PCI SAQ
El formulario con el que un comercio pequeño certifica por sí mismo que cumple PCI DSS, en una variante que depende de cuántos datos de tarjeta toca.
El Self-Assessment Questionnaire existe en una decena de tipos, y elegir el tipo es lo que fija la carga de trabajo. El SAQ A es para quien ha cedido toda la página de pago a una pasarela mediante redirección o iframe, y tiene un par de docenas de requisitos. El SAQ D es para quien recibe números de tarjeta en sus propios sistemas y contiene los varios cientos de requisitos del estándar. Entre ambos hay variantes para terminales, terminales virtuales y soluciones P2PE. El comercio lo rellena, firma una declaración de cumplimiento (AOC) y la envía a su adquirente.
Fue este formulario, más que cualquier revelación de seguridad, lo que llevó los campos de tarjeta del comercio electrónico al iframe del proveedor. La versión 4.0 de PCI DSS endureció además las reglas sobre los scripts de la página de pago, después de que Magecart demostrara que un iframe sirve de poco si la página que lo rodea está secuestrada.