未通过PCI合规时，信用卡加密数据传输及Token化路径咨询

问题1：能否将加密后的信用卡数据发送至我的非PCI合规服务器，再由该服务器转发至PCI合规信用卡服务，且不在我的服务器存储数据？ #

不行。哪怕不存储数据，只要你的非PCI合规服务器中转传输了加密的信用卡数据，该服务器就被视为参与了信用卡敏感数据的处理流程，必须符合PCI DSS合规要求。PCI规则覆盖所有处理、传输或存储信用卡数据的系统，“处理”包含临时中转这类行为，不存在“只转发不存储就豁免”的情况。

问题2：我正在对接支持信用卡Token化的支付网关，在未通过PCI合规的前提下，应直接从前端向网关发送信用卡数据，还是先将加密数据发送至我的后端再转发至网关？ #

优先选择直接从前端向支付网关发送信用卡数据，原因如下：

• 这种模式下，你的后端完全不会触碰任何信用卡敏感数据，仅需满足SAQ A（PCI合规中要求最低的自我评估问卷），部分场景甚至可豁免更严格的合规审查，合规成本极低。
• 若先将加密数据发送到后端再转发，你的后端会被认定为处理信用卡敏感数据的系统，需符合更高等级的PCI合规要求（至少是SAQ A-EP），这会大幅提升合规的复杂度和成本。

内容的提问来源于stack exchange，提问作者Roman