Ha creato un negozio WooCommerce, collegato un gateway di pagamento e iniziato a ricevere ordini. Poi un processore di pagamento o un audit di sicurezza ha menzionato la conformità PCI, e all’improvviso spuntano sigle — DSS, SAQ, QSA, ROC — e non è chiaro quali La riguardino.
Per la maggior parte dei titolari di piccoli negozi, la realtà è più semplice di quanto sembri a prima vista. Ma più semplice non significa facoltativo, e l’ambiente di hosting conta più di quanto la maggior parte delle persone immagini. Ecco come funzionano i livelli, cosa richiedono e cosa cercare in un host.
Che cos’è la conformità PCI e perché La riguarda
Il PCI DSS è il Payment Card Industry Data Security Standard, creato dai principali circuiti di pagamento per garantire che ogni azienda che accetta carte protegga i dati di pagamento. Se il Suo negozio accetta carte di credito o di debito in qualsiasi forma, si applica — indipendentemente da dimensioni o volume di vendite.
Anche se non vede mai un numero di carta, fa parte della catena di pagamento. Nel momento in cui il Suo sito raccoglie, trasmette o reindirizza dati dei titolari di carta, rientra nell’ambito.
I quattro livelli merchant
I livelli si basano principalmente sulle transazioni annue con carta, anche se la decisione ufficiale spetta alla Sua banca acquirente o al processore. Nemmeno il livello 4 è esente — la convalida è solo più semplice. Una violazione, o un processore che La ritiene a rischio più elevato, può farLa salire di livello.
Livello 1Oltre 6M all’anno
Oppure qualsiasi merchant che abbia subito una violazione. Audit annuale in sede da parte di un QSA, un Report on Compliance, scansioni ASV trimestrali e penetration test annuali.
Livello 21M–6M all’anno
Self-Assessment Questionnaire annuale, scansioni ASV trimestrali e talvolta attestazione di un QSA, a seconda della banca.
Livello 320K–1M e-commerce
SAQ annuale, scansioni ASV trimestrali e un Attestation of Compliance.
Livello 4Meno di 20K e-commerce
La maggior parte dei piccoli negozi online. SAQ annuale, scansioni ASV trimestrali secondo quanto richiesto dalla banca e un Attestation of Compliance.
La maggior parte dei piccoli negozi WooCommerce è di livello 4, con convalida tramite documentazione e scansioni anziché audit in sede. Ciò che Le spetta davvero dipende comunque da come è configurato il checkout e dal fatto che i dati delle carte tocchino o meno il Suo server.
Che cos’è un Self-Assessment Questionnaire
Per i livelli dal 2 al 4, il SAQ è lo strumento principale per convalidare la conformità — una checklist strutturata che copre protezione dei dati, controllo degli accessi, configurazione e gestione delle vulnerabilità. La versione da compilare dipende interamente da come il checkout gestisce i dati delle carte, e la conferma il Suo processore.
Tipo di SAQTocchi per aprire
SAQ A
Per i merchant che affidano completamente l’elaborazione dei pagamenti a una terza parte conforme PCI e non archiviano, elaborano né trasmettono mai dati delle carte sui propri sistemi. L’opzione più semplice e con l’ambito più ridotto.
SAQ A-EP
Per i merchant che esternalizzano l’elaborazione ma il cui sito ha ancora un ruolo nella pagina di pagamento — incorporando o ospitando un modulo di pagamento. Più requisiti, perché il Suo sito resta nell’ambito.
Un equivoco comune: i negozi che usano campi incorporati come Stripe Elements o i campi hosted di Braintree a volte presumono il SAQ A, ma a seconda dell’implementazione potrebbe applicarsi il SAQ A-EP. Verifichi con il Suo processore prima di compilare qualsiasi cosa.
Il ruolo dell’hosting
I requisiti PCI si estendono ai server dietro il Suo sito, non solo al gateway. Se i dati delle carte passano dal Suo server, vengono reindirizzati da esso o ne sono influenzati, il Suo hosting fa parte del quadro della conformità.
Hosting condivisoIsolamento minimo
Molti siti condividono un unico server. Costa meno, ma un vicino compromesso può mettere a rischio il Suo sito, a seconda della configurazione.
Hosting VPSIsolato
Un ambiente virtuale tutto Suo, con maggiore controllo su firewall, aggiornamenti e accessi.
Hosting dedicatoControllo totale
Un server fisico completamente isolato per il massimo controllo e requisiti di conformità più elevati.
