Montó una tienda WooCommerce, conectó una pasarela de pago y empezó a recibir pedidos. Después, un procesador de pagos o una auditoría de seguridad mencionó el cumplimiento PCI y, de repente, aparecieron siglas (DSS, SAQ, QSA, ROC) sin que quede claro cuáles le afectan.
Para la mayoría de los propietarios de tiendas pequeñas, la realidad es más sencilla de lo que parece a primera vista. Pero sencillo no significa opcional, y el entorno de hosting importa más de lo que la mayoría cree. Así funcionan los niveles, esto es lo que exigen y esto es lo que debe buscar en un proveedor de hosting.
Qué es el cumplimiento PCI y por qué le afecta
PCI DSS es el estándar de seguridad de datos de la industria de tarjetas de pago (Payment Card Industry Data Security Standard), creado por las principales marcas de tarjetas para garantizar que toda empresa que acepte tarjetas proteja los datos de pago. Si su tienda acepta tarjetas de crédito o débito de cualquier forma, le afecta, sea cual sea su tamaño o volumen de ventas.
Aunque nunca vea un número de tarjeta, usted forma parte de la cadena de pago. En el momento en que su sitio recopila, transmite o redirige datos del titular de la tarjeta, queda dentro del alcance.
Los cuatro niveles de comerciante
Los niveles se basan principalmente en las transacciones anuales con tarjeta, aunque es su banco adquirente o su procesador quien toma la decisión oficial. Ni siquiera el nivel 4 está exento: simplemente la validación es más sencilla. Una brecha, o que un procesador considere que usted supone un riesgo mayor, puede hacerle subir de nivel.
Nivel 1Más de 6 M al año
O cualquier comerciante que haya sufrido una brecha. Auditoría anual in situ por un QSA, un informe de cumplimiento (ROC), análisis ASV trimestrales y pruebas de penetración anuales.
Nivel 2De 1 M a 6 M al año
Cuestionario de autoevaluación anual, análisis ASV trimestrales y, en ocasiones, certificación de un QSA según el banco.
Nivel 3De 20 000 a 1 M en comercio electrónico
SAQ anual, análisis ASV trimestrales y una certificación de cumplimiento (AOC).
Nivel 4Menos de 20 000 en comercio electrónico
La mayoría de las tiendas online pequeñas. SAQ anual, análisis ASV trimestrales según lo exija el banco y una certificación de cumplimiento (AOC).
La mayoría de las tiendas WooCommerce pequeñas son de nivel 4 y se validan mediante documentación y análisis, no con auditorías in situ. Lo que realmente le corresponde sigue dependiendo de cómo esté configurado el checkout y de si los datos de tarjeta llegan alguna vez a su servidor.
Qué es un cuestionario de autoevaluación
Para los niveles 2 a 4, el SAQ es la principal forma de validar el cumplimiento: una lista de comprobación estructurada que abarca la protección de datos, el control de acceso, la configuración y la gestión de vulnerabilidades. La versión que debe completar depende por completo de cómo gestiona el checkout los datos de tarjeta, y su procesador lo confirma.
Tipo de SAQToque para abrir
SAQ A
Para comerciantes que externalizan por completo el procesamiento de pagos a un tercero que cumple con PCI y nunca almacenan, procesan ni transmiten datos de tarjeta en sus propios sistemas. La opción más sencilla y de menor alcance.
SAQ A-EP
Para comerciantes que externalizan el procesamiento, pero cuyo sitio web sigue interviniendo en la página de pago, ya sea incrustando o alojando un formulario de pago. Más requisitos, porque su sitio sigue dentro del alcance.
Una confusión habitual: las tiendas que usan campos incrustados como Stripe Elements o los hosted fields de Braintree a veces dan por hecho que les corresponde el SAQ A, pero, según la implementación, puede aplicarse el SAQ A-EP. Confírmelo con su procesador antes de rellenar nada.
Qué papel desempeña el hosting
Los requisitos de PCI alcanzan a los servidores que hay detrás de su sitio, no solo a su pasarela. Si los datos de tarjeta pasan por su servidor, son redirigidos por él o se ven influidos por él, su hosting forma parte del cumplimiento.
Hosting compartidoMenor aislamiento
Muchos sitios comparten un mismo servidor. Más barato, pero un vecino comprometido puede poner en riesgo su sitio, según la configuración.
Hosting VPSAislado
Su propio entorno virtual, con más control sobre los firewalls, las actualizaciones y el acceso.
Hosting dedicadoControl total
Un servidor físico totalmente aislado para el máximo control y mayores necesidades de cumplimiento.
