Barındırılan alanlar (Hosted fields)
Mağazanın ödeme sayfasının parçası gibi görünen ama aslında ödeme sağlayıcısının sunduğu küçük iframe'ler olan kart giriş alanları; kart numarası satıcının sunucusuna hiç uğramaz.
Bu desen, iki kötü seçenek arasında bir ateşkestir. Müşteriyi harici bir ödeme sayfasına yönlendirmek dönüşümü düşürür; kart numarasını doğrudan almak ise tüm siteyi PCI DSS kapsamına sokar. Barındırılan alanlarda formu satıcı tasarlar, ama kart numarası, son kullanma tarihi ve CVV kutularının her biri sağlayıcının alan adından yüklenir. Mağazanın JavaScript'i yalnızca iletmesi gereken bir jeton alır. Tekniğe adını Braintree verdi; Stripe buna Elements, Adyen ise secured fields diyor.
Kazanç mühendislikten çok evrak işindedir: satıcılar çoğu zaman en kısa öz değerlendirme formu olan SAQ A ile yetinebilir. Ancak alanların çevresindeki sayfa hâlâ satıcıya aittir ve enjekte edilmiş bir betik gerçek alanın tam üstüne sahte bir alan çizebilir. PCI DSS 4.0'ın ödeme sayfalarındaki betikleri de sormaya başlamasının nedeni budur.