# SaaS 和数字产品 PCI 合规清单 > 面向销售数字产品的 SaaS 公司的实用 PCI 合规清单。了解 SAQ 类型、合规范围缩减，以及 MoR（名义商户）如何简化合规流程。 - **Author**: Ayush Agarwal - **Published**: 2026-04-15 - **Category**: Compliance, Security - **URL**: https://dodopayments.com/blogs/zh/pci-compliance-checklist-saas --- 如果你接受信用卡付款，PCI DSS 合规并非可选项。《支付卡行业数据安全标准》适用于所有存储、处理或传输持卡人数据的企业----包括 SaaS 公司和数字产品销售商。 好消息是：大多数 SaaS 企业不需要成为安全专家。你所需的合规级别取决于你如何处理卡数据，而正确的支付架构可以将你的合规范围缩减为每年填写一份简单的问卷。 本清单涵盖 SaaS 公司为实现 PCI 合规实际需要完成的事项、如何尽量缩小合规范围，以及名义商户如何彻底消除这项负担。 ## PCI DSS 合规级别 PCI 合规要求会根据你的交易量进行调整： | 级别 | 年度交易量 | 要求 | | ------ | --------------------------- | -------------------- | | 级别 4 | 低于 20,000 笔电商交易 | SAQ + 每季度漏洞扫描 | | 级别 3 | 20,000-1,000,000 笔电商交易 | SAQ + 每季度漏洞扫描 | | 级别 2 | 1,000,000-6,000,000 笔 | SAQ + 每季度漏洞扫描 | | 级别 1 | 超过 6,000,000 笔 | QSA 每年进行现场审计 | 大多数 SaaS 公司属于级别 3 或 4，这意味着完成自评问卷（SAQ），而不是进行昂贵的现场审计。 ## SAQ 类型：你需要哪一种？ SAQ 类型取决于你的结账流程如何处理卡数据： ```mermaid flowchart TD A[你如何接受银行卡付款？] -->|"重定向至支付服务商"| B[SAQ A - 22 个问题] A -->|"嵌入服务商的 iframe"| C[SAQ A-EP - 139 个问题] A -->|"在你的服务器上处理卡数据"| D[SAQ D - 329 个问题] A -->|"使用 MoR（名义商户）"| E[无需 SAQ - MoR（名义商户）负责处理] ``` - **SAQ A**（22 个问题）：你将客户重定向到托管支付页面。你的服务器永远不会接触卡数据。这是最简单的合规方式。 - **SAQ A-EP**（139 个问题）：你在页面中嵌入支付服务商的 iframe 或 JavaScript。卡数据会经过你的域名，但不会经过你的服务器。 - **SAQ D**（329 个问题）：你直接在自己的服务器上处理卡数据。这是最复杂的合规方式。尽可能避免这种方式。 > 缩小 PCI 合规范围最快的方法，就是绝不让卡数据接触你的基础设施。使用托管结账页面、iframe 或 MoR（名义商户）。原始卡号一旦进入你的服务器，你就要承担 PCI DSS 合规的全部负担。 > > - Ayush Agarwal，Dodo Payments 联合创始人兼 CPTO ## PCI 合规清单 ### 网络安全 - [ ] 安装并维护防火墙配置，以保护持卡人数据 - [ ] 不使用供应商提供的系统密码和安全参数默认值 - [ ] 对网络进行分段，将支付处理系统隔离 - [ ] 仅允许必要的入站和出站流量 ### 数据保护 - [ ] 授权后绝不存储 CVV/CVC 代码 - [ ] 绝不存储完整的磁条数据 - [ ] 使用强加密算法（AES-256）加密静态持卡人数据 - [ ] 使用 TLS 1.2 或更高版本加密传输中的持卡人数据 - [ ] 维护数据清单，记录持卡人数据的流转位置 - [ ] 实施数据保留政策----数据保存时间不得超过实际所需期限 ### 访问控制 - [ ] 按需知悉原则限制对持卡人数据的访问 - [ ] 为每一位拥有计算机访问权限的人员分配唯一 ID - [ ] 对管理访问实施多因素身份验证 - [ ] 限制对含有持卡人数据的系统进行物理访问 - [ ] 记录并监控对网络资源和持卡人数据的所有访问 ### 漏洞管理 - [ ] 使用并定期更新防病毒软件 - [ ] 开发并维护安全的系统和应用程序 - [ ] 由获批准的扫描服务商（ASV）每季度执行漏洞扫描 - [ ] 