私は新しいクライアントとのプロジェクトに取り組んでいますが、ビジネスの種類が原因で、オンライン支払いを処理するためのマーチャント アカウントを取得するのに問題がありました。このシステムは、Just Eat/Expedia などと同じように機能し、顧客がサイトで注文してから会場に渡され、サイトが手数料を取ります。
クライアントは、顧客の支払いの詳細をデータベースに (暗号化して) 保存し、それを会場に渡して、社内のカード システムを使用して処理できるかどうかを尋ねました。これには PCI コンプライアンスの問題があることは承知していますが、何をする必要があるかについて正確な回答を得ることができませんでした。私はいくつかのホスティング会社と話をしましたが、ある会社は別の Web サーバーとデータベース サーバーを備えたクラスターが必要だと言っていますが、別の会社はそうしないと言っていました。私はこれまでにこのようなことをしたことがありません。通常は、SagePay などの誰かに支払い処理を委託するだけです。
提案された支払いフローは次のとおりです。
- お客様がウェブサイトで注文する
- 支払いの詳細はデータベースに保存されます
- 顧客に注文確認メールが送信されます。会場には注文通知がメールで送信されます。会場が注文を受け入れると、注文と支払いの詳細が社内のオフライン処理のために送信されます
- 会場が社内で支払いを行うと、注文が確認され、支払いの詳細がサイトのデータベースから削除されます
- お客様に最終注文確認メールが送信されます
私はすべてのプロセスが正しいことを確認したいと思っています。私が望んでいるのは、サイトが攻撃され、支払いの詳細が盗まれ、損失の責任を負わされることです!
アドバイスをいただければ幸いです。