PCI DSS 到底在管谁
先把这个名字拆开：PCI DSS 是支付卡行业数据安全标准，由主要卡品牌共同参与设立、由 PCI 安全标准委员会维护。它不是法律，也不由任何监管机构签发。一条法律由立法与执法机关制定，而这个标准的约束力来自另一处——卡品牌与收单方之间的合同关系。不达标不会招来执法，但可能面临罚则、被要求额外验证，严重时无法继续受理卡付款。
标准要求：任何存储、处理或传输卡数据的机构，都要满足一组控制项。这些控制项的数量与编号会随版本调整，主体则长期围绕六件事：安全网络、保护存储的数据、漏洞管理、访问控制、监控与测试、以及安全策略。
还有一点必须先说清：标准由各机构自己划定范围，范围指的是哪些系统碰过卡数据。范围划得小，评估结论再漂亮，也只代表被划进去的那部分受控。这是读任何合规声明时都该先问的那句：「范围是什么」。标准文本与版本信息由 PCI 安全标准委员会维护。
卡数据不是一种东西
这套标准里最核心的分类，是把卡上的数据分成两类，对它们的态度完全不同：
| 持卡人数据（CHD） | 敏感认证数据（SAD） | |
|---|---|---|
| 包含什么 | 卡号（PAN）、持卡人姓名、有效期 | 完整磁道数据、卡背安全码（CVV2 / CVC2 / CAV2 / CID）、PIN 与 PIN 块 |
| 能否留存 | 可以，但必须让它不可读 | 授权完成后不得留存 |
| 存储要求 | 加密、哈希、截断或令牌化中选一种 | 不存在「合规的留存方式」 |
| 泄露后果 | 需与其他数据结合，才可能用于交易 | 可直接用于无卡交易 |
右边一列是整套标准里最硬的一条：它基本没有例外，只有「不能留」。
区别对待的原因很直接：卡号、姓名与有效期在许多环节都会出现，一律禁止留存会让业务无法运转；而磁道数据与安全码在完成授权之后，对正常业务没有任何用途，留着它们只有风险。
所以「能不能看到安全码」要分场合判断。在发卡方向持卡人本人展示自己卡片要素，是必要且正当的；而一个你消费过的商户，事后能把你的完整卡号与安全码一起显示出来，那才是明确的负面信号——它大概留了不该留的东西。
脱敏、加密与令牌化
保护卡号的手段常被混着说，但它们的可逆程度不同，适用场景也因此完全不同：
| 手段 | 做了什么 | 可逆吗 | 典型用途 |
|---|---|---|---|
| 加密 | 用密钥把卡号变成密文 | 可逆，有密钥就能还原 | 存储与传输 |
| 截断 / 遮蔽 | 只保留部分字符，其余替换掉 | 不可逆 | 显示卡号（首六末四） |
| 哈希 | 单向摘要，只能用来比对 | 不可逆 | 判断是不是同一张卡 |
| 令牌化 | 用替代值替换，映射关系在签发方那里 | 持有者无法还原 | 商户下期还能扣款 |
选哪一种，取决于你接下来要拿它做什么。
判断方法只有一句：要还原就用加密，要显示就用截断，要比对就用哈希，要让商户还能扣款却拿不到卡号就用令牌化。这四件事是四件不同的事，令牌化的机制单独有一页讲，见 令牌化与数字钱包。
HSM 与密钥管理
加密的价值全压在密钥上，因此这套标准里最硬的部分不是算法，而是密钥怎么管。可以拆成四件事：
- 密钥存在 HSM 里：硬件安全模块是防拆的专用设备，密钥不离开模块的物理与逻辑边界；
- 密码模块要经过验证：HSM 内的密码模块需通过 FIPS 140 系列验证（这是美国国家标准与技术研究院的标准，可按标准名称查证）；
- 密钥要轮换与分离：定期更换，按用途分开存放，并且不能由一个人单独掌握全部密钥；
- 全过程要有记录：生成、备份、访问、销毁都要可审计。
