Comme mentionné ci-dessus, ne stockez pas les informations de carte de crédit dans une base de données. C'est une recette pour les ennuis. Cela fera de vous une cible très attrayante pour les pirates et, s'ils réussissent à les récupérer, mettre fin à votre activité et potentiellement ruiner votre vie ainsi que celle de ceux dont les numéros de carte de crédit sont volés.
Cela dit, voici trois choses à considérer :
1) Votre meilleur pari est d'utiliser un processeur de paiement/passerelle de paiement qui offre une facturation récurrente. Un exemple de ceci est la facturation récurrente automatisée d'Authorize.Net un service. Une fois que vous avez configuré l'abonnement, ils factureront automatiquement l'utilisateur chaque mois pour vous automatiquement et vous informeront des résultats de la transaction. Cela vous évite une tonne de travail et vous libère de la responsabilité de stocker les informations de carte de crédit.
2) Si vous stockez des numéros de carte de crédit, vous devez suivre les directives PCI . Ces directives sont établies par l'industrie des cartes de paiement et définissent ce que vous pouvez et ne pouvez pas faire. Il définit également comment les informations de carte de crédit doivent être stockées. Vous devrez crypter les numéros de carte de crédit et vous devriez, mais n'y êtes pas obligé, crypter les informations connexes (date d'expiration, etc.). Vous devrez également vous assurer que votre serveur Web et votre réseau sont sécurisés. Le non-respect de la conformité PCI entraînera la perte de votre compte marchand et l'interdiction d'avoir un vrai compte marchand pour toujours. Cela vous limiterait à l'utilisation de processeurs tiers qui sont moins flexibles. Gardez à l'esprit que les directives PCI sont un bon début, mais pas un "comment faire" en matière de sécurité en ligne. Votre objectif serait de dépasser la recommandation (de beaucoup).
3) Les lois spécifiques aux États et aux pays prévalent sur la conformité PCI. Si vous subissez une infraction et que des numéros de carte de crédit sont volés, vous risquez des poursuites pénales. Les lois varient d'un État à l'autre et sont en constante évolution, car les législateurs commencent à peine à se rendre compte de la gravité de l'affaire.
En ce qui concerne le cryptage, assurez-vous de lire quels algorithmes de cryptage sont sécurisés et n'ont pas encore été cassés. Blowfish est un bon début et si vous utilisez PHP la bibliothèque mcrypt est recommandé (exemple ).
