ホステッドフィールド
ショップのチェックアウトの一部に見えるが、実は決済事業者が配信する小さなiframeであるカード入力欄。カード番号が加盟店のサーバーに届くことはない。
この方式は、二つの悪い選択肢の折衷案だ。外部の決済ページへ遷移させると購入率が下がり、カード番号を自前で受け取るとサイト全体がPCI DSSの対象範囲に入ってしまう。ホステッドフィールドでは、フォームのデザインは加盟店が行うが、カード番号・有効期限・CVVの各入力欄は決済事業者のドメインから読み込まれる。ショップ側のJavaScriptが受け取るのはトークンだけである。名付け親はBraintreeで、StripeはElements、Adyenはsecured fieldsと呼ぶ。
利点は技術面と同じくらい書類面にもあり、加盟店は最も簡易な自己評価質問票SAQ Aで済ませられることが多い。ただし入力欄の周囲のページは加盟店のものだ。注入されたスクリプトが本物の入力欄の真上に偽の欄を描くこともできる。PCI DSS 4.0が決済ページ上のスクリプトまで問うようになったのはそのためである。