PCI DSS es la norma de seguridad que las redes de tarjetas bancarias exigen a todo comercio que acepta pagos con tarjeta, también en línea. HaiSoft le acompaña en la configuración y la protección de la parte servidor, conforme a los requisitos de PCI DSS v4.0.1, en colaboración con SiteLock. Nuestro equipo de Orléans elabora el acompañamiento bajo presupuesto.
En el comercio en línea, la seguridad de las transacciones con tarjeta bancaria es fundamental. El cumplimiento de las normas PCI DSS (Payment Card Industry Data Security Standard) no es solo una exigencia normativa para las empresas que procesan pagos con tarjeta: es esencial para proteger los datos de sus clientes y mantener la confianza en sus servicios. HaiSoft, en colaboración con SiteLock, simplifica el proceso de certificación PCI DSS. Analizamos su servidor y su sitio web para verificar su conformidad y le guiamos en los ajustes necesarios para cumplir los estándares de seguridad exigidos.
Alcanzar el cumplimiento PCI DSS puede parecer complejo e intimidante. Le ayudamos a simplificar el proceso con un análisis completo de su entorno para detectar las desviaciones respecto a las normas PCI y con recomendaciones claras para corregirlas.
Al cumplir las normas PCI DSS, aplica niveles de seguridad que protegen la información sensible de sus clientes frente a las brechas de datos. Esto incluye medidas de seguridad como el cifrado, el uso de cortafuegos y controles de acceso rigurosos.
Los clientes son cada vez más conscientes de la seguridad de las transacciones en línea. Al mostrar su cumplimiento PCI DSS, transmite un firme compromiso con la seguridad, lo que refuerza la confianza de los clientes en su capacidad para proteger sus datos personales y financieros.
A las empresas que cumplen las normas PCI DSS a menudo les resulta más fácil establecer colaboraciones y mantener buenas relaciones con los bancos y otras entidades financieras. Este cumplimiento también puede reducir los costes asociados a las transacciones financieras y las comisiones de procesamiento.
PCI DSS (Payment Card Industry Data Security Standard) es la norma de seguridad de los datos de tarjetas de pago. La publica el PCI Security Standards Council (PCI SSC), fundado en 2006 por American Express, Discover, JCB, Mastercard y Visa. Se aplica a toda organización que almacena, procesa o transmite datos de tarjetas, y afecta también a los sitios de comercio electrónico que confían el pago a un proveedor: su alcance se reduce, pero no desaparece.
No es una ley: el cumplimiento lo exigen contractualmente su banco (el adquirente) y las redes de tarjetas. La versión vigente es PCI DSS v4.0.1, publicada en junio de 2024 y única versión activa desde el 31 de diciembre de 2024; los nuevos requisitos de la v4, inicialmente opcionales, son obligatorios desde el 31 de marzo de 2025.
La norma consta de 12 requisitos, agrupados en 6 objetivos:
| Objetivo | Requisitos |
|---|---|
| Redes y sistemas seguros | 1. Controles de seguridad de red (cortafuegos); 2. configuraciones seguras |
| Protección de los datos de cuenta | 3. Protección de los datos almacenados; 4. cifrado robusto en las transmisiones por redes públicas |
| Gestión de vulnerabilidades | 5. Protección contra el malware; 6. desarrollo y mantenimiento de sistemas y software seguros |
| Control de acceso | 7. Acceso limitado a lo estrictamente necesario; 8. identificación y autenticación de los usuarios; 9. acceso físico restringido |
| Supervisión y pruebas | 10. Registro y supervisión de los accesos; 11. pruebas de seguridad periódicas |
| Política de seguridad | 12. Políticas y programas de seguridad de la información |
Las redes de tarjetas clasifican a los comercios en niveles según su volumen anual de transacciones. Los más grandes (más de 6 millones de transacciones al año) someten su cumplimiento a una auditoría in situ realizada por un evaluador cualificado (QSA). La gran mayoría de los comercios validan su cumplimiento cada año con un cuestionario de autoevaluación (SAQ) y una certificación de cumplimiento (AOC) que envían a su banco.
El cuestionario depende de cómo acepte las tarjetas. Para un sitio de comercio electrónico:
| Cuestionario | Situación |
|---|---|
| SAQ A | El pago se confía por completo a un proveedor que cumple PCI DSS: redirección a su página de pago o formulario integrado en un iframe. Ningún dato de tarjeta pasa por su servidor. |
| SAQ A-EP | El pago se confía a un proveedor, pero su sitio controla elementos de la página de pago (por ejemplo, un formulario que envía directamente los datos al proveedor) y, por tanto, puede afectar a su seguridad. |
| SAQ D | Todos los demás casos, en particular cuando su servidor recibe, procesa o almacena datos de tarjetas. |
Desde la actualización del SAQ A de enero de 2025, los requisitos sobre los scripts de las páginas de pago (6.4.3) y sobre la detección de cambios (11.6.1) ya no figuran en el SAQ A, pero el comercio debe confirmar que su sitio no es vulnerable a ataques mediante scripts. Siguen siendo aplicables a los SAQ A-EP y D. Su banco le confirma el cuestionario que le corresponde.
