U hebt een WooCommerce-winkel opgezet, een payment gateway gekoppeld en de eerste bestellingen binnengehaald. Toen begon een betaalverwerker of een beveiligingsaudit over PCI-compliance, en ineens zijn er afkortingen — DSS, SAQ, QSA, ROC — en is het niet duidelijk welke op u van toepassing zijn.
Voor de meeste eigenaren van kleine winkels is de werkelijkheid eenvoudiger dan het eerst lijkt. Maar eenvoudiger betekent niet vrijblijvend, en de hostingomgeving doet er meer toe dan de meeste mensen beseffen. Zo werken de niveaus, dit vereisen ze en hier let u op bij een host.
Wat PCI-compliance is en waarom het op u van toepassing is
PCI DSS is de Payment Card Industry Data Security Standard, opgesteld door de grote kaartmaatschappijen om ervoor te zorgen dat elk bedrijf dat kaartbetalingen accepteert betaalgegevens beschermt. Als uw winkel in welke vorm dan ook creditcards of debitcards accepteert, is de standaard van toepassing — ongeacht omvang of omzet.
Ook als u nooit een kaartnummer ziet, maakt u deel uit van de betaalketen. Zodra uw site kaarthoudergegevens verzamelt, doorgeeft of omleidt, valt hij binnen de scope.
De vier merchantniveaus
De niveaus zijn vooral gebaseerd op het aantal kaarttransacties per jaar, al neemt uw acquirer of betaalverwerker het officiële besluit. Zelfs niveau 4 is niet vrijgesteld — de validatie is alleen eenvoudiger. Een inbreuk, of een verwerker die u als hoger risico inschat, kan u een niveau omhoog brengen.
Niveau 16 mln+ per jaar
Of elke merchant die een inbreuk heeft gehad. Jaarlijkse audit op locatie door een QSA, een Report on Compliance, driemaandelijkse ASV-scans en jaarlijkse penetratietests.
Niveau 21–6 mln per jaar
Jaarlijkse Self-Assessment Questionnaire, driemaandelijkse ASV-scans en soms een QSA-attestatie, afhankelijk van de bank.
Niveau 320.000–1 mln e-commerce
Jaarlijkse SAQ, driemaandelijkse ASV-scans en een Attestation of Compliance.
Niveau 4Minder dan 20.000 e-commerce
De meeste kleine webwinkels. Jaarlijkse SAQ, driemaandelijkse ASV-scans zoals de bank vereist en een Attestation of Compliance.
De meeste kleine WooCommerce-winkels vallen onder niveau 4 en worden gevalideerd via documentatie en scans in plaats van audits op locatie. Wat u precies moet doen, hangt nog steeds af van hoe uw checkout is ingericht en of kaartgegevens ooit uw server raken.
Wat een Self-Assessment Questionnaire is
Voor niveau 2 tot en met 4 is de SAQ de belangrijkste manier om compliance te valideren — een gestructureerde checklist over gegevensbescherming, toegangsbeheer, configuratie en kwetsbaarheidsbeheer. Welke versie u invult, hangt volledig af van hoe uw checkout met kaartgegevens omgaat, en uw betaalverwerker bevestigt dat.
SAQ-typeTik om te openen
SAQ A
Voor merchants die de betaalverwerking volledig uitbesteden aan een PCI-compliant derde partij en nooit kaartgegevens op hun eigen systemen opslaan, verwerken of doorgeven. De eenvoudigste optie met de kleinste scope.
SAQ A-EP
Voor merchants die de verwerking uitbesteden, maar van wie de website nog wel een rol speelt in de betaalpagina — door een betaalformulier in te sluiten of te hosten. Meer vereisten, omdat uw site binnen de scope blijft.
Een veelvoorkomende vergissing: winkels die ingesloten velden gebruiken, zoals Stripe Elements of de hosted fields van Braintree, gaan soms uit van SAQ A, maar afhankelijk van de implementatie kan SAQ A-EP van toepassing zijn. Stem dit af met uw betaalverwerker voordat u iets invult.
Waar hosting in beeld komt
PCI-vereisten gelden ook voor de servers achter uw site, niet alleen voor uw gateway. Als kaartgegevens via uw server lopen, erdoor worden omgeleid of erdoor worden beïnvloed, maakt uw hosting deel uit van het compliancebeeld.
Shared hostingMinste isolatie
Veel sites delen één server. Goedkoper, maar een gecompromitteerde buur kan uw site in gevaar brengen, afhankelijk van de configuratie.
VPS-hostingGeïsoleerd
Uw eigen virtuele omgeving, met meer controle over firewalls, updates en toegang.
