security - 3Dセキュア決済を安全に実装する方法

Question

3Dセキュア検証が必要なクレジットカードからの支払いを受け入れる最良の方法は何でしょうか。現在、チェックアウトフローは次のようになっています。

1. 顧客が支払いを提出する
2. ペイメントゲートウェイは、カードに3Dセキュアコード処理が必要であることを示すエラーを返します。応答でACSURLを返します
3. ユーザーを発行銀行の確認サイトにリダイレクトし、確認の完了後にリダイレクトするACSのコールバックURLを渡します
4. カスタマーが検証コードを入力すると、ACSは検証が成功したことを示す認証トークンを使用してコールバックURLにリダイレクトします
5. プロセスを完了するには、承認トークンを使用して元のリクエストを支払いゲートウェイに再送信する必要があります

私の問題は最終段階にあります。元のリクエスト（顧客のクレジットカード情報を含む）を再送信する必要があるため、コールバックURLが呼び出されたときに取得できるように、一時的にどこかに保存する必要があります。これに代わるものはありますか？

iframeソリューションを試すことを考えています。元のフォームが閉じられることはなく、検証プロセスをiframeに表示します。プロセスが完了すると、つまりコールバックURLが呼び出されると、iframeを非表示にして、元のフォームを必要な値で更新し、再送信します。誰かが以前にこのテクニックを試したことがありますか？

---

Answer 1

リンクした記事で既にお気づきかもしれませんが、銀行のページを iframe で表示することは推奨されるオプションです。さらに読むと、特にフィッシング保護に関して、他のセキュリティ機能が提示されます. クライアントは、自分のパスワードを実際に誰に送信しているのかわからないからです。

しかし、提案に戻ると、iframe またはポップアップ ウィンドウで提示すると、元のフォームをベース ページに保存し、受け取った認証トークンを使用して再送信できます。PCI 準拠の作業を行う必要がないため、これは非常に良い考えです。したがって、それはあなたにとってより簡単であるだけでなく、推奨されます:)。

Answer 2

私は最近、3D セキュアを使用していくつかの作業を行いました。私の個人的な経験から：

1. クレジット カード情報を転送 URL と共に銀行の 3D セキュア URL に渡します。
2. ユーザーは 3D セキュア URL にリダイレクトされ、パスワードを入力するよう求められます。
3. 彼が [続行] をクリックすると、ユーザーは承認トークンを含む転送 URL に渡されます。クレジット カード情報も渡されます。