ב תרגול זה מפר את ה- DSS. ב תיאוריה יתכן שזה לא יכול, אבל זו פדנטריה ולא המציאות.
דרישות DSS 3.4 ([הצפן] נתוני PAN באחסון) ו- 4.1 (הצפן נתוני PAN ברשתות ציבוריות. ) בדרך כלל מופרות על ידי דואר SMTP. כל קופץ דואר הוא שער חנות-קדימה שכותב דואר לדיסק ולו רק באופן זמני; אלא אם כן הוא מוצפן, זו הפרה של 3.4. כל חיבור דואר שמוצפן באמצעות TLS תקין עד 4.1 ... אך סוחר אינו יכול להבטיח כי המערכת שלך או המערכות בינך וביניהן ישתמשו ב- TLS, כך שלעולם לא יעבור ביקורת.
אמנם תיאורטית אפשרי לקבל נתיב מוצפן לחלוטין (כל שרת דואר עם דיסק מוצפן וכל חיבורי הרשת מוגנים באמצעות TLS), אך לא סביר ואינו ניתן לאכיפה עבור דוא"ל מבוסס אינטרנט. אז לא, שליחת נתוני כרטיסים באמצעות דוא"ל מפרה את ה- PCI DSS, ולא צריך שיהיה לך סוחר שיבקש ממך לעשות זאת, ולא כדאי לך לעשות זאת אם יבקש ממך.
(זה עדיין קורה . ו- PCI אינו מובנה כדי להקל על מחזיקי הכרטיסים להתלונן על נוהלי הסוחרים איתם הם עוסקים. סירוב ולעבור לסוחר אחר הוא כנראה ההישג הטוב ביותר שלך.)