Máscara de número de tarjeta de crédito - ¿buenas prácticas, reglas, regulaciones legales?

Question

Por lo general, cuando ingreso y guardo mi número de tarjeta de crédito en una tienda en línea o aplicación móvil, solo se muestran los últimos cuatro números como recordatorio. Ejemplo (no son dígitos reales):

Tu tarjeta: **** **** **** 1234

Recientemente utilicé una aplicación en la que el número de tarjeta se mostraba de la siguiente manera (no son dígitos reales):

Tu tarjeta: 1234 56** **** 1234

¿Existen buenas prácticas o algo impuesto por Visa/MC o la ley que regule cómo enmascarar apropiadamente el número de tarjeta?

Answer 1

Los términos que desea investigar, siempre y cuando esté en los Estados Unidos, son Cumplimiento de PCI y PA DSS. El cumplimiento de PCI es para el proveedor con el que está comprando y PA DSS se aplica a la empresa que produce el software que recibe las tarjetas de crédito (lo que el proveedor utiliza para venderle cosas).

Según la Guía de Cumplimiento de PCI, los dígitos máximos que se pueden mostrar son los primeros 6 y los últimos 4 de un número de tarjeta. Su ejemplo muestra ese límite máximo permitido. Este requisito es diferente al requisito para almacenar el número de tarjeta en una base de datos.

Answer 2

La respuesta de BobbyScon te señala las reglas estándar de la industria PCI pero, la anatomía de un número de tarjeta de crédito es la siguiente.

• El primer dígito es el número de identificación principal (3 = AMEX/Diners Club, 4 = Visa, 5 = Mastercard, 6 = Discover, etc)

• Los primeros 6 dígitos (incluyendo el primer dígito) son el número de identificación del banco (diferentes bancos tienen sistemas diferentes para asignar estos, mis tarjetas Chase tienen los mismos primeros seis dígitos)

• Los siguientes 9 dígitos son tu número de cuenta

• El último dígito es un dígito de verificación (hay un algoritmo algo simple utilizado para validar rápidamente un número de tarjeta de crédito, no puedes simplemente cambiar un dígito de tu número de tarjeta para usarlo como falso)

Entonces parece que tu segundo ejemplo consideró suficiente bloquear la mayoría de tu número de cuenta pero dejar visible el número del banco. No puedo pensar en una razón para exponer más que los últimos 4 dígitos de un número de tarjeta de crédito. Seguramente la mayoría de las personas no tienen idea de que los primeros 6 dígitos son un número de identificación del banco que será común en muchas tarjetas y no hay beneficio para el vendedor en saber los números de identificación de los bancos.