Защита платёжной страницы и контроль скриптов PCI DSS
Проверим и укрепим страницу оплаты с учётом требований PCI DSS к клиентским скриптам и контролю изменений. Составим инвентаризацию ресурсов, ограничим источники через CSP, добавим доступную проверку целостности и настроим обнаружение неожиданной подмены.
Когда стоит обратиться
Обычно к нам обращаются в таких ситуациях:
- На странице оплаты работают аналитика, чат, рекламные пиксели и другие внешние скрипты, а команде нужен полный список их назначения.
- Эквайер или специалист по безопасности запросил контроль скриптов, заголовков и изменений платёжной страницы.
- Команда хочет быстрее замечать внедрение постороннего JavaScript и признаки e-skimming в браузере покупателя.
Что именно мы сделаем
Проходим платёжный путь в браузере и собираем все скрипты, источники, динамические вставки, iframe и важные HTTP-заголовки.
Создаём реестр с владельцем, назначением, способом загрузки и обоснованием для каждого элемента платёжного сценария.
Настраиваем CSP, Subresource Integrity для подходящих статичных ресурсов и контролируемый список разрешённых источников.
Подключаем регулярную проверку содержимого, DOM, скриптов и заголовков с уведомлением о добавлении, удалении или изменении.
Проводим контрольную модификацию, проверяем доставку сигнала и формируем комплект технических материалов для ответственного.
Что входит в стоимость
79 900 ₽ за всю работу
Проходим платёжный путь в браузере и собираем все скрипты, источники, динамические вставки, iframe и важные HTTP-заголовки. Создаём реестр с владельцем, назначением, способом загрузки и обоснованием для каждого элемента платёжного сценария. Настраиваем CSP, Subresource Integrity для подходящих статичных ресурсов и контролируемый список разрешённых источников.
Перед сдачей проверяем, что каждый скрипт нужных страниц присутствует в реестре и связан с источником, назначением и статусом проверки. В комплект результата входят: реестр скриптов платёжного сценария с назначением и ответственными; настройки CSP, контроля целостности и мониторинга изменений; журнал контрольных проверок и комплект технических материалов для эквайера или QSA. Небольшие связанные уточнения, которые появляются во время работы, уже учитываем в стоимости.
Что будет готово
Передадим вам
- Реестр скриптов платёжного сценария с назначением и ответственными.
- Настройки CSP, контроля целостности и мониторинга изменений.
- Журнал контрольных проверок и комплект технических материалов для эквайера или QSA.
Перед сдачей проверим
- Каждый скрипт нужных страниц присутствует в реестре и связан с источником, назначением и статусом проверки.
- Контрольное добавление или изменение кода вызывает запись события и уведомление ответственному.
- Покупка через нужный способ оплаты проходит после включения защитных настроек и сохраняет рабочую аналитику.
Как это выглядит на практике
Обнаружение нового скрипта на странице оплаты
Типичная ситуация: на странице оплаты работают аналитика, чат, рекламные пиксели и другие внешние скрипты, а команде нужен полный список их назначения. Сначала фиксируем эталон платёжной страницы, скриптов и заголовков после согласования реестра, затем добавляем безопасный контрольный ресурс в тестовой среде, а в финале запускаем проверку и получаем уведомление с адресом страницы и описанием изменения.
- 01
Фиксируем эталон платёжной страницы, скриптов и заголовков после согласования реестра.
- 02
Добавляем безопасный контрольный ресурс в тестовой среде.
- 03
Запускаем проверку и получаем уведомление с адресом страницы и описанием изменения.
- 04
Возвращаем эталон, повторяем покупку и сохраняем запись проверки для ответственного.
Что понадобится для работы
От вас
- Список защищаемых страниц и систем, описание недавних проблем и доступные серверные или прикладные журналы.
- Тестовая среда и временный доступ через защищённый канал либо контакт ответственного администратора.
- Небольшой набор исходных данных с понятным ожидаемым результатом: по ним проверим, что покупка через нужный способ оплаты проходит после включения защитных настроек и сохраняет рабочую аналитику.