Gestionado y conforme con PCIInfraestructura cubierta
Aplicación de parches, monitorización, detección de intrusiones y gestión de vulnerabilidades a cargo del proveedor.
Atención: la capa de aplicación sigue siendo responsabilidad suya.
El modelo de responsabilidad compartida
Un hosting que cumple con PCI no hace que su tienda cumpla automáticamente. La responsabilidad está repartida:
- Su proveedor de hosting se encarga de la infraestructura: seguridad del centro de datos, controles de red, refuerzo del servidor y parches del sistema.
- Su pasarela de pago procesa los datos de tarjeta en su propia infraestructura certificada y los mantiene fuera de su servidor.
- Usted es responsable de la capa de aplicación: cómo está configurado WooCommerce, qué plugins se ejecutan, quién tiene acceso y con qué rapidez se corrigen las vulnerabilidades.
Por ejemplo, su proveedor de hosting puede aplicar los parches del sistema operativo según lo previsto, pero si usa una versión desactualizada de WooCommerce o un plugin vulnerable, esa brecha es suya.
Qué buscar en un hosting que cumpla con PCI
¿Puede su proveedor de hosting responder a estas preguntas?0 de 6 respondidas
Marque cada punto que su proveedor de hosting pueda documentar.
Solicite una auditoría gratuitaSi un proveedor de hosting no puede responder a estas preguntas, es motivo suficiente para seguir buscando.
El camino más sencillo para la mayoría de las tiendas pequeñas
< 20KNivel 4
Transacciones de comercio electrónico
Al año. Donde se sitúan la mayoría de las tiendas WooCommerce pequeñas.
SAQ AMenor alcance
Checkout totalmente externalizado
Los datos de tarjeta nunca llegan a su servidor.
TrimestralA menudo olvidado
Análisis ASV
Uno de los requisitos que más se pasan por alto en las tiendas pequeñas.
- Use una pasarela totalmente alojada y con certificación PCI como Stripe, PayPal o Square, para que los datos de tarjeta nunca lleguen a su servidor.
- Confirme su tipo de SAQ con su procesador o su banco; a menudo es el SAQ A en un checkout totalmente externalizado.
- Elija un hosting con seguridad alineada con PCI, aunque su alcance sea pequeño.
- Complete el SAQ anual y los análisis ASV trimestrales para mantener documentado el cumplimiento.
Plugins que ayudan con PCI y la seguridad
Los plugins no le hacen cumplir con PCI, pero los adecuados refuerzan la capa de aplicación, que es responsabilidad suya.
WooCommerce Stripe Payment GatewayPasarela
Externaliza el procesamiento de tarjetas a Stripe. Los campos alojados o el checkout con redirección ayudan a la mayoría de las tiendas pequeñas a optar al SAQ A. Apple Pay, Google Pay, 3D Secure y tarjetas guardadas tokenizadas.
Atención: los campos incrustados pueden implicar el SAQ A-EP. Confírmelo con Stripe.
WooCommerce PayPal PaymentsPasarela
El checkout alojado fuera de su sitio mantiene los datos de tarjeta sin procesar fuera de su servidor. Pay Later, Venmo, almacenamiento seguro de métodos de pago y herramientas antifraude integradas.
Wordfence SecuritySeguridad
Firewall de aplicaciones web, análisis de malware, límites de inicio de sesión, autenticación de dos factores y bloqueo de IP en tiempo real.
Sucuri SecuritySeguridad
Supervisión de la integridad de archivos, análisis de malware, auditoría de la actividad y ayuda para la recuperación tras un hackeo.
WP Activity LogRegistro
Registros detallados de la actividad de administradores y usuarios, seguimiento de eventos de WooCommerce, alertas y conservación de registros.
Tome el control de su cumplimiento
El error más común es suponer que la pasarela o el proveedor de hosting lo cubren todo. Ninguno de los dos lo hace. Un punto de partida práctico:
- Confirme su nivel de comerciante y su tipo de SAQ con su procesador o su banco. Esa sola conversación aclara la mayor parte de lo que le corresponde.
- Audite su flujo de checkout. Sepa exactamente adónde van los datos de tarjeta cuando un cliente paga.
- Revise su hosting. Pida una AOC documentada, las funciones de seguridad incluidas y lo que sigue siendo responsabilidad suya.
- Programe análisis ASV trimestrales. Se olvidan a menudo y son sencillos una vez que cuenta con el proveedor de hosting o el servicio adecuado.
- Complete el SAQ anual. El PCI Security Standards Council publica los formularios en pcisecuritystandards.org.
Saber lo que se exige y actuar en consecuencia de forma constante es lo que significa cumplir en la práctica.
