Hosted payment page
Strona płatności należąca do dostawcy, a nie do sklepu, dzięki czemu serwer sprzedawcy nigdy nie widzi numeru karty.
Klient klika „Zapłać”, trafia na stronę w domenie dostawcy, wpisuje tam dane karty i wraca z potwierdzeniem. Ten wzorzec jest tak stary jak e-commerce, ale to PCI DSS uczynił go domyślnym. Sprzedawca, który nigdy nie dotyka danych kartowych, może poświadczyć zgodność najkrótszą ankietą samooceny, SAQ A, zamiast kilkuset wymagań. Dostawca obsługuje też 3-D Secure, lokalne metody płatności i regulacyjne obowiązki, które sprzedawca musiałby inaczej budować sam.
Ceną jest kontrola. Przekierowanie psuje doświadczenie, a każde dodatkowe ładowanie strony w kasie kosztuje sprzedaż. Branżowym kompromisem stały się hosted fields: w iframe od dostawcy siedzi tylko pole karty, a reszta strony należy do sprzedawcy. Chroni to mniej, niż się wydaje — jeśli ktoś przejmie stronę sprzedawcy, jak w atakach Magecart, iframe można po prostu podmienić na fałszywy.