这也解释了为什么「我们用了加密」这句话单独听起来信息量有限。真正有信息量的是三个问题：密钥存在哪儿、谁能碰到、多久换一次。这三个问题答不上来，算法本身再强也没有意义。
合规不等于没有事
关于这套标准，有几个说法需要逐个澄清：
| 常见说法 | 真实含义 |
|---|---|
| 「我们通过了 PCI DSS」 | 在评估的那个时间点满足当时的控制项。验证方式取决于级别：量大者需外部评估，量小者可用自评问卷 |
| 「级别是怎么定的」 | 由各卡品牌按交易量等因素划分，并非由标准委员会直接指定，因此同一家机构在不同品牌下的级别可能不同 |
| 「合规就不会泄露」 | 不成立。合规降低的是常见风险，不是对未来的保证 |
| 「持卡人也要合规」 | 不成立。持卡人不是被要求方 |
第三行最容易被忽略，也最常被用来做超出事实的承诺。
把这套标准放在正确的位置上会更容易理解：它是一个下限，规定的是「至少要做到这些」，而不是「做到这些就安全了」。真正的风险往往来自没被检查到的地方——范围之外、评估时点之后，以及人和流程上的疏漏。
持卡人这一侧能做什么
既然持卡人不在被管辖范围里，持卡人可按以下四项保护个人付款资料：
判断该不该把卡交给这个商户
不是看它有没有印合规声明，而是看它会不会索要多余的东西：要求提供完整磁道信息、要求把卡号与安全码存在同一处，都是明确的负面信号。
认卡只需要后四位
首六末四是显示标准。任何向你索要完整卡号的环节，都值得先问一句为什么需要。
不要把卡号与安全码放在同一处记录
分开存放不能阻止泄露，但能降低同时泄露的后果——只拿到卡号而缺少安全码，在许多无卡场景里不足以完成交易。
把交易通知打开
存储与传输这两个环节你都碰不到，唯一能让你早发现异常的是通知。发现不明小额交易就换卡，不要等真实扣款发生。
本站的边界要说清楚：卡号与安全码在持卡人自己的账户里可见，这是发卡侧的正当需要；但我们不声称自己持有某项认证，也不承诺商户侧会采取哪种保护措施。本站的主体登记与身份信息采集范围写在 KYC 政策 页，资金与账户的处理规则放在 安全合规 页。
常见问题
PCI DSS 是法律吗？
不是。它是卡品牌共同参与设立的行业标准，约束力来自卡品牌与收单方之间的合同关系，不由监管机构签发。
个人需要通过 PCI DSS 吗？
不需要。被约束的是存储、处理或传输卡数据的机构，持卡人不是被要求方。
商户可以保存我的卡号吗？
可以，但必须以不可读的方式保护——加密、哈希、截断或令牌化中的一种。明文存储卡号不符合标准。
商户可以保存卡背的安全码吗？
在授权完成后不可以。安全码属于敏感认证数据，标准不提供合规的留存方式。发卡机构因业务需要留存时另当别论，且必须保护好。
账单上只显示后四位，是因为加密了吗？
不是，那是截断（遮蔽）。首六末四是显示标准，不是存储标准——存储仍要求卡号不可读。
能看到自己卡的完整要素，说明这家机构不安全吗？
不能这样推断。发卡方向持卡人本人展示必要要素是正当的。真正的负面信号是：你消费过的商户，事后能同时显示你的完整卡号与安全码。
加密和令牌化有什么区别？
加密可逆，有密钥就能还原卡号；令牌化用的是替代值，商户持有令牌却无法还原出卡号，映射关系保存在签发方那里。
HSM 是必需的吗，用软件存密钥不行吗？
标准要求密钥得到保护，HSM 是最常见也最硬的实现方式：防拆、密钥不离开模块边界、模块本身需通过 FIPS 140 系列验证。
通过了合规就不会出事吗？
不成立。合规是一个时间点的验证，且只覆盖被划定的范围。它降低常见风险，不等于对未来的保证。
花几分钟看完原理，直接去开一张卡
$1 起开卡、无月费；账户充值零手续费，单笔最低 20 USDT，具体费率以收费标准页为准。