Você configurou uma loja WooCommerce, conectou um gateway de pagamento e começou a processar pedidos. Em algum momento, talvez de um processador de pagamento ou de uma auditoria de segurança, alguém mencionou a conformidade com o PCI. Agora existem acrônimos como DSS, SAQ, QSA e ROC para analisar, e não fica imediatamente claro quais realmente se aplicam.
A realidade para a maioria dos proprietários de pequenas lojas é mais simples do que parece inicialmente. Mas "simples" não significa "opcional", e o ambiente de hospedagem em que uma loja é executada importa mais do que muitas pessoas entendem.
Este guia explica como funcionam os níveis de conformidade PCI, o que eles exigem dos comerciantes e o que procurar em um provedor de hospedagem.
Para a maioria dos comerciantes do WooCommerce, a questão prática não é se o PCI se aplica; é quanto do fardo de conformidade realmente recai sobre eles. A maioria dos pequenos comerciantes confia em gateways de pagamento terceirizados para minimizar a exposição, enquanto o isolamento de hospedagem e a adoção de plugins de segurança permanecem fatores de apoio importantes.
PCI DSS significa Payment Card Industry Data Security Standard. É um framework criado pelas principais bandeiras de cartões para garantir que qualquer empresa que aceite pagamentos com cartão proteja adequadamente os dados de pagamento dos clientes. Se uma loja WooCommerce processa transações de cartão de crédito ou débito de qualquer forma, o PCI DSS se aplica, independentemente do tamanho ou volume de vendas mensal.
Mesmo quando uma empresa nunca vê fisicamente o número do cartão de um cliente, ela ainda faz parte da cadeia de pagamentos. No momento em que um site coleta, transmite ou redireciona dados do titular do cartão, ele se enquadra no escopo do PCI. A conformidade não se trata de ser uma grande empresa; trata-se de reduzir o risco de fraude, violações de dados e responsabilidade financeira. Se uma loja aceita pagamentos com cartão online, a conformidade com o PCI não é opcional. Faz parte da operação responsável e segura.
O PCI DSS divide os comerciantes em quatro níveis de conformidade com base principalmente no número de transações com cartão processadas anualmente. Embora o volume de transações seja o principal fator, o banco adquirente e o processador de pagamento determinam, em última análise, a classificação oficial. Esses níveis existem para dimensionar os requisitos de validação de acordo com a exposição ao risco. Volumes de transações mais altos acarretam uma exposição mais ampla a violações, e é por isso que os requisitos de validação são dimensionados de acordo.
Importante, mesmo o nível mais baixo não está isento dos requisitos do PCI DSS. A validação simplesmente se torna menos complexa. Os comerciantes também podem ser movidos para um nível mais alto após uma violação ou se o processador os considerar de maior risco.
Para a maioria das pequenas lojas WooCommerce, aplica-se o Nível 4, o que significa que a conformidade é validada principalmente por meio de documentação e varreduras regulares, em vez de auditorias completas no local. Obrigações específicas ainda dependem muito de como o checkout é configurado e se os dados do titular do cartão chegam ao ambiente do servidor.
Para a maioria das pequenas empresas de comércio eletrônico nos Níveis PCI 2 a 4, o Questionário de Autoavaliação (SAQ) é o principal método de validação da conformidade. Pense no SAQ como uma lista de verificação estruturada, em vez de um formulário simples. Ele abrange controles de segurança em proteção de dados, controle de acesso, configuração de sistema e gerenciamento de vulnerabilidades, e as respostas determinam se um ambiente atende aos padrões exigidos ou precisa de remediação antes de atestar a conformidade.
Existem várias versões de SAQ, e a seleção da correta depende inteiramente de como o processo de checkout lida com os dados de pagamento. O banco adquirente ou processador de pagamento confirma, em última análise, qual versão se aplica a cada configuração.
Os dois tipos de SAQ mais relevantes para pequenas lojas de comércio eletrônico são:
Um ponto comum de confusão: comerciantes que usam campos de pagamento incorporados, como Stripe Elements ou campos hospedados do Braintree, às vezes assumem que se qualificam para o SAQ A, mas, dependendo da implementação, o SAQ A-EP pode ser aplicável. Confirmar isso com um processador antes de preencher o SAQ pode evitar o preenchimento do formulário errado completamente.