El requisito 11.3.2 de PCI DSS exige un escaneo externo de vulnerabilidades al menos una vez cada tres meses, y tras cualquier cambio importante, realizado por un proveedor de escaneo aprobado (ASV, Approved Scanning Vendor) cuya solución aprueba cada año el PCI SSC. El escaneo debe ser «superado»: no puede quedar ninguna vulnerabilidad de gravedad media o alta; de lo contrario, hay que corregirla y repetir el escaneo.
Estos escaneos afectan también a los comercios con SAQ A: debe escanearse la página de su sitio que redirige a la página de pago del proveedor o que la integra. Los informes de escaneos superados se conservan y se entregan a su banco junto con el cuestionario.
Alojar su sitio en un proveedor no le convierte automáticamente en conforme: el cumplimiento de PCI DSS es una responsabilidad compartida. Para PCI DSS, su proveedor de alojamiento es un proveedor de servicios externo. Debe mantener una lista de estos proveedores, saber con precisión qué requisitos corresponden a cada uno (requisito 12.8) y comprobar cada año su estado de cumplimiento. El proveedor, por su parte, debe reconocer por escrito las responsabilidades que asume (requisito 12.9).
En HaiSoft, la gestión del servidor cubre parte de las medidas técnicas esperadas: actualizaciones de seguridad del sistema y del software del servidor, supervisión 24/7/365 y alojamiento en centros de datos seguros en Francia (en Tours, un centro de datos Tier III con certificación ISO 27001). Quedan de su lado, en particular, la elección del proveedor de pago, la actualización de su sitio y sus módulos, la gestión de las cuentas de administración y el cuestionario anual. Descubra nuestros centros de datos y nuestros compromisos de servicio.
HaiSoft trabaja con SiteLock, especialista en seguridad de sitios web, que ya ofrecemos para la protección antimalware de los sitios alojados. SiteLock forma parte hoy del grupo Sectigo, cuya solución de escaneo HackerGuardian está aprobada como ASV por el PCI SSC. El servicio de cumplimiento PCI de SiteLock combina escaneos externos de vulnerabilidades y ayuda para rellenar el cuestionario de autoevaluación.
Por su parte, HaiSoft le acompaña en la configuración y la protección de la parte servidor conforme a los requisitos de PCI DSS. Las demás necesidades, como los escaneos de vulnerabilidades o la ayuda con el cuestionario, se definen con usted. Lea también nuestro artículo SiteLock, la solución contra la piratería.
PCI DSS (Payment Card Industry Data Security Standard) es la norma de seguridad de los datos de tarjetas de pago, publicada por el PCI Security Standards Council. Se aplica a toda organización que acepta, procesa, transmite o almacena datos de tarjetas bancarias.
Sí. Confiar el pago a un proveedor conforme reduce mucho su alcance, pero aun así debe validar su cumplimiento, normalmente con el cuestionario SAQ A o SAQ A-EP, y encargar escaneos ASV trimestrales de su sitio.
No es una obligación legal, sino contractual: su banco y las redes de tarjetas lo exigen para aceptar pagos con tarjeta. También fijan las consecuencias del incumplimiento.
PCI DSS v4.0.1, publicada en junio de 2024. Es la única versión activa desde el 31 de diciembre de 2024, y todos sus requisitos son obligatorios desde el 31 de marzo de 2025.
Depende de su forma de cobro: SAQ A si el pago se confía por completo a un proveedor (redirección o iframe), SAQ A-EP si su sitio controla elementos de la página de pago, SAQ D si su servidor recibe o almacena datos de tarjetas. Su banco confirma el cuestionario aplicable.
Es un escaneo externo de vulnerabilidades realizado por un proveedor aprobado por el PCI SSC (Approved Scanning Vendor). PCI DSS exige uno al menos cada tres meses y tras cualquier cambio importante; debe superarse, es decir, sin vulnerabilidades de gravedad media o alta.
No. El cumplimiento es compartido: HaiSoft gestiona y protege el servidor, pero la elección del proveedor de pago, la actualización del sitio y sus módulos, la gestión de los accesos y el cuestionario anual siguen siendo responsabilidad suya. Nuestro acompañamiento le ayuda a cubrirlo todo.
SiteLock, socio de HaiSoft, está especializado en la seguridad de sitios web. Su servicio de cumplimiento PCI combina escaneos externos de vulnerabilidades y ayuda para rellenar el cuestionario de autoevaluación. SiteLock forma parte del grupo Sectigo, aprobado como ASV por el PCI SSC.
El acompañamiento de HaiSoft se centra en la configuración y la protección de la parte servidor. Las demás necesidades, como los escaneos de vulnerabilidades o la ayuda con el cuestionario de autoevaluación, se definen con usted. Se elabora bajo presupuesto, según su situación.
Póngase en contacto con nosotros mediante el formulario de contacto o por teléfono al +33 974 078 078 (04 268 03 73 desde Bélgica). Estudiamos su forma de cobro, su servidor y su sitio antes de proponerle un acompañamiento.
Actualizado el
