Hosted fields
Campi di inserimento della carta che sembrano parte del checkout del negozio ma sono in realtà minuscoli iframe forniti dal gestore dei pagamenti, così il numero della carta non tocca mai il server dell'esercente.
Il modello è una tregua tra due soluzioni poco felici. Reindirizzare i clienti a una pagina di pagamento esterna fa perdere conversioni; raccogliere direttamente i numeri di carta trascina l'intero sito nell'ambito del PCI DSS. Con gli hosted fields l'esercente disegna il modulo, ma le caselle di numero, scadenza e CVV sono caricate dal dominio del fornitore. Il JavaScript del negozio riceve soltanto un token da passare avanti. Braintree ha dato il nome alla tecnica; Stripe la chiama Elements, Adyen secured fields.
Il vantaggio è tanto burocratico quanto tecnico: spesso l'esercente se la cava con il questionario di autovalutazione più breve, il SAQ A. Ma la pagina attorno ai campi resta dell'esercente, e uno script iniettato può disegnare un finto campo proprio sopra quello vero. Per questo il PCI DSS 4.0 ha iniziato a occuparsi anche degli script presenti nelle pagine di pagamento.