PCI

Scope

SCaptcha non tratta dati dei titolari di carta e può essere distribuito in ambienti PCI per ridurre gli abusi automatizzati.

This page maps SCaptcha 2.3.0 behavior to the named framework. It is not a certification or legal advice.

Fuori ambito per i dati di carta

SCaptcha non gestisce dati del titolare, token di pagamento o dettagli di autorizzazione.

La verifica avviene prima dell’invio e può ridurre gli abusi automatizzati nei flussi di checkout.

Perimetro di sicurezza auto-ospitato

Il trattamento auto-ospitato evita l’invio di telemetria di sicurezza a fornitori CAPTCHA esterni.

Usi HTTPS e protegga l’accesso amministrativo come parte del programma PCI.

Logging e monitoraggio

I log restano nella Sua infrastruttura e possono essere protetti secondo i controlli di accesso PCI.

SCaptcha supporta, ma non sostituisce, i requisiti PCI DSS.

Checklist di implementazione

Limiti l’accesso ai log di sicurezza, imposti finestre di conservazione e monitori i picchi di abuso durante eventi di pagamento.

Riveda eventuali look-up esterni rispetto alle policy PCI prima di abilitarli.

SCaptcha 2.3.0 behavior

Ogni challenge usa un salt indipendente di 32 byte generato in modo crittograficamente sicuro. L’installazione WoltLab convalida salt, hash, algoritmo, soluzione e HMAC nella sessione che l’ha emesso. La challenge scade dopo 60 secondi e non richiede provider CAPTCHA esterni.

Disattivata per impostazione predefinita. Se attivata, SCaptcha invia l’IP pubblico a proxycheck.io per indizi su proxy, VPN o Tor. SCaptcha 2.3.0 invia tag=0 per impostazione predefinita; l’amministratore può attivare i log del provider. L’IP viene comunque trasmesso.

Il marcatore prima dell’invio e la prova testuale o audio opzionale durano 5 minuti. Under-Attack usa un cookie firmato legato allo user agent per 5–30 minuti (10 di default). Sentinel può conservare per 10 minuti un rifiuto deciso dal server ed è disattivato per impostazione predefinita.

L’analisi delle richieste è attiva per impostazione predefinita e può memorizzare dati operativi collegabili: IP, user agent, richiesta, rete, posizione, motivi e telemetria inviata. La conservazione predefinita è 90 giorni, regolabile da 1 a 3.650. Disattivarla non elimina righe o esportazioni esistenti.

What operators need to review

Document enabled features, limit access to security logs, and assess optional external services separately. SCaptcha does not replace legal review or accessibility testing of the complete website.

Enable only the options you need. Update privacy and cookie notices, restrict access to analytics and logs, and test the actual form integration before launch.