）负责维护及执行合规计划。Visa 通过与商户银行解决 Visa 支付应用安全强制要求的合规性问题，确保其与商户合作向 PA-DSS 应用迁移。”
PEC：商户账户提供商在其中扮演什么角色？
费舍尔：“作为支付处理服务提供方，商户银行和 ISO 与商户保持合同关系。收单机构有责任确保存储、处理或传输 Visa 支付卡持卡人数据的商户遵守 PCI DSS 并使用符合 PA-DSS 的应用程序。”
PEC：谁决定电商商户是否使用了不符合规定的购物车？
费舍尔：“商户银行通过承保和审批流程对新商户入驻时的整体风险负责。作为合同关系一部分，商户银行和 ISO 有责任识别商户支付应用并确定其是否符合 PA-DSS 规定。”
PEC：其他方面符合 PCI 但仍使用非 PA-DSS 购物车的电商商户会有什么后果？
费舍尔：“所有存储、处理或传输 Visa 支付卡数据的商户都必须遵守 PCI DSS。PA-DSS 是针对软件提供商的要求，属 PCI DSS 子集。已通过商户银行验证完全符合 PCI DSS 的商户，即满足了 Visa 支付应用安全强制要求。”
PEC：关于即将到来的 PA-DSS 认证截止日期，读者（电商商户）还应知道什么？
菲舍尔：“关于 Visa 支付应用安全要求，若某支付应用已通过 Visa 旧版《支付应用最佳实践》（PABP）标准验证，则仍符合《支付应用安全要求》第 5 阶段要求。请查阅 2009 年 11 月 6 日发布于 www.visa.com/cisp 网站‘支付应用’栏目下的常见问题解答。”