Est-il possible de faire des paiements par carte de crédit à partir d'un serveur heroku utilisant activemerchant?

Question

Je suis la construction d'une application qui doit accepter les paiements par carte de crédit avec quelque chose comme active merchant. En termes de sécurité, est-il possible de vivre sur heroku et d'utiliser authorize.net (ou similaire) comme passerelle de paiement?

Et si vous avez besoin de stocker les numéros de cartes de crédit?

Modifier

ne serait pas le renvoi aux utilisateurs de authorize.net.

Answer 1

La réponse simple est oui, je crois, mais au-delà cela dépend.

Vous pouvez définir des variables d'environnement pour diverses clés et autres valeurs associées au service tiers (http://docs.heroku.com/config-vars), ou simplement les vérifier et les déployer.

Si vous utilisez le service de paiement hébergé pour authorize.net, et que vous transférez vers leur site, vous n'avez pas besoin de vous-même. Si vous hébergez le formulaire où le numéro de carte de crédit et les informations personnelles sont soumises, puis le transmettre à authorize.net via leur API sur le serveur, vous devez configurer ssl pour heroku (http://docs.heroku.com/ssl) afin que votre formulaire est sécurisé. Maintenant, c'est une chose d'accepter le paiement par carte de crédit et juste le passer, il est un autre pour enregistrer les numéros de carte de crédit et d'autres informations privées. Sans vous pointer vers divers documents de normes de sécurité (PCI DSS s'applique ici), je dirai simplement que sauf si vous devez absolument, ne stockez pas les numéros CC et les informations personnelles connexes, juste en avant à la passerelle et assurez-vous que vous n'êtes pas consignation de ces champs (http://guides.rubyonrails.org/security.html#logging). Si vous avez besoin de stocker des données de carte de crédit, je pense que vous devez avoir plus de contrôle sur la base de données et le serveur pour atteindre la conformité, et je ne connais pas d'hôte cloud général comme AWS ou heroku. un autre utilisateur de SO me corrigera). En utilisant une passerelle de paiement comme authorize.net, cependant, vous pouvez y arriver. Je voudrais également souligner que différents états ont maintenant des lois sur le stockage des données sensibles (comme MA, où je vis), donc encore une autre raison d'éviter de le faire à moins que ce soit essentiel pour votre modèle d'affaires.

Pour un peu daté, mais une bonne discussion générale de la conformité PCI, regardez ici: http://broadcast.oreilly.com/2009/02/pci-in-the-cloud.html