每年进行渗透测试 - [ ] 为所有系统和软件安装补丁并保持更新 ### 监控与测试 - [ ] 跟踪并监控对网络资源和持卡人数据的所有访问 - [ ] 为所有系统组件实施审计跟踪 - [ ] 每天检查日志中的安全事件 - [ ] 定期测试安全系统和流程 - [ ] 制定并维护事件响应计划 ### 政策与文档 - [ ] 维护一份涵盖所有人员信息安全要求的安全政策 - [ ] 每年为员工开展安全意识培训 - [ ] 记录所有安全流程并及时更新 - [ ] 每年进行风险评估 ## 如何尽量缩小 PCI 合规范围 ### 使用托管结账页面 当客户在完全由支付服务商托管的页面上输入卡片信息时，你的服务器永远不会接触卡数据。这样你就符合 SAQ A 的条件----这是最简单的合规级别。 [Dodo Payments](https://dodopayments.com) 通过 [overlay checkout](https://docs.dodopayments.com/developer-resources/overlay-checkout) 和 [inline checkout](https://docs.dodopayments.com/developer-resources/inline-checkout) 小组件提供托管结账功能。卡数据会直接发送到符合 PCI 要求的 Dodo 服务器，不会接触你的基础设施。 ### 使用令牌化 如果你需要为周期性计费存储支付信息，请使用令牌，而不是原始卡号。令牌是没有实际意义的字符串，用于引用由支付服务商安全存储的真实卡数据。 包括 [Dodo Payments](https://dodopayments.com) 在内的所有主要支付处理商，都会自动为[订阅计费](https://docs.dodopayments.com/features/subscription)处理令牌化。 ### 使用 MoR（名义商户） [MoR（名义商户）](https://dodopayments.com/blogs/what-is-a-merchant-of-record) 是负责处理支付的法律实体。当你使用 Dodo Payments 这样的 MoR（名义商户）时，MoR（名义商户）会处理所有卡数据，并承担 PCI 合规义务。你的 SaaS 应用不会处理、存储或传输持卡人数据。 这是可能实现的最大范围缩减----你实际上将 PCI 合规完全外包了。 ## PCI 合规成本 | 方案 | 年度成本 | 工作量 | | --------------------- | ---------------------- | ------------------------------- | | SAQ A（托管结账） | $500-$2,000 | 低----年度问卷 + ASV 扫描 | | SAQ A-EP（iframe/JS） | $2,000-$10,000 | 中----更长的问卷 + 扫描 | | SAQ D（处理卡数据） | $20,000-$100,000+ | 高----完整评估、渗透测试 | | MoR（名义商户） | $0（已包含在处理费中） | 无----MoR（名义商户）负责全部工作 | 对于大多数 SaaS 公司来说，SAQ A 和 SAQ D 之间的成本差异非常巨大。你在早期做出的架构决策，会决定你最终属于哪一类。 ## 常见的 PCI 合规错误 ### 记录卡数据 即使你只是为了调试而记录 API 请求，如果这些日志包含完整卡号，你就在存储持卡人数据，并且属于 SAQ D 的合规范围。 **解决方法**：配置日志记录功能，对卡片字段进行屏蔽或排除。在日志中使用令牌，而不是原始卡数据。 ### 将卡数据存储在数据库中 一些开发者为了"方便"而直接将卡号存储在数据库中。这会立即使你进入 SAQ D 合规范围。 **解决方法**：使用支付服务商的保管库和令牌化功能。在数据库中引用令牌，而不是卡号。 ### 未对网络进行分段 如果你的支付处理系统与应用服务器共享同一个网络，那么你的整个基础设施都属于 PCI 合规范围。 **解决方法**：将支付处理隔离到单独的网络分段中，并使用防火墙规则限制访问。 ### 忽视第三方风险 如果第三方集成代表你处理卡数据，其 PCI 合规状态会影响你的合规状态。 **解决方法**：确认所有第三方支付集成都符合 PCI DSS 要求，并索取其合规证明（AOC）。 ## PCI DSS 4.0 的变化 PCI DSS 4.0 引入了会影响 SaaS 公司的重大更新： - **定制化方法**：在满足要求的方式上拥有更大灵活性（允许采用替代控制措施） - **多因素身份验证**：所有对持卡人数据环境的访问都必须进行多因素身份验证，而不仅限于远程访问 - **自动化安全测试**：更加重视使用自动化工具检测漏洞 - **第三方脚本**：对管理支付页面中加载的 JavaScript 提出了更严格的要求 - **针对性风险分析**：对于此前频率规定较为明确的多项控制措施，现要求进行针对性风险分析 这些变化进一步凸显了缩小 PCI 合规范围的价值。你处理的卡数据越少，适用于你的新要求就越少。 如需了解相关安全主题，请参阅我们的 [3D Secure 身份验证](https://dodopayments.com/blogs/3d-secure-3ds-payment-authentication)、[风控](https://dodopayments.com/blogs/friendly-fraud-prevention)、[拒付防控](https://dodopayments.com/blogs/chargeback-prevention-saas)和 [MoR（名义商户）法律合规](https://dodopayments.com/blogs/merchant-of-record-legal-compliance)指南。 ## 合规始于首次交易之前 PCI 清单涵盖你上线后如何处理卡数据。真正上线还涉及一道独立的监管关卡，常常让团队措手不及。 支付服务商属于受监管的金融机构，因此在处理任何支付之前，必须核实正在入驻的企业及其控制人。这意味着需要提供实体的注册证明、董事和超过规定门槛的受益所有人的身份证明，以及针对制裁名单和负面媒体名单进行筛查。 我们的 [KYB 验证](https://dodopayments.com/blogs/kyb-verification)指南详细介绍了需要提供哪些材料以及原因：多层级的所有权结构会将原本两天的审核变成两周。[商户承保审核](https://dodopayments.com/blogs/merchant-underwriting-explained)则介绍了与之并行的独立商业风险审查。 ## 常见问题 ### SaaS 公司需要 PCI 合规吗？ 如果你以任何形式接受信用卡付款，就需要。合规范围取决于你如何处理卡数据。如果你使用托管结账或 MoR（名义商户），并且从未接触卡数据，你所需的合规工作很少（SAQ A，甚至完全不需要 SAQ）。如果你直接处理卡数据，则需要实现完整的 PCI DSS 合规。 ### PCI 合规需要多长时间？ 对于 SAQ A（托管结账），首次合规通常需要 1-2 周，包括填写问卷和进行首次漏洞扫描。对于 SAQ D（处理卡数据），首次合规预计需要 3-6 个月，包括基础设施改造、文档准备和渗透测试。使用 MoR（名义商户）则可以完全免除这段时间。 ### 如果我不符合 PCI 要求，会发生什么？ 不合规可能导致银行卡组织处以每月 $5,000-$100,000 的罚款、提高处理费，最终甚至失去接受信用卡付款的能力。如果在不合规期间发生数据泄露，你还可能面临额外处罚、诉讼和品牌损害。 ### 我可以使用 MoR（名义商户）来完全避免 PCI 合规吗？ 实际上可以。当 Dodo Payments 这样的 MoR（名义商户）处理支付时，MoR（名义商户）会处理所有卡数据并承担 PCI 合规义务。你的应用不会接触持卡人数据，因此 PCI DSS 要求不适用于你的系统。你仍应遵循通用的安全最佳实践，但正式的 PCI 合规负担会转移给 MoR（名义商户）。 ### 我需要多久更新一次 PCI 合规？ PCI 合规要求每年更新：完成适用的 SAQ，并通过获批准的扫描服务商进行的每季度网络漏洞扫描。部分要求（如日志审查和访问审查）需要每天或每月执行。提交年度 SAQ 是正式的合规节点。 ## 总结 对于 SaaS 公司来说，PCI 合规不必昂贵或复杂。关键决定在于架构：让卡数据远离你的服务器，你就能符合最简单的合规级别。使用 MoR（名义商户），你就能彻底消除合规负担。 如果你希望获得将 PCI 合规、税务和拒付处理纳入服务的支付处理方案，请访问 [Dodo Payments](https://dodopayments.com) 并查看[价格](https://dodopayments.com/pricing)。 --- - [More Compliance articles](https://dodopayments.com/blogs/category/compliance) - [All articles](https://dodopayments.com/blogs)