PCI SAQ
Formuläret där en mindre handlare själv intygar att den följer PCI DSS, i en variant som beror på hur mycket kortdata den rör.
Self-Assessment Questionnaire finns i ett tiotal typer, och valet av typ är det som avgör arbetsbördan. SAQ A gäller den som lämnat över hela betalsidan till en betalväxel via omdirigering eller iframe och har ett par dussin krav. SAQ D gäller den som tar emot kortnumret i egna system och innehåller alla flera hundra krav i standarden. Däremellan finns varianter för terminaler, virtuella terminaler och P2PE-lösningar. Handlaren fyller i, skriver under ett intyg (AOC) och skickar det till sin inlösare.
Det är formuläret, mer än någon säkerhetsinsikt, som fick e-handeln att flytta kortfälten till leverantörens iframe. Version 4.0 av PCI DSS skärpte dessutom kraven på skript på betalsidan, efter att Magecart-attackerna visat att en iframe inte hjälper mycket om sidan runt omkring är kapad.