Поля, размещённые у провайдера (hosted fields)
Поля ввода карты, которые выглядят частью страницы оплаты магазина, а на деле являются крошечными iframe от платёжного провайдера, поэтому номер карты никогда не попадает на сервер продавца.
Этот приём — перемирие между двумя плохими вариантами. Перенаправление покупателя на внешнюю страницу оплаты снижает конверсию, а приём номеров карт напрямую втягивает весь сайт в область действия PCI DSS. С hosted fields продавец сам рисует форму, но поля номера, срока действия и CVV загружаются с домена провайдера. JavaScript магазина получает назад лишь токен, который передаёт дальше. Название технике дала Braintree; у Stripe это Elements, у Adyen — secured fields.
Выигрыш столько же бумажный, сколько инженерный: продавцы часто обходятся самой короткой анкетой самооценки, SAQ A. Но страница вокруг полей по-прежнему принадлежит продавцу, и внедрённый скрипт может нарисовать поддельное поле прямо поверх настоящего. Поэтому PCI DSS 4.0 стал спрашивать и про скрипты на платёжных страницах.