Guía
SAQ A-EP de PCI DSS: cuando su sitio sí afecta los pagos con tarjeta
El SAQ A-EP de PCI DSS aplica al comercio electrónico que terceriza el procesamiento, pero cuyo sitio puede afectar la página de pago. Su servidor web entra en el alcance aunque nunca reciba datos de tarjetas.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Quién necesita el SAQ A-EP de PCI DSS
Corresponde cuando su sitio entrega la página de pago o scripts que podrían alterarla. Por ejemplo, suele caer aquí una integración de envío directo o una página que carga el script del proveedor desde su servidor. El formulario está en la biblioteca de documentos del PCI SSC.
Por qué el formulario es mucho más largo que el SAQ A
Si alguien comprometiera su sitio, podría cambiar la página de pago y capturar tarjetas. Por eso el formulario pide proteger bien el sitio.
- Controles de red en torno al servidor web
- Configuración segura y parches
- Escaneos de vulnerabilidades y pruebas
- Registro y monitoreo del sitio
- Inventario de scripts y detección de cambios en la página de pago
Revisión de preparación para el SAQ A-EP
Marque lo que su sitio web ya tiene.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
El SAQ A-EP de PCI DSS frente al SAQ A
La diferencia es el papel de su sitio web.
| SAQ A | SAQ A-EP | |
|---|---|---|
| Origen de la página de pago | Solo el proveedor. | Su sitio, al menos en parte. |
| Servidor web en el alcance | No. | Sí. |
| Extensión | Corta. | Mucho más larga. |
Cómo reducir el alcance
Pasar a una página de pago totalmente alojada o a un marco del proveedor puede devolverle al SAQ A. Compare el costo de cambiar el checkout con el de proteger su sitio al nivel del A-EP.
Para muchas tiendas pequeñas, cambiar la integración es lo más económico. Pero puede afectar la conversión y el diseño, así que valore ambos.
Nuestro papel con el SAQ A-EP de PCI DSS
Revisamos el checkout, recomendamos el camino conforme más económico y preparamos las evidencias. Pero lo firma su alta dirección, y no somos un QSA.
Preguntas sobre el SAQ A-EP de PCI DSS
¿Por qué aplica el SAQ A-EP de PCI DSS si nunca vemos números de tarjeta?
Porque su sitio podría modificarse para capturarlos, así que está en el alcance.
¿Podemos evitar el A-EP?
A menudo sí, con una página totalmente alojada o un marco del proveedor.
¿El SAQ A-EP de PCI DSS exige pruebas de penetración?
Revise el formulario vigente, porque a algunos comercios A-EP se les exigen.
¿Quién lo firma?
Su alta dirección.
Guías relacionadas
Encuentre el camino más económico para su checkout
Describa la integración de su checkout. Le respondemos con opciones y una estimación por escrito.
Quiero mi estimación por escrito