Если у вас немного другая ситуация
Небольшие уточнения, которые помогают довести согласованный результат до рабочего состояния, уже учитываем в цене. Если по ходу работы появится отдельный крупный блок или понадобится платная лицензия, сначала обсудим варианты и стоимость. Расскажите о своей ситуации — подстроим план под неё.
- 3 000 ₽после подписания договора через Диадок
- 76 900 ₽после выполнения, демонстрации и приёмки результата
Предоплата входит в общую стоимость. Оставшуюся сумму оплачиваете после демонстрации и приёмки готовой работы.
Часто спрашивают
Об этой услуге
Как защитить платёжную страницу по требованиям PCI DSS?
Сначала фиксируем все скрипты, фреймы и внешние ресурсы, которые работают на странице оплаты. Затем сокращаем лишнее, настраиваем политику источников, контроль целостности и журнал разрешённых изменений. Мониторинг сообщает, если состав или содержимое критичного ресурса изменилось неожиданно.
Подходит ли услуга для оплаты через iframe?
Да, страница магазина вокруг iframe тоже способна влиять на платёжный сценарий. Проверяем её скрипты, заголовки и способ подключения формы провайдера.
Что произойдёт после законного обновления аналитики?
Система покажет изменение, ответственный сверит его с релизом и обновит эталон. Такой процесс сохраняет историю и отделяет ожидаемую публикацию от неожиданной вставки.
Как часто выполняется контроль?
Период выбираем по вашему процессу и требованиям принимающей стороны. Для критичной страницы возможна частая автоматическая проверка и отдельный еженедельный отчёт.
Цена и изменения по ходу работы
Цена на странице окончательная?
Да. Перед началом мы сверяем исходные данные и фиксируем результат в договоре. Указанная на странице сумма покрывает согласованную работу целиком, даже если её техническая реализация потребует больше времени, чем ожидалось при оценке.
Что означает резерв незапланированных работ?
Это уже включённый в цену запас времени на небольшие связанные уточнения заказчика, которые появляются после старта: например, добавить поле, изменить формат уведомления или учесть ещё одно условие обработки.
Резерв рассчитывается по формуле: стоимость услуги × 30% ÷ 1 500 ₽. Для услуги за 30 000 ₽ это 6 часов. Эти часы относятся только к дополнительным, заранее незапланированным уточнениям. Они не являются сроком проекта и не ограничивают время на основную работу: согласованный результат мы выполняем полностью.
Можно уточнять детали уже во время работы?
Да. Небольшие связанные изменения обычно помещаются во включённый резерв и не требуют доплаты. Если новая идея заметно меняет результат или превращается в самостоятельную задачу, сначала обсудим подход и стоимость. Любое решение согласуем до выполнения.
Начало работы и оплата
Как оформляются договор и оплата?
Подписываем договор через Диадок. Предоплата составляет 3 000 ₽ и входит в общую стоимость услуги. Остаток оплачивается после демонстрации и приёмки готового результата.
Когда начинается срок выполнения?
Срок отсчитывается после согласования задачи, получения необходимых доступов и материалов, подписания договора и поступления предоплаты. Конкретную дату старта и плановый день готовности подтверждаем перед началом.
Как учитываются платные лицензии и внешние сервисы?
До старта проверяем, нужны ли тарифы, лицензии, сертификаты или дополнительные ресурсы внешних систем. Если они потребуются, заранее покажем варианты и стоимость. По возможности аккаунты и лицензии оформляются сразу на заказчика.
Проверка результата и гарантия
Как принимается готовая работа?
Вместе проверяем согласованные сценарии на контрольных данных или тестовой копии, а затем демонстрируем результат. Для интеграций сверяем передачу данных и обработку ошибок, для сайта — работу нужных страниц и действий пользователя, для отчёта — расчёты и обновление данных.
Какая гарантия действует после сдачи?
На выполненные изменения действует гарантия 3 месяца. Если в изменённой нами части обнаружится ошибка нашей реализации, проверим и исправим её без дополнительной оплаты. Переданные материалы, настройки и код остаются у заказчика.