PCI DSS 6.4.3 y 11.6.1 para comercios SAQ A, SAQ A-EP y SAQ D

Importante: esto es información general

Qué cuestionario completa usted, y si se aplica un requisito, se decide entre usted, su adquirente o las marcas de pago (las entidades que aceptan el cumplimiento) y, si recurre a uno, su Evaluador de Seguridad Calificado. El PCI SSC no hace cumplir la normativa por sí mismo. El resumen siguiente sigue las publicaciones del PCI SSC a la fecha de revisión que figura al pie de esta página; compruebe los documentos vigentes antes de basarse en él.

Tres formas de aceptar pagos con tarjeta en línea

Los comercios que almacenan, procesan o transmiten ellos mismos datos de tarjetas, o que no encajan en los cuestionarios más sencillos, completan el SAQ D, que contiene todos los requisitos que se aplican a los comercios.

SAQ A: de elementos de la lista a un criterio de elegibilidad

El SAQ A abarca a comercios sin presencia física de la tarjeta que tercerizan por completo las funciones de pago a proveedores que cumplen PCI DSS. Según el PCI SSC, la revisión reciente del SAQ A eliminó de la lista de requisitos del cuestionario los requisitos 6.4.3, 11.6.1 y 12.3.1 (el análisis de riesgos específico que existía para respaldar el 11.6.1), y añadió un criterio de elegibilidad: el comercio confirma que su sitio no es susceptible a ataques de scripts que podrían afectar sus sistemas de comercio electrónico. Los requisitos siguen en PCI DSS; solo cambió el SAQ A.

Qué dice la FAQ 1588 del PCI SSC sobre el criterio

• Se aplica a los comercios cuyo sitio incrusta una página o un formulario de pago de un tercero, como un iframe. No se aplica a los sitios que redirigen a los clientes a un proveedor.
• Un comercio puede cumplirlo de dos maneras: usando técnicas de protección de scripts, que puede operar el comercio o un tercero (los requisitos 6.4.3 y 11.6.1 se dan como ejemplos de tales técnicas), u obteniendo confirmación por escrito de su proveedor que cumple PCI DSS de que la página de pago incrustada, implementada como el proveedor indica, incluye protecciones contra ataques de scripts.
• Un proveedor de scripts ajenos al pago, que no pueden afectar los datos del titular de la tarjeta, no se trata como proveedor de servicios de terceros a los efectos del SAQ A.
• Los comercios deben confirmar con su entidad aceptante del cumplimiento qué SAQ, si alguno, se les aplica.

Una FAQ relacionada, la número 1331, se revisó en agosto de 2026. Dice que los criterios de elegibilidad de los SAQ no deben usarse como guía de qué requisitos se aplican en un Informe de Cumplimiento (ROC) a menos que la entidad aceptante del cumplimiento del comercio haya revisado y aceptado ese enfoque. Si lo evalúan con un Informe de Cumplimiento y no con un SAQ, consulte a su adquirente antes de tratar el 6.4.3 o el 11.6.1 como no aplicables.

SAQ A-EP y SAQ D

Como la página propia de un comercio A-EP influye en cómo llegan los datos de la tarjeta al proveedor, el 6.4.3 y el 11.6.1 permanecen en el SAQ A-EP: los scripts de esa página y las cabeceras y el contenido que entrega son exactamente lo que conciernen los requisitos. El SAQ D contiene el conjunto completo de requisitos de PCI DSS para comercios, de modo que ambos se aplican por completo. Para estos comercios el trabajo práctico es un inventario de scripts, métodos de autorización e integridad (6.4.3) y un mecanismo de detección con su evidencia (11.6.1).

Aunque el requisito no figure, el riesgo es el mismo

A un atacante no le importa qué cuestionario completa usted. Con una redirección, un compromiso de la página anterior a la redirección puede enviar a los clientes a una página parecida. Con un iframe, un compromiso de la página principal puede reemplazar o rodear el formulario. Por eso muchos comercios SAQ A deciden igualmente mantener un inventario breve de scripts, restringir lo que se carga en la página que enmarca el formulario del proveedor y vigilarla ante cambios. El costo es pequeño frente al daño, y la propia FAQ del PCI SSC nombra estas técnicas como una forma de cumplir el criterio.

Preguntas para su adquirente o evaluador

• ¿Qué SAQ o tipo de informe esperan de nosotros, y por qué?
• ¿Cómo quieren que evidenciemos el criterio de scripts del SAQ A: con nuestras propias técnicas o con una confirmación escrita de nuestro proveedor de pagos?
• ¿Qué páginas cuentan como páginas de pago en nuestro flujo?
• ¿Aceptan la frecuencia de monitoreo y el análisis de riesgos que elegimos?