您应该了解的 PCI DSS 4.0.1 中的重要变化

要求 6.4.3

该要求规定，所有在消费者浏览器中加载和执行的支付页面脚本都应进行如下管理：

• 实施一种方法来确认每个脚本是否被授权。
• 实施一种方法来确保每个脚本的完整性。
• 所有脚本的清单都经过维护，并提供书面的业务或技术依据来说明每个脚本的必要性。

通常，商家依靠支付服务提供商或第三方服务提供商（PSP 或 TPSP）进行支付处理，这决定了消费者支付所购买商品或服务的方式。 该 PCI 要求引起了与商家使用包含支付页面的 PSP/TPSP 内联框架 (iframe) 的场景的责任模型相关的混淆。 iframe 本质上是一个为特定功能而呈现的小型网页。 脚本也可以在其上运行，使得 iframe 容易受到与父网页相同的风险。 因此，iframe 是否需要遵循与父页面相同的 PCI 要求？

v4.0.1 更新明确指出，商家仅对在自己的页面（父页面）上运行的脚本负责，而不对在 PSP/TPSP iframe 上运行的脚本负责。

最佳做法： 商家有责任与 PSP/TPSP iframe 页面供应商合作，以确保其合规且安全。 如果商家不满足此要求，他们将面临支付欺诈的问题，导致业务损失和 PCI 的严格审查。

要求 11.6.1

围绕要求 11.6.1 也包含了类似的澄清，强调了消费者浏览器收到的 HTTP 标头和脚本的安全影响系统。 这是一个重要的变化，因为 PCI 明确表示其重点是与此要求相关的风险，而不是要求对与安全无关的 HTTP 标头和脚本事件提供更广泛的保护。

PSP/TPSP 嵌入式 iframe 的责任模型也进行了更新，明确商家仅对父网页负责，PSP/TPSP 供应商负责其 iframe 中呈现的影响安全的 HTTP 标头和脚本。