Gestito conforme PCIInfrastruttura coperta
Patching, monitoraggio, rilevamento delle intrusioni e gestione delle vulnerabilità gestiti per Lei.
Attenzione: il livello applicativo resta di Sua competenza.
Il modello di responsabilità condivisa
Un host conforme PCI non rende automaticamente conforme il Suo negozio. La responsabilità è suddivisa:
- Il Suo host gestisce l’infrastruttura: sicurezza del data center, controlli di rete, hardening dei server e patching dei sistemi.
- Il Suo gateway di pagamento elabora i dati delle carte sulla propria infrastruttura certificata, tenendoli lontani dal Suo server.
- Lei è responsabile del livello applicativo: come è configurato WooCommerce, quali plugin sono in esecuzione, chi ha accesso e quanto rapidamente vengono corrette le vulnerabilità.
Ad esempio, il Suo host può applicare le patch al sistema operativo secondo programma, ma se usa una versione obsoleta di WooCommerce o un plugin vulnerabile, quella lacuna è Sua.
Cosa cercare in un host conforme PCI
Il Suo host sa rispondere a queste domande?0 di 6 con risposta
Spunti ogni voce che il Suo host può documentare.
Richieda un audit gratuitoSe un host non sa rispondere a queste domande, è un motivo sufficiente per continuare a cercare.
La strada più semplice per la maggior parte dei piccoli negozi
< 20KLivello 4
Transazioni e-commerce
All’anno. La fascia in cui rientra la maggior parte dei piccoli negozi WooCommerce.
SAQ AAmbito minimo
Checkout completamente esternalizzato
I dati delle carte non toccano mai il Suo server.
TrimestraliSpesso trascurate
Scansioni ASV
Uno dei requisiti più spesso saltati dai piccoli negozi.
- Usi un gateway completamente hosted e certificato PCI come Stripe, PayPal o Square, così i dati delle carte non toccano mai il Suo server.
- Confermi il Suo tipo di SAQ con il Suo processore o la Sua banca — spesso SAQ A per un checkout completamente esternalizzato.
- Scelga un hosting con sicurezza allineata al PCI, anche quando il Suo ambito è ridotto.
- Completi il SAQ annuale e le scansioni ASV trimestrali per mantenere la conformità documentata.
Plugin che supportano PCI e sicurezza
I plugin non La rendono conforme, ma quelli giusti rafforzano il livello applicativo che è di Sua responsabilità.
WooCommerce Stripe Payment GatewayGateway
Affida l’elaborazione delle carte a Stripe. I campi hosted o il checkout con reindirizzamento aiutano la maggior parte dei piccoli negozi a rientrare nel SAQ A. Apple Pay, Google Pay, 3D Secure e carte salvate tokenizzate.
Attenzione: i campi incorporati possono comportare il SAQ A-EP. Verifichi con Stripe.
WooCommerce PayPal PaymentsGateway
Il checkout hosted, esterno al sito, tiene i dati grezzi delle carte lontani dal Suo server. Pay Later, Venmo, vaulting e strumenti antifrode integrati.
Wordfence SecuritySicurezza
Web application firewall, scansione malware, limiti di login, autenticazione a due fattori e blocco degli IP in tempo reale.
Sucuri SecuritySicurezza
Monitoraggio dell’integrità dei file, scansione malware, audit delle attività e supporto alla bonifica dopo un attacco.
WP Activity LogLogging
Log dettagliati delle attività di amministratori e utenti, tracciamento degli eventi WooCommerce, avvisi e conservazione dei log.
Prendere il controllo della propria conformità
L’errore più comune è dare per scontato che il gateway o l’host coprano tutto. Nessuno dei due lo fa. Un punto di partenza pratico:
- Confermi il Suo livello merchant e il tipo di SAQ con il Suo processore o la Sua banca. Quella sola conversazione chiarisce gran parte di ciò che si applica.
- Verifichi il Suo flusso di checkout. Sappia esattamente dove finiscono i dati delle carte quando un cliente paga.
- Riesamini il Suo hosting. Chieda un AOC documentato, le funzionalità di sicurezza incluse e cosa resta a Suo carico.
- Pianifichi le scansioni ASV trimestrali. Spesso trascurate, e semplici una volta che sono presenti l’host o il fornitore giusto.
- Completi il SAQ annuale. Il PCI Security Standards Council pubblica i moduli su pcisecuritystandards.org.
Sapere cosa è richiesto e agire di conseguenza con costanza: ecco come si presenta la conformità nella pratica.
