PCI DSS 到底在管誰
先把這個名字拆開：PCI DSS 是支付卡行業數據安全標準，由主要卡品牌共同參與設立、由 PCI 安全標準委員會維護。它不是法律，也不由任何監管機構簽發。一條法律由立法與執法機關制定，而這個標準的約束力來自另一處——卡品牌與收單方之間的合同關係。不達標不會招來執法，但可能面臨罰則、被要求額外驗證，嚴重時無法繼續受理卡付款。
標準要求：任何存儲、處理或傳輸卡數據的機構，都要滿足一組控制項。這些控制項的數量與編號會隨版本調整，主體則長期圍繞六件事：安全網絡、保護存儲的數據、漏洞管理、訪問控制、監控與測試、以及安全策略。
還有一點必須先說清：標準由各機構自己劃定範圍，範圍指的是哪些系統碰過卡數據。範圍劃得小，評估結論再漂亮，也只代表被劃進去的那部分受控。這是讀任何合規聲明時都該先問的那句：「範圍是什麼」。標準文本與版本信息由 PCI 安全標準委員會維護。
卡數據不是一種東西
這套標準裡最核心的分類，是把卡上的數據分成兩類，對它們的態度完全不同：
| 持卡人數據（CHD） | 敏感認證數據（SAD） | |
|---|---|---|
| 包含什麼 | 卡號（PAN）、持卡人姓名、有效期 | 完整磁道數據、卡背安全碼（CVV2 / CVC2 / CAV2 / CID）、PIN 與 PIN 塊 |
| 能否留存 | 可以，但必須讓它不可讀 | 授權完成後不得留存 |
| 存儲要求 | 加密、哈希、截斷或令牌化中選一種 | 不存在「合規的留存方式」 |
| 洩露後果 | 需與其他數據結合，才可能用於交易 | 可直接用於無卡交易 |
右邊一列是整套標準裡最硬的一條：它基本沒有例外，只有「不能留」。
區別對待的原因很直接：卡號、姓名與有效期在許多環節都會出現，一律禁止留存會讓業務無法運轉；而磁道數據與安全碼在完成授權之後，對正常業務沒有任何用途，留著它們只有風險。
所以「能不能看到安全碼」要分場合判斷。在發卡方向持卡人本人展示自己卡片要素，是必要且正當的；而一個你消費過的商戶，事後能把你的完整卡號與安全碼一起顯示出來，那才是明確的負面信號——它大概留了不該留的東西。
脫敏、加密與令牌化
保護卡號的手段常被混著說，但它們的可逆程度不同，適用場景也因此完全不同：
| 手段 | 做了什麼 | 可逆嗎 | 典型用途 |
|---|---|---|---|
| 加密 | 用密鑰把卡號變成密文 | 可逆，有密鑰就能還原 | 存儲與傳輸 |
| 截斷 / 遮蔽 | 只保留部分字符，其餘替換掉 | 不可逆 | 顯示卡號（首六末四） |
| 哈希 | 單向摘要，只能用來比對 | 不可逆 | 判斷是不是同一張卡 |
| 令牌化 | 用替代值替換，映射關係在簽發方那裡 | 持有者無法還原 | 商戶下期還能扣款 |
選哪一種，取決於你接下來要拿它做什麼。
判斷方法只有一句：要還原就用加密，要顯示就用截斷，要比對就用哈希，要讓商戶還能扣款卻拿不到卡號就用令牌化。這四件事是四件不同的事，令牌化的機制單獨有一頁講，見 令牌化與數字錢包。
HSM 與密鑰管理
加密的價值全壓在密鑰上，因此這套標準裡最硬的部分不是算法，而是密鑰怎麼管。可以拆成四件事：
- 密鑰存在 HSM 裡：硬件安全模塊是防拆的專用設備，密鑰不離開模塊的物理與邏輯邊界；
- 密碼模塊要經過驗證：HSM 內的密碼模塊需通過 FIPS 140 系列驗證（這是美國國家標準與技術研究院的標準，可按標準名稱查證）；
- 密鑰要輪換與分離：定期更換，按用途分開存放，並且不能由一個人單獨掌握全部密鑰；
- 全過程要有記錄：生成、備份、訪問、銷燬都要可審計。
