电子商务最佳实践:对于被拒绝的信用卡,有多少信息太多?

在过去,我已经尽可能多地提供了信息,并使人们尽可能容易地改正错误。不想停止一个潜在的销售(或者在我的例子中是捐赠)。关于处理欺诈,不要试图通过希望将其纳入一个坏的CCV号码来减缓他们的速度来处理它,以其他方式处理它,例如跟踪一个会话尝试处理一张卡的频率(以及失败),如果在x时间内次数太多,则将其列入黑名单。不过,这是一个单独的问题。

大约4年前,我参加了一次PCI合规性审查,当时的策略是简单地向用户返回一个已接受或已拒绝的事务ID。如果交易被拒绝,我们添加了一条注释“有关更多信息,请联系您的信用卡提供商并引用此号码…”。

其理由是,如果有人试图生成卡号,你不想向他们提供任何关于如何更改以获得有效卡的信息。如果这是一个真实的人,有太多的事情出错了,你没有立场去解决,只是告诉他们联系他们的卡提供商。即使事务响应是“卡过期”,它也可能是其他东西,您不知道,所以不要猜测。

另外,如果您返回带有付款字段的页面,不要预先填充它们,将它们留空。顾客可能会偏执地想:“嘿,这东西是不是还记得我的信用卡信息??“卡被拒绝的最可能原因是他们输入了错误的内容,并且通过再次使用错误的信息对其进行预填充,您只会诱使他们一遍又一遍地单击提交,直到超过其信用额度。去了,做了。

在过去,我曾试图尽可能地成为一名将军。例如,如果您告诉CVV2号不正确。当然,这有助于有效的持卡人让他们知道是CVV2不正确。它还让不受欢迎的人知道信用卡号 是 对的。如果他们不断失败,也许你会提示他们联系某人。

当您谈论预填充字段时,是指它们失败后重试,还是在完全独立的场合?

如果是在他们失败之后,在我看来,这样做的安全方法是不再显示它,但你需要确保他们不能点击回来获得相同的信息,否则没有意义。不过,这可能没什么关系。

如果你谈论的是一个完全独立的场合,你需要在某个地方存储这些信息。如果在你的服务器上,我建议你看一下 PCI-DSS . 即使您只是将数据传输到网关,您也需要遵守。