PCI DSS es el estándar de seguridad que fijan las redes de tarjetas como Visa y Mastercard. Parece cosa de bancos, pero afecta a cualquiera que acepte tarjetas, incluso una tienda pequeña con diez pedidos al mes.
La buena noticia es que una sola decisión te quita casi todo el trabajo: no manejes nunca números de tarjeta tú mismo. Así se ve en la práctica para una tienda en España o Latinoamérica.
Sí, puede ser muy seguro mientras los datos de la tarjeta no pasen nunca por tu propio servidor. Usa una pasarela certificada con página de pago alojada, activa HTTPS en todo el sitio y tu carga PCI será mínima.
La regla de oro: no toques el número de tarjeta
Si el cliente escribe su número en un formulario de tu web que se envía a tu servidor, entras en la parte pesada de PCI. Si el número va directo del navegador del cliente al proveedor de pago, no.
Redsys, Stripe, Mercado Pago y otras pasarelas ofrecen páginas de pago alojadas o campos integrados que hacen justo eso. Tu web solo recibe un resultado: pagado, rechazado o pendiente.
Lo mínimo para una web pequeña
Considera esta lista el mínimo antes del primer pedido real:
- Una pasarela certificada con página alojada o campos integrados, no un formulario de tarjeta propio.
- HTTPS en todas las páginas, incluido el carrito y la página de confirmación.
- 3D Secure activado: la autenticación reforzada es obligatoria en Europa para la mayoría de pagos online.
- Medios de pago que tus clientes esperan: tarjeta, Bizum, Apple Pay, transferencia; en Latinoamérica, Mercado Pago o pagos en efectivo según el país.
- Claves API secretas en la configuración del servidor, nunca en el código de la página ni en un repositorio público.
Lo que nunca debes hacer
No guardes números de tarjeta ni el código de seguridad de tres cifras, ni en una base de datos, ni en una hoja de cálculo, un chat o un correo. No pidas fotos de la tarjeta por WhatsApp: envía un enlace de pago.
Protege también las cuentas de administración: contraseñas fuertes y únicas, verificación en dos pasos en el panel de la pasarela y retira el acceso a quien deje el equipo.
El papeleo anual
Los comercios con página de pago alojada suelen rellenar una vez al año el cuestionario de autoevaluación más sencillo, a menudo desde el panel de la pasarela. Los requisitos cambian según el proveedor y el banco: revisa las condiciones vigentes y pregunta qué esperan de ti.
Con Uttra puedes escribir en el chat: «Añade un pago con la página alojada de mi pasarela, muestra tarjeta y Bizum, y guarda la clave API en la configuración». Después ves el flujo en la vista previa, pruebas un pago en modo de prueba y publicas.