Você montou uma loja WooCommerce, conectou um gateway de pagamento e começou a receber pedidos. Então um processador de pagamentos ou uma auditoria de segurança mencionou a conformidade PCI e, de repente, surgiram siglas — DSS, SAQ, QSA, ROC — sem que fique claro quais se aplicam a você.
Para a maioria dos donos de lojas pequenas, a realidade é mais simples do que parece à primeira vista. Mas mais simples não quer dizer opcional, e o ambiente de hospedagem importa mais do que a maioria das pessoas imagina. Veja como os níveis funcionam, o que exigem e o que buscar em uma hospedagem.
O que é a conformidade PCI e por que ela se aplica a você
O PCI DSS é o Payment Card Industry Data Security Standard, criado pelas principais bandeiras de cartão para garantir que toda empresa que aceita cartões proteja os dados de pagamento. Se sua loja aceita cartões de crédito ou débito de qualquer forma, ele se aplica — independentemente do porte ou do volume de vendas.
Mesmo que você nunca veja um número de cartão, você faz parte da cadeia de pagamento. No momento em que seu site coleta, transmite ou redireciona dados do titular do cartão, ele está no escopo.
Os quatro níveis de lojista
Os níveis se baseiam principalmente no número anual de transações com cartão, embora a decisão oficial seja do seu banco adquirente ou processador. Nem o Nível 4 está isento — a validação só é mais simples. Uma violação, ou um processador que passe a considerar você de maior risco, pode fazer você subir de nível.
Nível 1Mais de 6 milhões por ano
Ou qualquer lojista que já tenha sofrido uma violação. Auditoria anual presencial por um QSA, um Report on Compliance, varreduras ASV trimestrais e teste de invasão anual.
Nível 21 a 6 milhões por ano
Questionário de autoavaliação anual, varreduras ASV trimestrais e, às vezes, atestado de um QSA, dependendo do banco.
Nível 320 mil a 1 milhão em e-commerce
SAQ anual, varreduras ASV trimestrais e um Attestation of Compliance.
Nível 4Menos de 20 mil em e-commerce
A maioria das lojas virtuais pequenas. SAQ anual, varreduras ASV trimestrais conforme exigência do banco e um Attestation of Compliance.
A maioria das lojas WooCommerce pequenas está no Nível 4, validada por documentação e varreduras, e não por auditorias presenciais. O que você realmente precisa cumprir ainda depende de como o checkout está configurado e de os dados do cartão passarem ou não pelo seu servidor.
O que é um questionário de autoavaliação
Nos Níveis 2 a 4, o SAQ é a principal forma de validar a conformidade — um checklist estruturado que abrange proteção de dados, controle de acesso, configuração e gestão de vulnerabilidades. A versão que você preenche depende inteiramente de como o checkout lida com os dados do cartão, e seu processador a confirma.
Tipo de SAQToque para abrir
SAQ A
Para lojistas que terceirizam totalmente o processamento de pagamentos para um terceiro em conformidade com o PCI e nunca armazenam, processam ou transmitem dados de cartão em seus próprios sistemas. A opção mais simples e de menor escopo.
SAQ A-EP
Para lojistas que terceirizam o processamento, mas cujo site ainda participa da página de pagamento — incorporando ou hospedando um formulário de pagamento. Mais requisitos, porque seu site continua no escopo.
Uma confusão comum: lojas que usam campos incorporados, como Stripe Elements ou os hosted fields do Braintree, às vezes presumem que se enquadram no SAQ A, mas, dependendo da implementação, o SAQ A-EP pode se aplicar. Confirme com seu processador antes de preencher qualquer coisa.
Onde a hospedagem entra
Os requisitos do PCI alcançam os servidores por trás do seu site, não apenas o gateway. Se os dados do cartão passam pelo seu servidor, são redirecionados por ele ou sofrem influência dele, sua hospedagem faz parte do quadro de conformidade.
Hospedagem compartilhadaMenor isolamento
Muitos sites compartilham um servidor. É mais barato, mas um vizinho comprometido pode colocar seu site em risco, dependendo da configuração.
Hospedagem VPSIsolado
Seu próprio ambiente virtual, com mais controle sobre firewalls, atualizações e acesso.
Hospedagem dedicadaControle total
Um servidor físico totalmente isolado, para controle máximo e necessidades de conformidade mais elevadas.
