Sécuriser informations CB

Bonjour à tous,

Nous sommes en train de faire un site de vente en Java. (Ne sera pas mis en prod)

Nous savons qu'il faut enregistrer les données CB des utilisateurs dans une base de données (H2 d'ailleurs) mais nous ne savons pas quoi utiliser. J'ai bien trouvé des pistes (SSL, HTTPS, Norme PCI DSS) mais c'est encore inconnu pour nous et nous ne voulons pas nous lancer la dedans si ce n'est pas la bonne méthode. (Délai assez court). Pouvez-vous nous aiguiller s'il vous plait ?

Pour les mot de passe utilisateur nous avons pensé à MD5 et SHA, qu'en pensez-vous ?

Merci d'avance :)

Qu'est-ce qui pose problème exactement ?

1. L'échange des informations entre le client et le serveur
2. Le stockage des informations

En attendant je me paierai un juriste, un expert en sécurité et un conseiller de la CNIL :)

La norme PCI constitue un ensemble de recommendations à suivre, comme ne pas stocker le cvv par exemple, de mémoire elle ne donne pas de préconisations techniques comme des algorithmes de cryptage à utiliser.
La base est de toute façon que les mots de passe et les infos bancaires ne doivent jamais transiter en clair sur le réseau , donc SSL est indispensable si vous utilisez le protocole HTTP.
S'il n'y a pas besoin de "décrypter" les mots de passe utilisateur MD5 ou SHA peuvent suffire, en rajoutant toutefois un salt/hash digne de ce nom avant de hasher le mot de passe.
Les infos bancaires quant à elles ne doivent pas être stockées en clair dans la bdd, ça peut paraître évident mais j'ai déjà vu le cas chez un de mes clients.
Concernant le stockage des infos bancaires, il faut un algo de cryptage fort comme du TripleDES ou de l'AES (Pour ma part les infos bancaires était cryptées en AES 256).
Après il faudrait en savoir un peu plus sur le fonctionnel de l'application comme:

- Est-ce que vous passez par un gestionnaire de télépaiement pour gérer les transactions bancaires ou utilisez-vous une interface mise à disposition par une banque ?

- Lors de la transaction bancaire, les infos bancaires comme le numéro de carte, la date d'expiration et le cvv sont-elles envoyées à chaque transaction ?