ヘロクでホストされているアプリのストリーミングチェック - 安全な支払い（SSL）

Question

オンラインコースであるヘロク（まだ開発中でライブではない）でホストされているアプリがあります。ユーザーは無料でサインアップでき、無料のビデオセクションにアクセスできます。フリービデオセクションにはストライプペイメントボタンがあります。メンバーになると、支払いが可能になり、支払いが成功すると、アプリの「メンバーシップ」ビデオセクションにアクセスできます。

私の質問は、SSLを使って支払いをすることです。私はこの質問をStripeに聞いてきて、彼らは答えました：*

はい、PCI準拠のTSL/SSL証明書を設定する必要があります。 Herokuを使用しているので、その詳細についてはカスタマーサポートにお問い合わせください。

私は、Herokuのに話し、彼らはストライプに連絡すると言わ...

私はこの分野で非常に経験ないんだと、誰かが私が何をする必要があるかをお勧めすることができますか？ Stripe CheckoutポップアップがアクティブになっているときにSSLをアクティブ化する必要がありますか。 Stripe CheckoutはSSLを必要としますか、それとも既に安全ですか？

詳細情報：私はHeroku Professional Standardパッケージを使用しています。

私はストライプスのウェブサイトから、次を発見した：

PCIコンプライアンスは共同責任であるとストライプとビジネスの両方に適用されます。支払いを受け入れるときは、PCIに準拠した方法で支払いを行う必要があります。 PCIに準拠するための最も簡単な方法は、カードデータをまったく参照しない（またはアクセスする）ことです。ストライプは、顧客のカード情報を保護するために重い持ち上げを行うことができるので、これを簡単にします。あなたがいる限り、あなたのPCIコンプライアンスを簡素化することができます。

使用チェックアウト、Stripe.jsおよび要素、または当社のモバイルSDKライブラリしっかりそれはあなたのサーバーを通過することなくストライプに直接送信された支払い情報を、収集します

私はその後、私はさらに何もする必要はありませんが、ちょうど私が支払いを取り始める前に、100％を確認したい、私はストライプチェックアウトを使用していてかなり確信している...

おかげ

Answer 1

ストライプチェックアウト自体StripeのサーバーからHTTPS経由で配信される場合は、ストライプチェックを含む支払いページも、有効なTLS証明書を使用してHTTPS経由で配信され、PCI compliantになる必要があります。

（サイトが暗号化されていないHTTP経由で提供された場合には技術的には、攻撃者がman-in-the-middle攻撃を行い、悪質なスクリプトにURLをhttps://checkout.stripe.com/checkout.jsを変更することができます。）

あなたは単にHerokuのを依頼する必要がありますあなたのサイトでHTTPSをセットアップするのに役立ちます。ストライプを使用しているという事実は、の理由だけです。なぜが必要ですが、Herokuでは何も変わりません。