PCI SAQ
小規模な加盟店が自らのPCI DSS準拠を申告する書式。扱うカードデータの量に応じて種類が変わる。
自己評価質問票（Self-Assessment Questionnaire）には約10種類あり、どれを選ぶかで作業量が決まる。SAQ Aは、決済ページ全体をリダイレクトやiframeでゲートウェイに任せた加盟店向けで、要件は二十数項目。SAQ Dは自社システムでカード番号を受け取る場合のもので、標準の数百に及ぶ全要件を含む。その中間には、端末、仮想端末、P2PE構成向けの派生版がある。加盟店は記入し、準拠証明書（AOC）に署名して、アクワイアラへ送る。
ECサイトのカード入力欄が決済事業者のiframeへ移ったのは、セキュリティへの目覚めというより、この書式のせいだ。その後PCI DSS 4.0は決済ページ上のスクリプトに関する規則を厳しくした。Magecartが、周囲のページが乗っ取られればiframeはあまり役に立たないことを示したためである。