La pasarela de pago me pide certificado PCI-DSS — ¿es obligatorio de verdad? ¿cuánto cuesta?

No te asustes. Si no ves los números de tarjeta en tu servidor, las auditorías caras no van contigo. Abre el formulario SAQ A, respondes a las preguntas de si procesas datos diciendo que se encarga la pasarela y listo. Nosotros lo renovamos cada año en 15 minutos.

La diferencia técnica es clave: si el formulario sale en tu web pero los datos van por detrás a la API de la pasarela, necesitas SAQ A-EP y te piden escaneo de vulnerabilidades cada tres meses. Pero si usas redirección completa o iFrame solo piden el SAQ A básico, sin escaneos externos.

El año pasado nos llegó el mismo aviso y unas empresas de auditoría nos pedían 4.000 €. Le escribimos al soporte de nuestra pasarela y nos mandaron a su portal asociado. Pagamos 60 € al año de tarifa del portal, rellenamos las 20 preguntas del SAQ A y nos lo aprobaron.

Llama ya a atención al cliente de tu pasarela. Diles que usas redirección y pregunta cómo mandar el SAQ A desde el panel. Te mandan a su página de validación online y lo terminas en media hora.

Te resumo los pasos: 1) Confirma tu tipo de integración (¿redirección o API?). 2) Identifica el formulario correcto (seguramente SAQ A). 3) Completa el asistente en el portal de la pasarela. 4) Guarda en el sistema el Certificado de Cumplimiento que te genere.

a nosotros tmb nos llego ese mail y nos asustaamos pero hablamos con soporte luego resulta q solo habia q responder unas preguntas en el sistema. no hace falta pagar nada arreglalo desde tu panel.

Las pasarelas redactan estos correos con un tono metemiedos, como si te fuera a caer un auditor mañana. Lo que buscan es venderte suscripciones mensuales o anuales en sus portales asociados. No entren en pánico ni contraten consultores externos.

Aunque no almacene datos de tarjetas de crédito, la seguridad del servidor donde está alojada su web es fundamental durante el proceso de redirección del titular de la tarjeta. Por ello, las marcas internacionales de tarjetas exigen este cumplimiento, incluso si se trata del nivel SAQ A. Le recomiendo completar la notificación dentro del plazo correspondiente.

Dejo una advertencia. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Si escribís el resultado aquí también servirá de ayuda a otros.

Correcto.

A nosotros también nos pasa. La gente no defiende el proceso defiende la costumbre. La resistencia viene de ahí.

Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde. Si escribís el resultado aquí, también servirá de ayuda a otros.

En este punto no estoy de acuerdo con ustedes. Todo lo que no está por escrito ambas partes lo recordarán de forma distinta en el futuro.

Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan. Corrijanme si me equivoco.

No sabía eso. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

El año pasado nos pasó casi exactamente lo mismo. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después. Por supuesto, cambia si tu situación es diferente.

Sí, la situación con certificacion pci dss es exactamente así. El tiempo que tardas en detectar un problema determina directamente su coste.

Lo dejo como nota por si sirve.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. Todos los que se apresuran con certificacion pci dss se atascan en el mismo punto.

También me gustaría saber si alguien lo hace de otra manera.

Tiene razón.

Permíteme resumir lo que se ha dicho hasta ahora. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Si escribís el resultado aquí, también servirá de ayuda a otros.