Si vos agents ou utilisateurs finaux saisissent des numéros de carte de crédit dans les tickets, vous pouvez ajouter un champ de carte de crédit conforme aux normes PCI DSS (sécurité des données du secteur des cartes de paiement).
Cet article vous explique comment ajouter un champ de carte de crédit aux normes PCI et vous fournit des conseils supplémentaires pour sécuriser votre Zendesk. Ces conseils ne rendront pas votre Zendesk conforme aux normes PCI, mais ils le rendront plus sûr.
Sujets couverts :
Ajout du champ de numéro de carte de crédit à votre formulaire de ticket
Vous pouvez utiliser le champ de ticket conforme aux normes PCI pour les numéros de carte de crédit. Les utilisateurs finaux et les agents peuvent saisir un numéro de carte de crédit complet dans le champ et tout ce numéro, à l’exception des quatre derniers chiffres, est biffé automatiquement.
Une fois ce champ activé, votre compte est placé dans la section conforme aux normes PCI de l’infrastructure Zendesk Support. Cela peut prendre jusqu’à cinq jours ouvrables.
Cette section explique comment ajouter ce champ, ainsi que ses limitations.
Pour ajouter le champ de numéro de carte de crédit
- Connectez-vous à votre compte Zendesk en tant qu’administrateur.
- Dans le Centre d’administration, cliquez sur Objets et règles (
) dans la barre latérale, puis sélectionnez Tickets > Champs. - Cliquez sur ajouter un champ à droite.
- Cliquez sur le champ Carte de crédit.
- Configurez les propriétés de champ suivantes et cliquez sur Enregistrer.
Propriété de champ Valeurs Titre N’importe quel nom En lecture seule pour les utilisateurs finaux Non cochée (voir la remarque ci-dessous) Modifiable pour les utilisateurs finaux Désélectionné Obligatoire Nous vous conseillons fortement de ne cocher cette option ni pour les agents ni pour les utilisateurs finaux.
Limitations
Voici les limitations connues pour le champ de numéro de carte de crédit.
Limitations du produit
- Application mobile Zendesk Support - Le champ est en lecture seule.
- Web Widget - Le champ n’est pas pris en charge.
- Mobile SDK - Le champ n’accepte que quatre chiffres.
- Applications du framework des applications - Si le champ est intégré à une application installée à partir de Zendesk Marketplace. Il est possible que les applications puissent voir le contenu de champ sortant dans la console du navigateur avant qu’il ne soit biffé par Zendesk. Évaluez chaque application pour voir si cette vulnérabilité existe avant de l’activer.
- Partage de tickets - Ce champ ne peut pas être partagé entre plusieurs comptes Zendesk.
Autres limitations
- Zendesk Support ne stocke pas les numéros de carte de crédit complets.
- PCI autorise le stockage des six premiers et des quatre derniers chiffres d’une carte de crédit, mais Zendesk Support ne peut conserver que les quatre derniers.
- Seuls les numéros de carte de crédit peuvent être stockés dans le champ de numéro de carte de crédit. Tous les autres caractères saisis dans le champ sont supprimés à l’enregistrement de l’entrée.
- La fonctionnalité prête à l’emploi pour la prise en charge d’autres champs associés aux données d’identification des cartes de crédit n’est pas disponible. Cela inclut, sans s’y limiter, les champs de date d’expiration, CVV ou PIN. Pour utiliser Zendesk Support conformément aux normes PCI, vous ne devez pas demander ces informations à vos utilisateurs finaux dans les commentaires des tickets d’assistance. Les normes PCI DSS autorisent uniquement l’utilisation de ces informations pendant le processus d’autorisation des cartes de crédit et Zendesk Support n’est pas une application de traitement des paiements.
- Les fonctionnalités supplémentaires activées par l’administrateur peuvent affecter la sécurité du champ de carte de crédit conforme aux normes PCI. Même si Zendesk Support ne reçoit ni ne stocke jamais le numéro de carte de crédit quand le champ conforme aux normes PCI est utilisé correctement, les applications tierces, les extensions ou modules complémentaires du navigateur, Talk ou l’e-mail peuvent provoquer l’interception des données de détenteur de carte de crédit des utilisateurs finaux.
Application d’exigences de mot de passe strictes
Les normes PCI DSS exigent que les agents et administrateurs de votre entreprise se conforment aux exigences en matière de mot de passe décrites dans la section ci-dessous. Si les politiques de votre entreprise imposent des exigences plus strictes, appliquez-les.
