La pasarela de pago nos habló de los niveles de cumplimiento PCI DSS: ¿en qué nivel estamos y cuánto cuesta?

El punto clave es la arquitectura del formulario de pago. Mira el código fuente del campo del número de tarjeta en tu web. Si ese campo está dentro de un iframe que carga desde el dominio de la pasarela de pagos, lo tienes facilísimo. Si lo capturas con JavaScript mediante tu propio formulario, tu alcance y tu responsabilidad aumentan de forma considerable.

El año pasado pasamos por este proceso para nuestra web con 60 mil transacciones anuales. Entramos en el panel que nos indicó la pasarela y rellenamos el formulario SAQ A de unas 20 preguntas. Al escaneador homologado le pagamos 350 dólares al año, en total nos tomó unas 2 horas.

Entra en el panel de tu pasarela de pagos verás un asistente de cuestionario en la pestaña de cumplimiento. En cuanto meques que no almacenas tarjetas y que cobras con interfaz externa, las preguntas del cuestionario se reducen al mínimo automáticamente.

No están guardando para nada números de tarjeta, fecha de vencimiento o CVV en su base de datos, ¿verdad? Si por error están escribiendo datos de tarjetas incluso en los archivos de log, el tipo de cuestionario y la responsabilidad penal cambian por completo.

las pasarelas de pago mandan estas alertas automáticas todos los años y asustan a la gente. si usas un formulario integrado rellenarlo te toma como mucho 45 minutos, no le vayan a pagar miles de dólares a ningún auditor.

Corrección: recordaba mal la cifra, era un poco más baja.

Ha surgido un montón de agencias en el mercado pidiéndoles entre 3.000 y 5.000 dólares a los pequeños negocios bajo el nombre de 'consultoría PCI DSS'. Un pequeño vendedor que no guarda datos de tarjetas en su propio servidor no necesita gastar ni un solo centavo en ese tipo de consultorías.

La lógica fundamental de las reglas PCI DSS es reducir a cero la superficie de contacto con los datos de tarjeta. Al montar su infraestructura, cuanto más lejos mantengan los datos de pago de su servidor, tanto la responsabilidad legal como el costo anual de escaneo y cumplimiento serán mucho menores.

nosotros cuando nos llegó el primer correo entramos en pánico pensando que nos iban a cerrar la centa y llamamos a todo el mundo hasta al contador. resulta que solo teníamos que confirmar una lista de verificación en línea luego no se asusten para nada, si pasaron su sistema a un iframe externo el proceso es bastante sencillo.

Yo también tengo curiosidad.

Hay un punto que me genera dudas. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Si no lo pones por escrito desde el principio, luego surgen discusiones. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Han surgido tres opiniones distintas todas se complementan. Empezad con una pequeña prueba, no lo integréis todo de golpe.

También me gustaría saber si alguien lo hace de otra manera.

Llevé mucho tiempo con este asunto. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

También me gustaría saber si alguien lo hace de otra manera.

Después de vivir eso, mi perspectiva cambió. Si la verificación en dos pasos está activa una contraseña robada no sirve de nada por sí sola.

Si no lo pones por escrito desde el principio luego surgen discusiones. Esta es mi opinión, no lo escribo como una verdad absoluta.

Voy a detallar un poco el aspecto técnico. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Eso es todo, disculpa si me he extendido demasiado.

estoy totalmente de acuerdo luego pues si no lo pones por escrito desde el principio luego surgen discusiones.

si escribís el resultado aquí también servirá de ayuda a otros.

El año pasado nos pasó casi exactamente lo mismo. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

¿Podría ampliar un poco esto? Todos los que se apresuran con niveles de cumplimiento pci dss se atascan en el mismo punto.

El error cometido por niveles de cumplimiento pci dss suele ser reversible pero caro. Lo dejo como nota por si sirve.

Hablaré desde el otro lado, yo estoy en el lado del proveedor. Si no lo pones por escrito desde el principio luego surgen discusiones.

Si tenéis dudas, escribid os responderé en la medida de lo posible.