PCI SAQ
Formularz, w którym mniejszy sprzedawca sam potwierdza zgodność z PCI DSS, w odmianie zależnej od tego, ile danych kartowych przetwarza.
Self-Assessment Questionnaire występuje w około dziesięciu typach, a wybór typu decyduje o nakładzie pracy. SAQ A jest dla sprzedawców, którzy całą stronę płatności oddali bramce przez przekierowanie lub iframe, i obejmuje kilkadziesiąt wymagań. SAQ D dotyczy każdego, kto odbiera numery kart we własnych systemach, i zawiera wszystkie kilkaset wymagań standardu. Pomiędzy są warianty dla terminali, terminali wirtualnych i konfiguracji P2PE. Sprzedawca wypełnia formularz, podpisuje Attestation of Compliance (AOC) i wysyła do swojego acquirera.
To ten formularz, bardziej niż jakiekolwiek olśnienie w sprawie bezpieczeństwa, przeniósł pola kartowe sklepów internetowych do iframe dostawcy. PCI DSS 4.0 zaostrzył potem reguły dla skryptów na stronach płatności, gdy Magecart pokazał, że iframe niewiele daje, jeśli otaczająca go strona została przejęta.