Gerenciada em conformidade com o PCIInfraestrutura coberta
Aplicação de patches, monitoramento, detecção de intrusões e gestão de vulnerabilidades resolvidos para você.
Atenção: a camada de aplicação continua sendo sua.
O modelo de responsabilidade compartilhada
Uma hospedagem em conformidade com o PCI não torna sua loja automaticamente conforme. A responsabilidade é dividida:
- Sua hospedagem cuida da infraestrutura: segurança do data center, controles de rede, reforço dos servidores e aplicação de patches no sistema.
- Seu gateway de pagamento processa os dados do cartão em sua própria infraestrutura certificada, mantendo-os fora do seu servidor.
- Você é responsável pela camada de aplicação: como o WooCommerce está configurado, quais plugins rodam, quem tem acesso e com que rapidez as vulnerabilidades são corrigidas.
Por exemplo, sua hospedagem pode aplicar os patches do sistema operacional no prazo, mas, se você estiver usando uma versão desatualizada do WooCommerce ou um plugin vulnerável, essa brecha é sua.
O que buscar em uma hospedagem em conformidade com o PCI
Sua hospedagem sabe responder a estas perguntas?0 de 6 respondidas
Marque cada item que sua hospedagem consegue documentar.
Solicite uma auditoria gratuitaSe uma hospedagem não consegue responder a essas perguntas, já é motivo suficiente para continuar procurando.
O caminho mais simples para a maioria das lojas pequenas
< 20KNível 4
Transações de e-commerce
Por ano. Onde se enquadra a maioria das lojas WooCommerce pequenas.
SAQ AMenor escopo
Checkout totalmente terceirizado
Os dados do cartão nunca passam pelo seu servidor.
TrimestralMuitas vezes esquecido
Varreduras ASV
Um dos requisitos mais negligenciados pelas lojas pequenas.
- Use um gateway totalmente hospedado e certificado PCI, como Stripe, PayPal ou Square, para que os dados do cartão nunca passem pelo seu servidor.
- Confirme seu tipo de SAQ com seu processador ou banco — geralmente SAQ A para um checkout totalmente terceirizado.
- Hospede com segurança alinhada ao PCI, mesmo quando seu escopo é pequeno.
- Preencha o SAQ anual e faça as varreduras ASV trimestrais para manter a conformidade documentada.
Plugins que apoiam o PCI e a segurança
Plugins não deixam você em conformidade, mas os certos reforçam a camada de aplicação que é de sua responsabilidade.
WooCommerce Stripe Payment GatewayGateway
Terceiriza o processamento de cartões para a Stripe. Hosted fields ou checkout com redirecionamento ajudam a maioria das lojas pequenas a se enquadrar no SAQ A. Apple Pay, Google Pay, 3D Secure e cartões salvos tokenizados.
Atenção: campos incorporados podem significar SAQ A-EP. Confirme com a Stripe.
WooCommerce PayPal PaymentsGateway
O checkout hospedado, fora do site, mantém os dados brutos do cartão longe do seu servidor. Pay Later, Venmo, armazenamento seguro de dados de pagamento e ferramentas antifraude nativas.
Wordfence SecuritySegurança
Web application firewall, varredura de malware, limite de logins, autenticação de dois fatores e bloqueio de IPs em tempo real.
Sucuri SecuritySegurança
Monitoramento de integridade de arquivos, varredura de malware, auditoria de atividades e suporte à correção pós-invasão.
WP Activity LogRegistro de logs
Logs detalhados de atividades de administradores e usuários, rastreamento de eventos do WooCommerce, alertas e retenção de logs.
Assumindo o controle da sua conformidade
O erro mais comum é presumir que o gateway ou a hospedagem cobre tudo. Nenhum dos dois cobre. Um ponto de partida prático:
- Confirme seu nível de lojista e seu tipo de SAQ com seu processador ou banco. Essa única conversa esclarece a maior parte do que se aplica.
- Audite seu fluxo de checkout. Saiba exatamente para onde vão os dados do cartão quando um cliente paga.
- Revise sua hospedagem. Peça um AOC documentado, os recursos de segurança incluídos e o que continua sob sua responsabilidade.
- Agende varreduras ASV trimestrais. Muitas vezes esquecidas, e fáceis quando a hospedagem ou o fornecedor certo está em ação.
- Preencha o SAQ anual. O PCI Security Standards Council publica os formulários em pcisecuritystandards.org.
Saber o que é exigido e agir de forma consistente é como a conformidade se traduz na prática.
