PCI DSS para tiendas online pyme: qué te exigen de verdad y cómo cumplirlo
PCI DSS para tienda online pyme: qué nivel te aplica, el SAQ que te toca, qué exige de verdad la versión 4.0 en tu checkout y cómo cumplir sin sobrecoste.
El cumplimiento PCI DSS para una tienda online pyme genera más confusión y miedo que cualquier otra obligación de seguridad. Muchos comerciantes creen que necesitan auditorías carísimas y consultores permanentes; otros lo ignoran hasta que la pasarela de pago les envía un aviso. La realidad está en medio: si aceptas tarjetas, PCI DSS te aplica sí o sí, pero el alcance real para una pyme suele ser mucho más manejable de lo que parece. Este artículo forma parte de nuestra guía pilar sobre seguridad de e-commerce y multi-CMS y traduce el estándar a lo que de verdad tienes que hacer.
Qué es PCI DSS y por qué te afecta como pyme
PCI DSS (Payment Card Industry Data Security Standard) es el conjunto de requisitos de seguridad que exigen las grandes marcas de tarjeta —Visa, Mastercard, Amex— a cualquier negocio que procese, almacene o transmita datos de tarjeta. No es una ley, es un contrato: al aceptar tarjetas aceptas cumplirlo, y el incumplimiento puede acarrear multas de tu banco adquiriente, aumento de comisiones o la retirada de la capacidad de cobrar con tarjeta.
La buena noticia para una pyme con tienda online: el nivel de exigencia depende del volumen de transacciones. La inmensa mayoría de comercios pequeños son de Nivel 4 (menos de 20.000 transacciones e-commerce al año) y no necesitan un auditor externo (QSA). Cumplen mediante una autoevaluación documentada, el llamado SAQ.
El SAQ que te toca: la clave del alcance
El cuestionario de autoevaluación (Self-Assessment Questionnaire) determina cuánto trabajo tienes por delante, y depende de cómo gestiones el pago:
- SAQ A. El más ligero. Te aplica si delegas completamente el pago en un proveedor externo: el cliente introduce la tarjeta en una página alojada por la pasarela (redirección) o en un iframe totalmente servido por ella. Tú nunca tocas los datos de tarjeta.
- SAQ A-EP. Intermedio. Aplica cuando tu web influye en la página de pago aunque no procese la tarjeta directamente —por ejemplo, un checkout con campos servidos desde tu propio sitio. Aquí eres responsable de la seguridad de tu web, no solo de la pasarela.
- SAQ D. El más exigente, cuando tu sistema toca o almacena datos de tarjeta.
El consejo estratégico es claro: reduce tu alcance. Cuanto más externalices el pago a una pasarela certificada (Redsys, Stripe, PayPal y similares), más te acercas al SAQ A y menos superficie propia tienes que blindar. Es la decisión de arquitectura que más dinero y quebraderos de cabeza ahorra a una pyme.
Qué te exige de verdad PCI DSS 4.0
La versión 4.0 del estándar, ya obligatoria, introdujo cambios que afectan directamente a tiendas online, incluso las de SAQ A. Los más relevantes para una pyme:
- Gestión de scripts en la página de pago. Debes inventariar y justificar cada script que se ejecuta en el checkout, y detectar cambios no autorizados. Es la respuesta directa del estándar al auge del formjacking.
- Monitorización de cabeceras HTTP. Vigilar alteraciones en las cabeceras de las páginas de pago para detectar manipulaciones.
- Autenticación reforzada. Contraseñas robustas y multifactor en los accesos administrativos.
- Gestión de vulnerabilidades. Parcheo diligente y análisis periódicos.
Estos requisitos conectan con una amenaza muy concreta: el skimmer que se inyecta en el checkout de Magento u otras plataformas. PCI DSS 4.0 existe en buena parte porque este tipo de robo silencioso de tarjetas se volvió masivo. Cumplir el estándar y protegerte del formjacking son, en la práctica, la misma tarea.
La fuente autorizada y siempre actualizada es el propio PCI Security Standards Council, donde encontrarás los SAQ oficiales y las guías para pymes. Léelo de primera mano antes que cualquier resumen de terceros.
Cómo cumplir sin sobrecoste
Un plan realista para una pyme sigue estos pasos:
- Reduce alcance: externaliza el pago a una pasarela certificada para caer en SAQ A siempre que puedas.
- Endurece tu CMS: mantén núcleo y módulos al día siguiendo boletines oficiales como el portal de seguridad de PrestaShop o el Joomla! Security Centre.
- Implementa CSP y monitorización de scripts en el checkout.
- Documenta: completa el SAQ que te corresponda y consérvalo; la documentación es parte del cumplimiento.
La plataforma que elijas condiciona el esfuerzo. Nuestra comparativa de seguridad entre PrestaShop y WooCommerce ayuda a entender cómo cada una afecta a tu alcance PCI. En PathSentinel acompañamos desde la pyme que da sus primeros pasos hasta entornos exigentes de banca y comercios con datos de tarjeta, adaptando la profundidad del trabajo a lo que cada negocio necesita de verdad.
Si no tienes claro qué SAQ te aplica o si tu checkout cumple los nuevos requisitos de scripts, escríbenos y lo diagnosticamos.
Un primer escaneo te muestra qué scripts corren en tu checkout y si hay señales que comprometan tu cumplimiento PCI. Es el punto de partida para saber dónde estás.
Cada semana, las vulnerabilidades de plugins de WordPress que de verdad importan y un caso real de investigación, en español. Sin ruido, sin spam.