Glosario de seguridad del lado del cliente y PCI DSS

Este glosario da definiciones breves y claras de los términos usados en toda la Biblioteca de seguridad: los ataques (skimming, Magecart, formjacking), los controles del navegador (CSP, SRI, nonce, cabeceras de seguridad), las prácticas (línea base, detección de manipulación, inventario) y el vocabulario de PCI DSS (página de pago, SAQ, QSA, ASV, TPSP). Las definiciones están simplificadas a modo de orientación; la autoridad son los propios estándares.

Ataques y amenazas

Skimming: Robar datos de tarjetas de pago cuando se introducen o se leen. Un skimmer físico se coloca en un lector de tarjetas; un skimmer web es un script malicioso en una página web. Vea qué es el skimming web.
Skimming web / e-skimming: Robo de datos de tarjetas de una página web mediante JavaScript inyectado que copia lo que escribe el cliente. «E-skimming» es el término que usa el PCI SSC.
Magecart: Un nombre genérico que usan los investigadores para muchos grupos y campañas criminales que inyectan código que roba tarjetas en tiendas en línea y páginas de pago. No es un programa ni un grupo único.
Formjacking: Apoderarse de un formulario web, a menudo el de pago, para capturar lo que se introduce en él.
Ataque a la cadena de suministro: Un ataque que llega a muchas víctimas al comprometer algo de lo que todas dependen, como un script, una biblioteca o un proveedor de servicios. Vea riesgo de JavaScript de terceros.
Cross-site scripting (XSS): Un fallo que permite a un atacante hacer que el navegador de una víctima ejecute el script del atacante como parte de una página legítima. Vea XSS y manipulación del DOM.
DOM (Modelo de Objetos del Documento): La estructura viva de una página web en el navegador, que los scripts pueden leer y cambiar.
Exfiltración: Enviar datos robados a un atacante, por ejemplo mediante una solicitud oculta desde la página.

Términos web y del navegador

Script: Un fragmento de JavaScript que se ejecuta en el navegador como parte de una página.
Script en línea: Un script escrito directamente en el HTML de la página en lugar de cargarse desde un archivo aparte.
Script de terceros: Un script servido por una organización distinta del propietario del sitio, como analítica, publicidad o widgets de chat.
Gestor de etiquetas: Un servicio que carga otros scripts («etiquetas») en un sitio según la configuración de una consola web, sin una publicación de código. Vea riesgo de los gestores de etiquetas.
Iframe: Un elemento que incrusta otra página web dentro de una página. Los proveedores de pagos suelen suministrar su formulario de pago como iframe.
Redirección: Enviar el navegador del cliente desde su página a otra dirección, por ejemplo a la página alojada de un proveedor de pagos.
Envío directo (direct post): Un diseño de pago en el que la propia página del comercio construye el formulario y el navegador envía los datos de la tarjeta directamente al proveedor de pagos.
CDN (red de distribución de contenido): Una red de servidores que entrega los archivos de un sitio desde ubicaciones cercanas a los visitantes.
WAF (firewall de aplicaciones web): Un control que filtra las solicitudes a una aplicación web para bloquear ataques comunes.
CORS (intercambio de recursos de origen cruzado): El mecanismo del navegador por el cual un servidor indica qué otros orígenes pueden leer sus respuestas. Necesario para la Integridad de Subrecursos en archivos de otro origen.

Controles y prácticas

Cabecera de seguridad HTTP: Una cabecera de respuesta que activa una protección del navegador, como Content-Security-Policy o Strict-Transport-Security. Vea cabeceras de seguridad HTTP.
CSP (Política de Seguridad de Contenido): Una cabecera que indica al navegador qué orígenes de scripts, marcos, imágenes y conexiones puede usar una página. Vea Política de Seguridad de Contenido para páginas de pago.
Nonce: Un valor aleatorio de un solo uso que se coloca en una cabecera CSP y en las etiquetas de script legítimas para que el navegador ejecute solo los scripts que lo llevan.
Hash (en una CSP o en la SRI): Una huella del contenido exacto de un archivo; el navegador ejecuta el archivo solo si su huella coincide con la indicada.
strict-dynamic: Una palabra clave de CSP que permite que un script en el que se confía por nonce o hash cargue más scripts que heredan su confianza.
SRI (Integridad de Subrecursos): Un atributo que contiene el hash esperado de un script o una hoja de estilos externos para que el navegador pueda rechazar un archivo modificado. Vea Integridad de Subrecursos explicada.
HSTS (HTTP Strict Transport Security): Una cabecera que indica al navegador que use solo HTTPS para un sitio.
Inventario de scripts: Una lista de cada script de una página con su origen, finalidad, responsable y aprobación. Vea cómo crear un inventario de scripts de la página de pago.
Línea base: El estado correcto conocido de una página (sus scripts, contenido y cabeceras), revisado y aprobado, con el que se comparan los cambios posteriores.
Detección de cambios / detección de manipulación: Comparar lo que entrega una página ahora con su línea base y avisar a las personas de las diferencias. Vea cómo detectar la manipulación del lado del cliente.
Monitoreo sintético: Usar un navegador automatizado para visitar páginas periódicamente y registrar lo que recibe.
Modo solo informe: Una forma de enviar una CSP para que el navegador informe de las infracciones sin bloquear nada, que se usa para probar una política.