Si vous utilisez la connexion Zendesk pour vos agents et administrateurs, suivez les étapes ci-dessous. Si vous utilisez la connexion Google ou la connexion unique pour les agents et les administrateurs, vérifiez que votre compte Google ou votre serveur de connexion unique respectent les exigences PCI DSS en matière de mot de passe décrites dans cette section.
- Connectez-vous à votre instance Zendesk en tant qu’administrateur.
- Dans le Centre d’administration, cliquez sur Compte (
) dans la barre latérale, puis sélectionnez Sécurité > Authentification des membres de l’équipe. - Sélectionnez Personnalisé dans le menu Niveau du mot de passe.
- Cliquez sur Modifier.
- Configurez les exigences suivantes :
Paramètre Exigence minimum Nombre de mots de passe précédents à refuser 4 mots de passe précédents Longueur minimale 7 Doit inclure des chiffres et des caractères spéciaux Chiffres uniquement Doit inclure des lettres minuscules et majuscules Oui Expiration du mot de passe 90 jours Tentatives ratées autorisées jusqu’au verrouillage 6 Nombre de minutes avant l’expiration des sessions 15 (voir la remarque ci-dessous) Remarque – L’exigence concernant l’expiration des sessions est facultative si vos postes de travail sont configurés pour se verrouiller après 15 minutes et si les restrictions IP sont configurées pour que seuls les appareils de votre réseau de confiance aient des paramètres de délai d’inactivité. - Cliquez sut Définir pour enregistrer vos modifications.
Les exigences en matière de mot de passe ci-dessus s’appliquent aux agents et administrateurs. Pour les utilisateurs finaux, utilisez les paramètres suivants pour éviter que leurs comptes ne soient compromis. Cela n’est pas requis par les normes PCI DSS mais vous devriez l’envisager pour protéger les comptes de vos clients. Zendesk recommande de sélectionner l’option Élevé pour les utilisateurs finaux à la page Centre d’administration > Compte > Sécurité > Authentification des utilisateurs finaux.
Activation de SSL
Les normes PCI exigent que toute communication sur un réseau public qui inclut des données de détenteur de carte de crédit soit chiffrée.
Pour configurer votre instance Zendesk pour activer le chiffrement TLS
- Connectez-vous à votre compte Zendesk en tant qu’administrateur.
- Dans le Centre d’administration, cliquez sur l’icône Compte () dans la barre latérale, puis sélectionnez Sécurité > Autres paramètres.
- Activez l’onglet SSL.
- Si vous utilisez SSL hébergé, vérifiez que votre certificat SSL est valide. Sinon, vérifiez que la case Activé de la section SSL normal est cochée.
Zendesk utilise TLS car les normes PCI DSS ne considèrent plus SSL suffisant. Par défaut, Zendesk utilise TLS 1.2, mais propose également TLS 1.1 et TLS 1.0 pour les systèmes qui ne sont pas capables d’utiliser TLS 1.2.
Conseil : activez la suppression automatique d’information pour les autres champs
Vous ne pouvez pas être sûr que les utilisateurs finaux ou les agents utiliseront toujours le champ de numéro de carte de crédit. Ils peuvent saisir le numéro de carte de crédit dans les commentaires de ticket ou dans un autre champ de ticket personnalisé. Pour également biffer ces numéros, consultez Suppression automatique des numéros de carte de crédit dans les tickets dans le centre d’aide.
Avis juridique
Zendesk détient une attestation de conformité PCI pour les clients qui utilisent le champ de carte de crédit pour le service d’assistance et le centre d’aide Zendesk uniquement, et cela n’inclut aucun autre service ou produit proposé par Zendesk. Demandez une copie de l’attestation de conformité sous Artefacts > Ressources en téléchargement direct (hors accord de non-divulgation) > Accédez aux ressources. L’attestation de conformité établit le respect des normes PCI DSS version 4.0 (telles que formulées par le conseil des normes de sécurité PCI) par Zendesk. Tous les abonnés Zendesk qui ont l’édition Enterprise peuvent bénéficier de l’attestation de conformité de Zendesk en suivant les processus définis dans cet article. Une fois les procédures définies dans cet article suivies, il faut compter jusqu’à cinq jours ouvrables pour que votre compte Zendesk soit placé dans l’environnement conforme aux normes PCI de Zendesk.
Cet article ne remplace pas les conseils que vous pouvez obtenir d’un professionnel autorisé à pratiquer dans votre juridiction. Vous devriez toujours consulter un professionnel qualifié pour toute question légale ou de conformité spécifique. Rien dans cet article ne constitue de conseils juridiques.