PCI-overholdelse i checkout: Sådan gør Shopify det nemmere

Det kan være både svært og uoverskueligt at følge med i de nyeste krav til datasikkerhed. PCI DSS v4.0.1 (Payment Card Industry Data Security Standard) indeholder nye krav til beskyttelse mod digital skimming, hvor cyberkriminelle forsøger at stjæle kundernes betalingsoplysninger. Kravene trådte i kraft den 31. marts 2025 og er et vigtigt skridt i kampen mod betalingssvindel, men de medfører også nye udfordringer for mange forhandlere.

Heldigvis gør Shopify Checkout og Shopify Extensions PCI-overholdelse i checkout nemmere. Shopifys sikre checkout-arkitektur hjælper forhandlere med at opfylde kravene i PCI DSS v4.0.1, så de kan bruge mindre tid på tekniske krav og mere tid på at udvikle og vækste deres virksomhed.

Den voksende jungle af regler

Reglerne for virksomheder i den digitale verden bliver mere og mere omfattende og dækker alt fra privatliv og adgang til data til webtilgængelighed og gennemsigtighed i markedsføring. De nye krav i PCI DSS v4, som trådte i kraft den 31. marts 2025, omfatter sikkerhedsforanstaltninger mod digital skimming, hvor cyberkriminelle stjæler kundernes betalingskortoplysninger under checkout. Det sker ved hjælp af skadelig kode, som kan opsnappe betalingsdata eller erstatte sikre indtastningsfelter med falske felter, der indsamler kundernes oplysninger.

Cyberangreb med digital skimming er blevet mere udbredte på verdensplan og sætter følsomme kundedata i fare. I 2019 ramte et Magecart-angreb 3.126 webshops. Angrebet kom efter to andre angreb samme år, som var rettet mod universiteter og e-handelsplatforme i hotelbranchen.

PCI DSS v4.0.1 indeholder flere vigtige opdateringer, men forhandlere bør især være opmærksomme på krav 6.4.3. Det skal beskytte mod digital skimming ved at stille krav til håndteringen af scripts, der indlæses og køres på betalingssider, hvor kunder kan indtaste betalingskortoplysninger.

For at mindske risikoen og overholde kravene skal forhandlere føre en opdateret oversigt over alle godkendte scripts, kontrollere, at de ikke er blevet ændret uden tilladelse, og kunne dokumentere, hvorfor hvert enkelt script er nødvendigt. Der skal også være mekanismer til at opdage uautoriserede ændringer på betalingssiderne. Scripts kan bl.a. bruges til identitetskontrol, digitale wallets og tilmelding til markedsføring. Mange forhandlere har dog begrænset indsigt i, hvilke scripts der kører på deres betalingssider, og det gør kravene sværere at overholde.

Forhandlere, der ikke bruger Shopify, kan have behov for særskilte værktøjer til at beskytte kundernes browsere og kontrollere, hvilke scripts der må indlæses og køres. Sådanne sikkerhedsløsninger kan koste flere hundrede dollars om måneden og kræve både tid og oplæring at administrere. De skal ofte indlæses før sidens øvrige indhold og overvåge, hvordan browseren indlæser og kører JavaScript, men det betyder ikke nødvendigvis, at de påvirker webshoppens ydeevne mærkbart.

Nemmere PCI-overholdelse med Shopify Checkout

Shopify Checkout er udviklet til at levere høj konvertering og beskytte mod sikkerhedstrusler gennem en robust arkitektur. Det er et sikkert og administreret miljø, der gør det nemmere at overholde gældende sikkerhedskrav og beskytte kundernes betalingsdata.

Shopifys arkitektur hjælper med at sikre, at kun godkendt og pålidelig kode kan køre under checkout. Tredjepartsscripts isoleres i sikre, afgrænsede miljøer, også kaldet sandboxes. Det mindsker risikoen for, at uautoriseret kode kan få adgang til følsomme oplysninger eller udføre skadelige handlinger.

Se, hvordan Ilya Grigorik, der er Distinguished Engineer hos Shopify, forklarer, hvordan sandboxing bidrager til et hurtigt og sikkert checkout, der overholder PCI DSS v4 (artiklen er på engelsk).

For Shopify-forhandlere er de relevante sikkerhedsforanstaltninger indbygget i checkout, så de ikke selv skal implementere dem fra bunden. Shopify håndterer sikkerheden i sin checkout-infrastruktur, så forhandlerne kan koncentrere sig om at udvikle deres virksomhed. Det gør det nemmere at overholde PCI DSS-kravene og giver større tryghed omkring håndteringen af betalingsdata.

PCI DSS er en international sikkerhedsstandard, som også gælder for danske webshops. Selvom Shopify håndterer centrale sikkerhedskrav i checkout, kan du som forhandler fortsat have ansvar for at dokumentere overholdelsen af relevante PCI DSS-krav. Du kan læse mere om Shopifys dokumentation i Shopifys danske hjælpecenter.

Shopify Extensions: Tilpasning uden kompromiser

Selvom sikkerhedskravene er strenge, kan Shopify Plus-forhandlere bruge Shopify Extensions til at skabe unikke checkout-oplevelser og integrere de nødvendige værktøjer til rapportering og analyse gennem hele købsforløbet. Traditionelle løsninger til tilpasning af checkout kan medføre sikkerhedsrisici og påvirke ydeevnen, men Shopifys tilgang har flere fordele:

Sikkerhed på virksomhedsniveau: Med Shopify Extensions kører checkout-tilpasninger i et sikkert, isoleret miljø, så de ikke kompromitterer overholdelsen af PCI DSS v4.

Høj ydeevne: Shopify Checkout er optimeret til hastighed og kan håndtere op til 40.000 checkouts pr. butik pr. minut.

Fremtidssikret infrastruktur: Shopify Checkout er et sikkert og administreret miljø, der gør det nemmere at overholde gældende sikkerhedskrav og beskytte betalingskortoplysninger.

Tilpasninger, der holder ved opdateringer: Shopifys arkitektur er fleksibel og robust, så checkout-tilpasninger fortsat fungerer, når platformen opdateres. Nye funktioner bliver automatisk tilgængelige, uden at du selv behøver at opgradere infrastrukturen.

Lyt til vores X Space, hvor vi går i dybden med, hvordan forhandlere kan udvide checkout med apps, der kombinerer høj ydeevne, sikkerhed ved opdateringer og overholdelse af gældende krav. Efterhånden som reglerne udvikler sig verden over, kan forhandlere regne med, at Shopifys arkitektur gør det nemmere at overholde dem (optagelsen er på engelsk).