Un cliente mi ha chiesto di ricevere via e-mail le informazioni sulla carta di credito dei suoi clienti. So che è un modo molto poco sicuro ... Ma se la pagina con il modulo di input è su HTTPS, e poi io uso un smtp (come mandrill) che usa un SSL / TLS ... l'email può essere annusata da qualcuno?
Modifica:
L'utilizzo di un sistema di crittografia come link (con la loro API) potrebbe essere una soluzione?
Non mi fiderei che i dettagli della carta di credito vengano inviati tramite e-mail non crittografati e, anche se non sono un esperto di PCI, ritengo che viola i requisiti PCI per proteggere i dati dei titolari di carta . HTTPS si limita a crittografare il trasferimento dei dati tra il browser Web e il server Web attraverso la rete. Se il tuo client di posta elettronica è configurato per utilizzare SMTP con SSL, codifica solo il trasferimento di dati tra il tuo client di posta elettronica e il tuo dominio di posta elettronica (ad esempio, se il tuo indirizzo è gmail.com è crittografato mentre viene inviato ai server di Gmail, ma Gmail può completamente leggi i tuoi dati). Il tuo server di posta può indirizzare la tua email in chiaro a molti altri server (chi sarebbe in grado di leggere tali informazioni), se necessario, andando anche su reti non crittografate, se necessario.
Inoltre, non mi fiderei dei dati PCI con un'azienda come link . Dicono che generano casualmente una chiave di decrittazione, che invieranno a te, e dicono anche che non manterranno la propria copia di quella chiave. L'ultima parte fa affidamento su di te, fidandoti di non conservare una copia della tua chiave o messaggio in chiaro, e semplicemente non mi fiderei di farlo senza un accordo commerciale esplicito che li ritenga responsabili di eventuali difetti nella loro configurazione di implementazione che consentano qualsiasi malintenzionato admin (o hacker) alla fine per rubare i tuoi dati. Se è necessario inviare dati sensibili tramite e-mail, lo salverei in un file e crittografarlo in qualche modo localmente (sullo stesso computer) e quindi inviare il file crittografato al client, e su un canale sicuro separato dare al client la passphrase / chiave per decodificarlo.
Se questo deve essere fatto di rado, forse qualcosa di semplice come installare GPG in un ambiente Linux / unix (come Mac OS X) e usare gpg -c sensitive_file.txt , che ti chiederà una passphrase e creare un file crittografato sensitive_file.txt.gpg che puoi quindi inviare all'altra parte per decrittografare ( gpg -d sensitive_file.txt.gpg ) con una passphrase che hai condiviso di persona o tramite un canale non intercettabile. In caso contrario, è necessario impostare entrambe le chiavi pubbliche / private di cui si ha fiducia, quindi configurare client di posta elettronica crittografati con PGP o S / MIME. Questo è un po 'più di lavoro, ma la maggior parte dei moderni client di posta elettronica supporta una qualche forma di crittografia email.
PS: questa richiesta sembra molto strana. Sei sicuro di non essere socialmente ingegnerizzato da qualcuno che cerca di rubare informazioni sulla carta di credito? Assicurati che questo sia davvero il tuo cliente, non qualcuno che si presenta come il cliente (ad esempio dopo aver ottenuto le credenziali di accesso / la password dell'account e-mail in una varietà di modi) che sta cercando di indurti a fornire informazioni sulla carta di credito in un tentativo di phishing .
Suppongo che voglia usare un qualche tipo di macchina PDQ che ha già per elaborare i dettagli della carta, piuttosto che impostare un account commerciante Internet separato?
Indipendentemente dal fatto che sia sicuro o meno, a seconda del paese in cui si trova è quasi certamente illegale e / o contro i termini e le condizioni dei processori di pagamento. Lo scoraggerei molto, infatti mi rifiuto personalmente di implementare un sistema del genere.
Non è solo il trasferimento dei dettagli di cui devi preoccuparti, ma è anche il modo in cui vengono archiviati quando raggiungono la loro destinazione. Leggi il link per ulteriori informazioni.
(Ci scusiamo per non aver risposto alla tua domanda, ma davvero non penso che questa sia anche un'opzione che dovresti prendere in considerazione.)
Leggi altre domande sui tag email smtp credit-card