這也解釋了為什麼「我們用了加密」這句話單獨聽起來信息量有限。真正有信息量的是三個問題：密鑰存在哪兒、誰能碰到、多久換一次。這三個問題答不上來，算法本身再強也沒有意義。
合規不等於沒有事
關於這套標準，有幾個說法需要逐個澄清：
| 常見說法 | 真實含義 |
|---|---|
| 「我們通過了 PCI DSS」 | 在評估的那個時間點滿足當時的控制項。驗證方式取決於級別：量大者需外部評估，量小者可用自評問卷 |
| 「級別是怎麼定的」 | 由各卡品牌按交易量等因素劃分，並非由標準委員會直接指定，因此同一家機構在不同品牌下的級別可能不同 |
| 「合規就不會洩露」 | 不成立。合規降低的是常見風險，不是對未來的保證 |
| 「持卡人也要合規」 | 不成立。持卡人不是被要求方 |
第三行最容易被忽略，也最常被用來做超出事實的承諾。
把這套標準放在正確的位置上會更容易理解：它是一個下限，規定的是「至少要做到這些」，而不是「做到這些就安全了」。真正的風險往往來自沒被檢查到的地方——範圍之外、評估時點之後，以及人和流程上的疏漏。
持卡人這一側能做什麼
既然持卡人不在被管轄範圍裡，持卡人可按以下四項保護個人付款資料：
判斷該不該把卡交給這個商戶
不是看它有沒有印合規聲明，而是看它會不會索要多餘的東西：要求提供完整磁道信息、要求把卡號與安全碼存在同一處，都是明確的負面信號。
認卡只需要後四位
首六末四是顯示標準。任何向你索要完整卡號的環節，都值得先問一句為什麼需要。
不要把卡號與安全碼放在同一處記錄
分開存放不能阻止洩露，但能降低同時洩露的後果——只拿到卡號而缺少安全碼，在許多無卡場景裡不足以完成交易。
把交易通知打開
存儲與傳輸這兩個環節你都碰不到，唯一能讓你早發現異常的是通知。發現不明小額交易就換卡，不要等真實扣款發生。
本站的邊界要說清楚：卡號與安全碼在持卡人自己的賬戶裡可見，這是發卡側的正當需要；但我們不聲稱自己持有某項認證，也不承諾商戶側會採取哪種保護措施。本站的主體登記與身份信息採集範圍寫在 KYC 政策 頁，資金與賬戶的處理規則放在 安全合規 頁。
常見問題
PCI DSS 是法律嗎？
不是。它是卡品牌共同參與設立的行業標準，約束力來自卡品牌與收單方之間的合同關係，不由監管機構簽發。
個人需要通過 PCI DSS 嗎？
不需要。被約束的是存儲、處理或傳輸卡數據的機構，持卡人不是被要求方。
商戶可以保存我的卡號嗎？
可以，但必須以不可讀的方式保護——加密、哈希、截斷或令牌化中的一種。明文存儲卡號不符合標準。
商戶可以保存卡背的安全碼嗎？
在授權完成後不可以。安全碼屬於敏感認證數據，標準不提供合規的留存方式。發卡機構因業務需要留存時另當別論，且必須保護好。
賬單上只顯示後四位，是因為加密了嗎？
不是，那是截斷（遮蔽）。首六末四是顯示標準，不是存儲標準——存儲仍要求卡號不可讀。
能看到自己卡的完整要素，說明這家機構不安全嗎？
不能這樣推斷。發卡方向持卡人本人展示必要要素是正當的。真正的負面信號是：你消費過的商戶，事後能同時顯示你的完整卡號與安全碼。
加密和令牌化有什麼區別？
加密可逆，有密鑰就能還原卡號；令牌化用的是替代值，商戶持有令牌卻無法還原出卡號，映射關係保存在簽發方那裡。
HSM 是必需的嗎，用軟件存密鑰不行嗎？
標準要求密鑰得到保護，HSM 是最常見也最硬的實現方式：防拆、密鑰不離開模塊邊界、模塊本身需通過 FIPS 140 系列驗證。
通過了合規就不會出事嗎？
不成立。合規是一個時間點的驗證，且只覆蓋被劃定的範圍。它降低常見風險，不等於對未來的保證。
花幾分鐘看完原理，直接去開一張卡
$1 起開卡、無月費；賬戶充值零手續費，單筆最低 20 USDT，具體費率以收費標準頁為準。