Muchos comercios online creen que, al delegar el cobro en Stripe, PayPal o un proveedor equivalente, la seguridad de los pagos ya no les concierne directamente. Eso es cierto solo en parte. La norma PCI DSS, que regula la seguridad de los datos de tarjetas bancarias, sigue aplicándose a toda empresa que acepte pagos con tarjeta, incluso cuando el procesamiento técnico se delega en un tercero.

Qué significa realmente PCI DSS

PCI DSS, Payment Card Industry Data Security Standard, es un conjunto de requisitos de seguridad impuestos por las propias redes de tarjetas, como Visa y Mastercard, a cualquier empresa que almacene, procese o transmita datos de tarjeta. No es una ley en sentido estricto, sino una obligación contractual ligada a la aceptación de pagos con tarjeta, cuyo incumplimiento puede acarrear sanciones aplicadas a través del banco adquirente del comercio.

Por qué una pyme que usa Stripe o PayPal sigue estando implicada

La gran mayoría de los pequeños comercios online entran en la categoría más simple, llamada SAQ A, reservada a los comercios que externalizan por completo el procesamiento del pago a un proveedor él mismo conforme. Es el caso típico de una tienda WooCommerce que redirige al cliente a una página de pago alojada por Stripe o PayPal, o que integra su formulario sin que el número de tarjeta pase nunca por su propio servidor. Este nivel simplificado reduce mucho la carga de cumplimiento, pero no la elimina por completo: el comercio conserva responsabilidades propias, en particular sobre la seguridad de su propia página web alrededor del módulo de pago.

Qué ha cambiado desde 2025

La versión 4.0 de la norma, plenamente obligatoria desde el 31 de marzo de 2025, introdujo dos requisitos que afectan directamente a los sitios de comercio electrónico que usan pago alojado: la supervisión de los scripts de terceros cargados en la página de pago, y un mecanismo de autorización para cualquier script añadido o modificado en esa página. En concreto, un sitio WooCommerce que carga scripts de análisis, píxeles publicitarios o plugins de marketing en la misma página que el módulo de pago, aunque este esté alojado externamente, debe ahora mantener un inventario de esos scripts y vigilar cualquier modificación no autorizada. Estos requisitos existen porque un script de terceros comprometido en una página de pago puede interceptar los datos de la tarjeta en el momento de introducirlos, aunque el formulario de pago en sí pertenezca a Stripe o PayPal.

Las demás obligaciones que quedan, incluso en SAQ A

El formulario de autoevaluación SAQ A sigue siendo el más corto, pero no es una simple declaración. Implica confirmar que el sitio no almacena, procesa ni transmite ningún dato de tarjeta en claro, que el proveedor de pago está a su vez certificado PCI DSS, y conservar la prueba de ese cumplimiento, normalmente mediante una certificación proporcionada por el proveedor. La norma también exige, en todos los niveles, autenticación multifactor para cualquier acceso administrativo que toque el entorno de pago, junto con contraseñas de al menos doce caracteres.

Qué debe comprobar concretamente una pyme

El primer paso consiste en identificar qué formulario de autoevaluación aplica realmente, según cómo esté integrado técnicamente el pago, en lugar de suponer automáticamente el nivel más simple. El segundo consiste en elaborar un inventario de los scripts de terceros presentes en la página de pago del sitio, a menudo más numerosos de lo que se piensa una vez contabilizados los plugins de marketing y analítica. El tercero consiste en pedir al proveedor de pago su certificación de cumplimiento PCI DSS vigente, documento que normalmente debe estar disponible previa solicitud.

Un tema que no conviene delegar por completo

El mensaje frecuentemente repetido de que usar Stripe o PayPal hace automático el cumplimiento PCI es inexacto y puede generar una falsa sensación de seguridad en el comercio. Externalizar el procesamiento del pago sigue siendo la mejor decisión técnica para una pyme, ya que reduce mucho el alcance de la responsabilidad, pero no exime de comprobar las pocas obligaciones que quedan, en particular desde el endurecimiento de la norma sobre los scripts de la página de pago.

Puntos a verificar antes de publicar: confirmar en el momento de la publicación que la versión 4.0.1 de PCI DSS sigue siendo la única versión activa exigida por las redes de tarjetas, que el plazo del 31 de marzo de 2025 para los requisitos anteriormente aplazados sigue siendo exacto, y comprobar que la descripción del alcance de SAQ A y de los requisitos 6.4.3 y 11.6.1 sigue correspondiendo a la documentación oficial del PCI Security Standards Council.