O ambiente de hospedagem desempenha um papel significativo na determinação do escopo da conformidade com PCI. Muitos proprietários de lojas focam apenas em seu gateway de pagamento, mas os requisitos do PCI DSS também se estendem aos servidores e à infraestrutura que suportam o site. Se dados de portadores de cartão passam, são redirecionados por ou são influenciados pelo ambiente do servidor, a configuração de hospedagem se torna parte da equação de conformidade.
Cada modelo de hospedagem acarreta suas próprias implicações de conformidade:
Escolher o nível de hospedagem correto influencia diretamente a complexidade das obrigações do PCI.
Muitos proprietários de lojas assumem que, se um provedor de hospedagem for compatível com PCI, a loja estará automaticamente coberta. É assim que o PCI DSS funciona. A conformidade segue um modelo de responsabilidade compartilhada, o que significa que o host, o gateway de pagamento e o comerciante têm obrigações definidas.
Um provedor de hospedagem cuida da segurança da infraestrutura: proteção do data center, controles de rede, endurecimento de servidores e patches em nível de sistema. Os comerciantes permanecem responsáveis pela camada de aplicação. Isso inclui como o WooCommerce é configurado, quais plugins são instalados, como o acesso do usuário é gerenciado e se as vulnerabilidades são abordadas prontamente. Um host em conformidade reduz o escopo técnico, mas não remove a responsabilidade do comerciante que aceita pagamentos com cartão.
Um exemplo prático: um host pode lidar com a aplicação de patches no nível do sistema operacional conforme programado, mas se uma loja estiver executando uma versão desatualizada do WooCommerce ou um plugin vulnerável, essa lacuna é responsabilidade do comerciante, não do host.
Escolher um host compatível com PCI é mais do que verificar uma afirmação de marketing em uma página de preços. Trata-se de entender se o provedor suporta os requisitos técnicos e de segurança específicos dentro do escopo de conformidade de uma loja. Algumas perguntas que valem a pena fazer antes de se inscrever:
Se um provedor não consegue responder a essas perguntas, isso é motivo suficiente para continuar procurando.
Para a maioria das pequenas lojas WooCommerce que processam menos de 20.000 transações de comércio eletrônico por ano, a conformidade com PCI não precisa ser excessivamente complexa. A chave é minimizar o escopo de conformidade desde o início, mantendo os dados do titular do cartão fora do servidor, limitando a exposição técnica e entendendo claramente quais requisitos se aplicam no nível do comerciante.
Uma abordagem prática para a maioria das pequenas lojas inclui:
Manter o fluxo de pagamento simples e a infraestrutura razoavelmente segura reduz tanto o risco quanto o fardo administrativo sem exagerar na configuração.
A conformidade PCI não é alcançada apenas por meio de plugins; as ferramentas certas ajudam a fortalecer a segurança da camada de aplicação, dar suporte ao monitoramento e reduzir o risco de conformidade.
Gateway de Pagamento WooCommerce Stripe
Esta integração oficial da Stripe permite a terceirização completa do processamento de cartões para a infraestrutura certificada PCI da Stripe. Quando configurada usando campos hospedados ou checkout redirecionado, ela ajuda a maioria das pequenas lojas a se qualificar para SAQ A, mantendo os dados do cartão fora do servidor.
Pagamentos PayPal do WooCommerce
O plugin oficial do WooCommerce do PayPal permite experiências de checkout hospedadas que reduzem o fardo da conformidade com o PCI, mantendo os dados brutos do titular do cartão fora do servidor.
Aborda a segurança da camada de aplicação, que se enquadra na responsabilidade do comerciante no modelo de responsabilidade compartilhada.
Adiciona monitoramento de integridade de arquivos, varredura de malware e reforço de segurança que atendem aos requisitos do PCI DSS para integridade do sistema e detecção de intrusão.
Documenta ações administrativas e atividade do usuário dentro do WordPress e WooCommerce, apoiando os requisitos do PCI DSS em torno do rastreamento de acesso a recursos de rede e ambientes de dados do titular do cartão.
A conformidade com o PCI não precisa ser avassaladora para uma pequena empresa de comércio eletrônico. O erro mais comum é assumir que o gateway de pagamento ou o provedor de hospedagem cobrem tudo. Nenhum deles cobre. A conformidade é compartilhada entre o gateway, o ambiente de hospedagem e as escolhas de aplicativos do comerciante.
Um ponto de partida prático:
Entender o que é exigido e agir consistentemente é o que a conformidade realmente parece na prática.
