Si tu formulario recoge datos de pago, estás sujeto a reglas de seguridad estrictas, lo sepas o no. El Payment Card Industry Data Security Standard (PCI DSS) fija requisitos para cualquiera que acepte, guarde o procese datos de tarjetas de pago. Incumplir PCI DSS conlleva multas de miles de dólares al día, además de la responsabilidad si se roban los datos de las tarjetas.
La regla fundamental de PCI DSS es simple. No guardes nunca por tu cuenta datos en bruto de tarjetas de pago. Evitar datos sensibles en los formularios y usar procesadores de pago adecuados protege tu marca y a tus clientes, y te mantiene en regla.
Qué vas a aprender: qué es PCI DSS y cuándo se aplica, qué datos de pago nunca debes recoger, cómo estructurar formularios de pago de forma segura, cómo usar correctamente los procesadores de pago y qué hacer si ya has recogido datos sensibles.
¿Qué es PCI DSS?
PCI DSS (Payment Card Industry Data Security Standard) es un conjunto de estándares de seguridad creado por las principales empresas de tarjetas de crédito. Se aplica a cualquier empresa que acepte, guarde, transmita o procese información de tarjetas de crédito.
PCI DSS se aplica a ti si:
- Tienes una tienda online que acepta tarjetas de crédito
- Tienes un formulario que recoge datos de pago
- Usas facturas por correo con instrucciones de pago
- Guardas datos de pago de clientes para cobros recurrentes
- Algún empleado tiene acceso a datos de tarjetas de pago
Puedes pensar que no estás sujeto a PCI DSS si usas un procesador de pagos, pero eres responsable de cómo recoges los datos antes de que lleguen al procesador.
Niveles de PCI DSS y quién debe cumplir
Los requisitos de cumplimiento de PCI DSS varían según el volumen de transacciones que procesas:
Nivel 1: empresas que procesan más de 6 millones de transacciones al año. Deben someterse cada año a una auditoría de un evaluador externo. Los requisitos más estrictos.
Nivel 2: empresas que procesan de 1 a 6 millones de transacciones al año. Deben completar una autoevaluación detallada.
Nivel 3: empresas que procesan de 20 000 a 1 millón de transacciones al año. Deben completar una autoevaluación.
Nivel 4: empresas que procesan menos de 20 000 transacciones al año. Los requisitos más sencillos. La mayoría de las pequeñas empresas está aquí.
Incluso el Nivel 4 (pequeña empresa) tiene requisitos estrictos. No puedes tomar datos de tarjetas de pago de cualquier manera.
La regla de oro: nunca guardes datos en bruto de tarjetas
La regla más importante de PCI DSS: no recojas ni guardes números completos de tarjeta de crédito, fechas de caducidad ni códigos de seguridad (CVV) en tu propia base de datos o servidores.
NUNCA recojas:
- Números completos de tarjeta de crédito (PAN: Primary Account Number)
- Fechas de caducidad
- Códigos de seguridad (CVV/CVC)
NUNCA los guardes, aunque los cifres.
Si tu formulario recoge estos datos y los guardas tú mismo, estás incumpliendo PCI DSS. Las sanciones son graves:
- Multas de 5000 a 100 000 dólares por cada mes de incumplimiento
- Responsabilidad si se roban los datos de las tarjetas y se usan de forma fraudulenta
- Responsabilidad por las pérdidas por fraude y los costes de avisar a los clientes
- Los procesadores de tarjetas pueden retirarte la posibilidad de aceptar pagos
Qué SÍ puedes recoger y guardar
Algunos datos relacionados con el pago son seguros de recoger:
- Nombre y dirección de facturación: para verificar y enviar
- Correo electrónico: para el recibo y la comunicación
- Los últimos 4 dígitos del número de tarjeta: como referencia (por ejemplo, "método de pago terminado en 4242"), pero solo si no recoges el número completo
- Importe y fecha del pago: para llevar un registro
- ID de transacción del procesador de pagos: para cotejar y conciliar
La clave: puedes guardar información del cliente, información del pedido y números de referencia. No puedes guardar los datos reales de la tarjeta de pago.
Cómo manejar los datos de pago de forma segura
No crees nunca un formulario de pago propio
No crees un formulario que recoja datos de tarjetas de crédito directamente. En el momento en que un formulario de pago envía datos de tarjeta a tu servidor, eres responsable del cumplimiento de PCI DSS.
Usa un procesador de pagos con páginas de pago alojadas
Los procesadores de pago ofrecen páginas de pago alojadas. Son formularios que viven en los servidores seguros del procesador, no en los tuyos. Cuando un cliente rellena el formulario de pago, los datos de la tarjeta van directamente al procesador. Tu servidor nunca ve el número completo de la tarjeta.