Dedicated hostingVolledige controle
Een volledig geïsoleerde fysieke server voor maximale controle en hogere compliance-eisen.
Managed PCI-compliantInfrastructuur geregeld
Patching, monitoring, inbraakdetectie en kwetsbaarheidsbeheer worden voor u geregeld.
Let op: de applicatielaag blijft uw verantwoordelijkheid.
Het model van gedeelde verantwoordelijkheid
Een PCI-compliant host maakt uw winkel niet automatisch compliant. De verantwoordelijkheid is verdeeld:
- Uw host regelt de infrastructuur: beveiliging van het datacenter, netwerkbeheer, serverhardening en systeempatches.
- Uw payment gateway verwerkt kaartgegevens op zijn eigen gecertificeerde infrastructuur en houdt ze zo van uw server.
- U bent verantwoordelijk voor de applicatielaag: hoe WooCommerce is geconfigureerd, welke plugins draaien, wie toegang heeft en hoe snel kwetsbaarheden worden verholpen.
Uw host patcht bijvoorbeeld het besturingssysteem volgens schema, maar als u een verouderde WooCommerce-versie of een kwetsbare plugin draait, is dat gat uw verantwoordelijkheid.
Waar u op let bij een PCI-compliant host
Kan uw host deze vragen beantwoorden?0 van 6 beantwoord
Vink elk punt aan dat uw host kan documenteren.
Vraag een gratis audit aanAls een host deze vragen niet kan beantwoorden, is dat reden genoeg om verder te zoeken.
De eenvoudigste route voor de meeste kleine winkels
< 20KNiveau 4
E-commercetransacties
Per jaar. Hier vallen de meeste kleine WooCommerce-winkels.
SAQ AKleinste scope
Volledig uitbestede checkout
Kaartgegevens raken uw server nooit.
DriemaandelijksVaak vergeten
ASV-scans
Een van de vereisten die kleine winkels het vaakst overslaan.
- Gebruik een volledig gehoste, PCI-gecertificeerde gateway zoals Stripe, PayPal of Square, zodat kaartgegevens uw server nooit raken.
- Bevestig uw SAQ-type met uw betaalverwerker of bank — vaak SAQ A bij een volledig uitbestede checkout.
- Kies hosting met PCI-conforme beveiliging, ook als uw scope klein is.
- Vul de jaarlijkse SAQ in en voer driemaandelijkse ASV-scans uit om uw compliance gedocumenteerd te houden.
Plugins die PCI en beveiliging ondersteunen
Plugins maken u niet compliant, maar de juiste plugins versterken de applicatielaag waarvoor u verantwoordelijk bent.
WooCommerce Stripe Payment GatewayGateway
Besteedt de kaartverwerking uit aan Stripe. Met hosted fields of een redirect-checkout komen de meeste kleine winkels in aanmerking voor SAQ A. Apple Pay, Google Pay, 3D Secure en getokeniseerde opgeslagen kaarten.
Let op: ingesloten velden kunnen SAQ A-EP betekenen. Stem dit af met Stripe.
WooCommerce PayPal PaymentsGateway
Een gehoste checkout buiten uw site houdt ruwe kaartgegevens van uw server. Pay Later, Venmo, vaulting en ingebouwde fraudetools.
Wordfence SecurityBeveiliging
Een web application firewall, malwarescans, inloglimieten, tweefactorauthenticatie en realtime blokkering van IP-adressen.
Sucuri SecurityBeveiliging
Monitoring van bestandsintegriteit, malwarescans, auditing van activiteiten en ondersteuning bij herstel na een hack.
WP Activity LogLogging
Gedetailleerde activiteitslogs van beheerders en gebruikers, registratie van WooCommerce-gebeurtenissen, waarschuwingen en bewaring van logs.
Neem de regie over uw compliance
De meest gemaakte fout is aannemen dat de gateway of de host alles afdekt. Geen van beide doet dat. Een praktisch beginpunt:
- Bevestig uw merchantniveau en SAQ-type met uw betaalverwerker of bank. Dat ene gesprek maakt het meeste duidelijk van wat op u van toepassing is.
- Audit uw checkoutflow. Weet precies waar kaartgegevens naartoe gaan als een klant betaalt.
- Beoordeel uw hosting. Vraag om een gedocumenteerde AOC, de inbegrepen beveiligingsfuncties en wat bij u blijft.
- Plan driemaandelijkse ASV-scans in. Vaak vergeten, en eenvoudig zodra de juiste host of leverancier is geregeld.
- Vul de jaarlijkse SAQ in. De PCI Security Standards Council publiceert de formulieren op pcisecuritystandards.org.
Weten wat er vereist is en daar consequent naar handelen: zo ziet compliance er in de praktijk uit.
