Molti commercianti online pensano che, affidando l'incasso a Stripe, PayPal o un fornitore equivalente, la questione della sicurezza dei pagamenti non li riguardi più direttamente. Ciò è vero solo in parte. Lo standard PCI DSS, che disciplina la sicurezza dei dati delle carte di pagamento, continua ad applicarsi a qualsiasi azienda che accetti pagamenti con carta, anche quando l'elaborazione tecnica è delegata a terzi.

Cosa significa concretamente PCI DSS

PCI DSS, Payment Card Industry Data Security Standard, è un insieme di requisiti di sicurezza imposti dagli stessi circuiti di carte, come Visa e Mastercard, a qualsiasi azienda che memorizzi, elabori o trasmetta dati di carte. Non è una legge in senso stretto, ma un obbligo contrattuale legato all'accettazione di pagamenti con carta, il cui mancato rispetto può comportare penali applicate tramite la banca acquirente del commerciante.

Perché una PMI che usa Stripe o PayPal resta comunque coinvolta

La grande maggioranza dei piccoli negozi online rientra nella categoria più semplice, chiamata SAQ A, riservata ai commercianti che esternalizzano interamente l'elaborazione del pagamento a un fornitore a sua volta conforme. È il caso tipico di un negozio WooCommerce che reindirizza il cliente verso una pagina di pagamento ospitata da Stripe o PayPal, o che integra il loro modulo senza che il numero di carta transiti mai sul proprio server. Questo livello semplificato riduce fortemente l'onere di conformità, ma non lo elimina del tutto: il commerciante mantiene proprie responsabilità, in particolare sulla sicurezza della propria pagina web intorno al modulo di pagamento.

Cosa è cambiato dal 2025

La versione 4.0 dello standard, pienamente obbligatoria dal 31 marzo 2025, ha introdotto due requisiti che riguardano direttamente i siti e-commerce che usano un pagamento ospitato: il monitoraggio degli script di terze parti caricati sulla pagina di pagamento, e un meccanismo di autorizzazione per qualsiasi script aggiunto o modificato su quella pagina. In concreto, un sito WooCommerce che carica script di analytics, pixel pubblicitari o plugin di marketing sulla stessa pagina del modulo di pagamento, anche se ospitato esternamente, deve ora mantenere un inventario di questi script e monitorare qualsiasi modifica non autorizzata. Questi requisiti esistono perché uno script di terze parti compromesso su una pagina di pagamento può intercettare i dati della carta al momento dell'inserimento, anche se il modulo di pagamento stesso appartiene a Stripe o PayPal.

Gli altri obblighi che restano, anche in SAQ A

Il modulo di autovalutazione SAQ A resta il più breve, ma non è una semplice dichiarazione. Implica confermare che il sito non memorizza, elabora né trasmette alcun dato di carta in chiaro, che il fornitore di pagamento sia a sua volta certificato PCI DSS, e conservare la prova di tale conformità, generalmente tramite un'attestazione fornita dal fornitore. Lo standard impone anche, a tutti i livelli, l'autenticazione a più fattori per qualsiasi accesso amministrativo che tocchi l'ambiente di pagamento, insieme a password di almeno dodici caratteri.

Cosa deve verificare concretamente una PMI

Il primo passo consiste nell'identificare quale modulo di autovalutazione si applica realmente, in base a come il pagamento è integrato tecnicamente, invece di supporre automaticamente il livello più semplice. Il secondo consiste nel redigere un inventario degli script di terze parti presenti sulla pagina di pagamento del sito, spesso più numerosi di quanto si pensi una volta considerati i plugin di marketing e analytics. Il terzo consiste nel chiedere al fornitore di pagamento la sua attestazione di conformità PCI DSS aggiornata, documento che normalmente deve essere disponibile su richiesta.

Un argomento da non delegare del tutto

Il messaggio spesso ripetuto secondo cui usare Stripe o PayPal rende automatica la conformità PCI è inesatto e può creare un falso senso di sicurezza nel commerciante. Esternalizzare l'elaborazione del pagamento resta la migliore decisione tecnica per una PMI, poiché riduce fortemente il perimetro di responsabilità, ma non esonera dal verificare i pochi obblighi che restano, in particolare dopo l'inasprimento dello standard sugli script della pagina di pagamento.

Punti da verificare prima della pubblicazione: confermare alla data di pubblicazione che la versione 4.0.1 di PCI DSS resti l'unica versione attiva richiesta dai circuiti di carte, che la scadenza del 31 marzo 2025 per i requisiti precedentemente differiti resti esatta, e verificare che la descrizione del perimetro SAQ A e dei requisiti 6.4.3 e 11.6.1 corrisponda ancora alla documentazione ufficiale del PCI Security Standards Council.