Hosted fields
Kortfält som ser ut att tillhöra butikens kassa men i själva verket är små iframes från betalleverantören, så att kortnumret aldrig passerar handlarens server.
Mönstret är en kompromiss mellan två dåliga alternativ. Att skicka kunden till en extern betalsida kostar konverteringar, och att ta emot kortnumret själv drar in hela webbplatsen i PCI DSS. Med hosted fields bygger handlaren formuläret, men varje enskilt fält för kortnummer, giltighetstid och CVV laddas från leverantörens domän. Butikens JavaScript får bara tillbaka en token att skicka vidare. Braintree gav tekniken namnet; Stripe kallar den Elements och Adyen secured fields.
Vinsten är formell lika mycket som teknisk: handlaren kan ofta klara sig med den kortaste självskattningen, SAQ A. Men sidan runt fälten är fortfarande handlarens, och ett injicerat skript kan rita ett falskt fält ovanpå det äkta. Det var därför PCI DSS 4.0 började ställa krav även på skripten på betalsidan.