Ejemplo de flujo:
- El cliente rellena tu formulario de pedido (nombre, correo, dirección de envío)
- El cliente pulsa "Pagar"
- El navegador redirige al formulario seguro del procesador de pagos
- El cliente introduce los datos de la tarjeta en el formulario del procesador
- El procesador procesa el pago y te envía una notificación
- Tu formulario recibe solo un ID de transacción, no los datos de la tarjeta
Nunca manejas los datos de la tarjeta, así que el cumplimiento de PCI DSS es responsabilidad del procesador.
Usa un iframe para el pago
Algunos procesadores ofrecen un iframe que puedes insertar en tu formulario. El iframe está alojado en realidad en los servidores seguros del procesador, pero aparece como parte de tu página. El cliente ve un formulario unificado, pero la parte del pago está en los servidores del procesador.
Usa una API de pagos con tokenización
Los procesadores de pago avanzados te permiten recoger los datos de pago en tu formulario con su biblioteca de JavaScript. La biblioteca cifra los datos en el navegador del cliente antes de que lleguen a tu servidor. Te envía un token (una referencia segura) en lugar de los datos reales de la tarjeta. Tú guardas el token, no la tarjeta.
Esto requiere una implementación cuidadosa para evitar manejar datos de tarjeta sin cifrar. Úsalo solo si entiendes el proceso por completo.
Qué NO hacer
No envíes datos de pago por correo. No pidas a los clientes que te envíen números de tarjeta de crédito por correo. El correo no está cifrado y no es seguro.
No pidas el CVV si vas a guardar la tarjeta. Si guardas una tarjeta para pagos recurrentes, no debes pedir ni guardar el CVV. El CVV solo se necesita en el momento del pago.
No recojas datos de tarjeta en un formulario normal para enviártelos por correo. Eso envía datos de pago por un correo sin cifrar, lo que infringe PCI DSS.
No guardes datos de tarjeta en una hoja de cálculo, un archivo de texto o una base de datos sin cifrar. Si ya has recogido datos de tarjeta (algo que no deberías haber hecho), debes cifrarlos o borrarlos de inmediato.
Si ya has recogido datos de pago sensibles
Si tienes un formulario que ha estado recogiendo números completos de tarjeta de crédito o CVV, para de inmediato:
- Deja de recoger los datos. Quita de inmediato los campos de tarjeta del formulario.
- Protege lo que tienes. Si has guardado datos de tarjeta, cífralos o bórralos.
- Cambia a un procesador de pagos. Configura un método de pago conforme con un procesador de terceros.
- Avisa a los clientes afectados. Si ha habido una filtración, o si los datos de tarjeta de los clientes siguen guardados, avísalos.
- Consulta con un asesor legal. Si has recogido datos de tarjeta de forma insegura, puedes tener exposición regulatoria. Busca asesoramiento legal.
Tokenización: la forma segura de guardar métodos de pago
La tokenización es el proceso de sustituir la información de pago sensible por un número de referencia que no es sensible.
Sin tokenización: guardas "4532-1234-5678-9010" en tu base de datos.
Con tokenización: el procesador de pagos guarda "4532-1234-5678-9010" y te da un token como "tok_abc123def456". Tú guardas el token.
Cuando necesitas volver a cobrar la tarjeta (en cobros recurrentes), envías el token al procesador. El procesador usa el token para recuperar los datos originales de la tarjeta y procesar el cobro. Tú nunca manejas la tarjeta.
Los tokens son seguros de guardar. No se pueden usar para procesar pagos sin que lo sepa el procesador y no revelan el número de la tarjeta.
Requisitos de PCI DSS más allá de los formularios de pago
Aunque uses bien un procesador de pagos, PCI DSS tiene otros requisitos:
- Protege tus servidores. Actualiza el software, usa firewalls, restringe el acceso.
- Usa contraseñas fuertes. En tu cuenta del procesador de pagos y en todas las cuentas de administración.
- Cifra los datos en tránsito y en reposo. Usa HTTPS, cifra las bases de datos.
- Supervisa y audita. Registra los accesos a los sistemas relacionados con pagos y revisa los registros con regularidad.
- Forma a los empleados. Cualquiera con acceso a datos de pago necesita formación en seguridad.
- Cumple los estándares de seguridad de red. PCI DSS incluye 12 requisitos principales que cubren control de acceso, supervisión y respuesta a incidentes.
Si procesas pagos, familiarízate con los 12 requisitos de PCI DSS. Muchos van más allá de la seguridad de los formularios.
Qué hace WEMASY por la seguridad de los pagos
Los formularios de tienda online de WEMASY no recogen ni guardan datos de pago en bruto. Cuando configuras un formulario de pago en WEMASY, se integra con procesadores de pago conformes con PCI. El formulario de pago redirige al sistema seguro del procesador, o inserta un iframe seguro que ofrece el procesador. Nunca manejas datos de tarjeta, y WEMASY nunca los guarda. Tu negocio cumple PCI DSS de forma automática.
Descubre más sobre cómo gestiona WEMASY los pagos de forma segura en los ajustes de tu cuenta o en la página de precios.