PCI SAQ
Het formulier waarmee een kleinere handelaar zelf verklaart dat hij aan PCI DSS voldoet, in een variant die afhangt van hoeveel kaartgegevens hij raakt.
De Self-Assessment Questionnaire kent ongeveer tien typen, en de keuze van het type bepaalt de werklast. SAQ A is voor handelaren die de hele betaalpagina via redirect of iframe aan een gateway hebben overgedragen en telt een paar dozijn eisen. SAQ D is voor wie kaartnummers in eigen systemen ontvangt en bevat alle enkele honderden eisen van de standaard. Daartussen zitten varianten voor terminals, virtuele terminals en P2PE-opstellingen. De handelaar vult het in, tekent een Attestation of Compliance (AOC) en stuurt die naar zijn acquirer.
Meer dan welk beveiligingsinzicht ook was het dit formulier dat de kaartvelden van webwinkels naar de iframe van de aanbieder verplaatste. PCI DSS 4.0 scherpte daarna de regels voor scripts op betaalpagina's aan, nadat Magecart had laten zien dat een iframe weinig helpt als de pagina eromheen is gekaapt.