Vocabulario de PCI DSS

PCI DSS (Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago): El estándar de seguridad para las organizaciones que almacenan, procesan o transmiten datos de tarjetas de pago.
PCI SSC (Consejo de Normas de Seguridad PCI): El organismo que publica PCI DSS y los documentos relacionados. Él mismo no hace cumplir la normativa.
Página de pago: Una página web donde se introducen datos de tarjetas de pago, o que incluye un formulario de pago incrustado. La orientación del PCI SSC trata qué cuenta; confírmelo con su evaluador.
Requisito 6.4.3: El requisito de autorizar, asegurar la integridad e inventariar los scripts de la página de pago. Vea PCI DSS 6.4.3 explicado.
Requisito 11.6.1: El requisito de un mecanismo de detección de cambios y de manipulación del contenido y las cabeceras HTTP de la página de pago. Vea PCI DSS 11.6.1 explicado.
Requisito con fecha futura: Un requisito publicado en PCI DSS v4.0 que se trató como mejor práctica hasta su fecha obligatoria, el 31 de marzo de 2025.
Análisis de riesgos específico (TRA, 12.3.1): Un análisis documentado, definido en el requisito 12.3.1, que se usa para fijar la frecuencia de ciertas actividades, como la frecuencia con la que se ejecuta el mecanismo del 11.6.1.
Datos del titular de la tarjeta (CHD) y CDE: Los datos del titular son el número de tarjeta y los detalles relacionados; el entorno de datos del titular (CDE) son los sistemas que los almacenan, procesan o transmiten, o que podrían afectar su seguridad.
SAQ (Cuestionario de Autoevaluación): Un cuestionario que completan los comercios elegibles para validar el cumplimiento; los SAQ A, SAQ A-EP y SAQ D corresponden a distintas formas de aceptar pagos. Vea el artículo sobre los SAQ.
ROC (Informe de Cumplimiento) y AOC: El informe que redacta un evaluador tras una evaluación completa, y la Atestación de Cumplimiento que resume el resultado.
QSA (Evaluador de Seguridad Calificado): Una empresa o una persona calificada por el PCI SSC para evaluar el cumplimiento de PCI DSS.
ISA (Evaluador de Seguridad Interno): Un empleado de una organización calificado por el PCI SSC para realizar evaluaciones internas.
ASV (Proveedor Aprobado de Escaneo): Una empresa aprobada por el PCI SSC para realizar los análisis externos de vulnerabilidades que exige PCI DSS.
TPSP (proveedor de servicios de terceros): Una empresa que presta a una entidad servicios que almacenan, procesan o transmiten datos de cuenta o que podrían afectar su seguridad, por ejemplo un proveedor de pagos o una empresa de alojamiento. Se gestiona conforme al requisito 12.8.
Adquirente / entidad aceptante del cumplimiento: El banco o la marca de pago que recibe su validación de PCI DSS y fija las obligaciones de reporte; es a quien debe preguntar qué se le aplica.

Puntos clave

Skimming, Magecart, e-skimming y formjacking describen el robo de tarjetas mediante un script malicioso en el navegador.
La CSP, la SRI, los nonces y las cabeceras de seguridad son controles del navegador; las líneas base, los inventarios y la detección de manipulación son prácticas que los rodean.
Los requisitos 6.4.3 (gestionar scripts) y 11.6.1 (detectar cambios) son los requisitos de PCI DSS dirigidos a los scripts de la página de pago.
SAQ, ROC, QSA, ASV y TPSP son los roles y documentos de la validación de PCI DSS; su adquirente decide cuáles se le aplican.

Preguntas frecuentes

¿Cuál es la diferencia entre un nonce y un hash de CSP?

Un nonce es un valor aleatorio que cambia con cada respuesta y se adjunta a las etiquetas de script aprobadas. Un hash es una huella del contenido de un script concreto. Ambos permiten que el navegador reconozca scripts aprobados; los nonces convienen a páginas dinámicas y los hashes a scripts estáticos.

¿Cuál es la diferencia entre un QSA y un ASV?

Un QSA evalúa el cumplimiento de una organización con los requisitos de PCI DSS. Un ASV realiza los análisis externos de vulnerabilidades que exige PCI DSS. Ambos están calificados o aprobados por el PCI SSC para sus funciones.

¿Qué significa «página de pago» en PCI DSS 6.4.3 y 11.6.1?

En términos generales, una página donde se introducen datos de tarjeta o una que incluye un formulario de pago incrustado. La orientación del PCI SSC trata los límites, y su adquirente o evaluador decide cuáles de sus páginas cuentan.

Referencias

Última revisión: 17 de octubre de 2026

Glosario: términos de seguridad del lado del cliente y de PCI DSS