Hosted fields
Pola na dane karty, które wyglądają jak część kasy sklepu, a w rzeczywistości są malutkimi ramkami iframe serwowanymi przez dostawcę płatności, więc numer karty nigdy nie trafia na serwer sprzedawcy.
Ten wzorzec to rozejm między dwiema złymi opcjami. Przekierowanie klienta na zewnętrzną stronę płatności obniża konwersję, a przyjmowanie numerów kart bezpośrednio wciąga cały sklep w zakres PCI DSS. W modelu hosted fields sprzedawca projektuje formularz, ale pola numeru, daty ważności i CVV ładują się z domeny dostawcy. Skrypty sklepu dostają z powrotem wyłącznie token. Nazwę nadało Braintree; Stripe mówi na to Elements, a Adyen — secured fields.
Zysk jest tyleż papierologiczny, co techniczny: sprzedawca często może poprzestać na najkrótszej ankiecie samooceny, SAQ A. Strona wokół pól nadal należy jednak do niego, a wstrzyknięty skrypt potrafi narysować fałszywe pole dokładnie nad prawdziwym. Dlatego PCI DSS 4.0 zaczął pytać także o skrypty na stronach płatności.