El proveedor de pagos pide cumplimiento PCI DSS: ¿hay checklist, por dónde empezamos?

La trampa técnica gorda aquí es la diferencia entre iFrame y redirección. Si en tu página hay código JavaScript de terceros que pueda infectar el navegador del cliente, pueden superponer un campo falso sobre el iFrame. Por eso asegúrate de controlar la integridad de todos los scripts externos que corren en tus páginas de pago.

Entra al panel de tu pasarela de pagos casi siempre hay un asistente de cumplimiento integrado. Vas respondiendo a las preguntas y te manda directo al SAQ A. La mayoría de preguntas son de cajón, tipo "guarda datos de tarjeta en papel o en el servidor". En dos horas lo tienes listo.

El año pasado nos llegó el mismo aviso, teníamos 25.000 operaciones al año. Pasamos del tema y la pasarela empezó a cobrar 49 dólares al mes por "multa de incumplimiento PCI". Cuando nos dimos cuenta, rellenamos el SAQ A en el portal en 40 min y al mes siguiente cortaron el cobro del tirón.

Todo el mundo dice "el SAQ A es facilísimo, se hace en nada", pero con la nueva versión del estándar han metido obligaciones técnicas como la seguridad de scripts y la integridad de la página de e-commerce. O sea que ya no vale con marcar casillas a lo loco; puede que tengas que validar los hash de los scripts de tu web.

Jamás guardes el CVV ni los 16 dígitos de la tarjeta en tu servidor. Mientras no hagas eso y pases el pago a la página externa, el coste de auditoría se queda rozando el cero, solo tienes que entregar el formulario.

Para simplificar el proceso, ve en este orden: 1) Pide a tu pasarela confirmación por escrito de qué tipo de SAQ quieren exacto. 2) Rellena el cuestionario en el portal oficial y firma la atestación. 3) Configura en tu web el escaneo de seguridad externo trimestral si la pasarela lo exige.

A nosotros tb nos sale la pestaña de 'PCI Self-Assessment' en el panel. pues si al rellenarlo nosotros mismos nos equivocamos de casilla en una pregunta técnica ¿nos comemos una multa o responsabilidad legal, o el sistema solo hace una comprobación general?

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

no te asustes esto le pasa a todas las tiendas cuando van creciendo luego las pasarelas van mandando recordatorios para no tener que multar. en fin si te atancas en alguna pregunta rellenando el formulario, habla por el chat de soporte de la pasarela y te dicen directamente qué casilla marcar.

Resumen breve para nuevos usuarios: Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Comprobado por experiencia.

no sabía eso... la verdad lo importante no es la cifra, sino en qué se basa esa cifra.

también me gustaría saber si alguien lo hace de otra manera.

Es correcto en general, pero falta un detalle. Lo importante no es la cifra, sino en qué se basa esa cifra.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Os explico cómo se hace en la práctica. la verdad si intentas cambiarlo todo a la vez, nada termina de asentarse.

Ánimo.

Voy a contar mi experiencia. Lo importante no es la cifra sino en qué se basa esa cifra.

Espero que le sea útil.

me pasó lo mismo.

Ha sido una buena idea abrir este hilo.

Gracias por escribir esto, es lo correcto. Intentar hacerlo solo es la vía más cara.

Corrijanme si me equivoco.

La respuesta de arriba ha dado en el clavo. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Si regañas las falsas alarmas, nadie volverá a reportar. Corrijanme si me equivoco.

Correcto.