Un solo script sin parches en tu página de pago es todo lo que se necesita. En 2024, un JavaScript oculto extrajo discretamente números de tarjetas de miles de páginas de pago de pequeños comercios electrónicos antes de que alguien se diera cuenta, una clase de ataque que los investigadores de seguridad denominan "e-skimming". Los negocios afectados no utilizaban pilas tecnológicas exóticas. La mayoría eran pequeños comerciantes que usaban un plugin de carrito de compras común, sin saber que un estándar de seguridad llamado PCI DSS acababa de hacer obligatoria la defensa contra este tipo exacto de ataque.
Si aceptas tarjetas de crédito o débito —en línea, en persona o ambas—, ya estás sujeto al Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI DSS), lo hayas leído o no. Y a partir de 2026, las reglas se volvieron notablemente más estrictas. Aquí te explicamos qué cambió realmente, de qué eres responsable y cómo cumplir sin contratar a un consultor de seguridad.
¿Qué es realmente PCI DSS (y por qué no es opcional)?
PCI DSS no es una ley aprobada por el Congreso, es un requisito contractual. Visa, Mastercard, American Express, Discover y JCB mantienen conjuntamente el estándar a través del Consejo de Estándares de Seguridad PCI, y cada banco y procesador de pagos que te permite aceptar sus tarjetas exige que cumplas como condición de tu acuerdo de comerciante. Si lo omites, no te arriesgas a una multa gubernamental, sino a perder tu capacidad para procesar tarjetas, además de sanciones de tu banco adquirente que suelen oscilar entre $5,000 y $100,000 al mes hasta que resuelvas el problema.
Esa distinción es importante porque explica por qué tan pocas pequeñas empresas toman en serio el PCI hasta que algo sale mal. No hay una "policía PCI" llamando a tu puerta. Solo hay una cláusula contractual, y una violación que revela que no estabas cumpliendo con tu parte.
El estándar se basa en 12 requisitos fundamentales, que cubren desde firewalls y cifrado hasta controles de acceso y revisiones anuales de políticas de seguridad. La mayoría de las pequeñas empresas cumplen con esto a través de un Cuestionario de Autoevaluación (SAQ) en lugar de una auditoría in situ completa; las redes de tarjetas clasifican a la gran mayoría de los pequeños comerciantes como "Nivel 4", lo que significa menos de aproximadamente 6 millones de transacciones al año, lo que califica para la ruta SAQ más ligera en lugar de un Informe de Cumplimiento formal.
La Transición a la Versión 4.0 Ha Terminado — Ahora Todo Es Obligatorio
La versión 4.0 de PCI DSS se publicó en 2022, pero el Consejo dio a la industria un plazo de varios años para adoptar los controles nuevos más estrictos. Ese plazo finalizó el 31 de marzo de 2025. Cada evaluación realizada a partir de 2026 se califica según la revisión actual (v4.0.1, una actualización aclaratoria sin nuevos requisitos), y cada una de las aproximadamente más de 50 adiciones introducidas en la v4.0 está ahora totalmente en alcance — no más excepciones de 'mejor práctica, aún no requerida'.
Para un pequeño comerciante, tres de esos requisitos recientemente obligatorios son mucho más importantes que el resto.
1. Gestión de Scripts de Páginas de Pago (Requisitos 6.4.3 y 11.6.1)
Esta es la respuesta directa a ataques de e-skimming como Magecart, donde los delincuentes inyectan JavaScript malicioso en una página de pago para capturar números de tarjetas mientras los clientes los teclean, de forma invisible, sin siquiera tocar tus servidores o base de datos.
Si tu proceso de pago se ejecuta en línea, ahora debes:
- Inventariar cada script que se carga y ejecuta en tu página de pago, con una justificación comercial documentada para cada uno.
- Autorizar cada script explícitamente — sin confiar silenciosamente en lo que un plugin o etiqueta de anuncio pueda cargar.
- Verificar la integridad, típicamente a través de hashes de Integridad de Subrecursos (SRI), para que un script de terceros comprometido no pueda ser reemplazado sin ser detectado.
- Detectar manipulaciones en tiempo real — un mecanismo de monitoreo que te alerta cuando los encabezados HTTP o el contenido de los scripts de tu página de pago cambian inesperadamente.
Si tu proceso de pago se ejecuta en una plataforma alojada (Shopify, Square Online, Stripe Checkout, BigCommerce), tu proveedor se encarga de la mayor parte de esto a nivel de plataforma — confírmalo por escrito. Si has personalizado tu proceso de pago con análisis de terceros, widgets de chat o píxeles de marketing, tú eres el responsable de inventariar y autorizar esos scripts.
2. Autenticación de Múltiples Factores para Todos, en Todas Partes (Requisito 8.4.2)
Según el estándar antiguo, la AMF solo era necesaria para los administradores que accedían al entorno de datos del titular de la tarjeta. Según la versión 4.0, la AMF es obligatoria para todo acceso no de consola al entorno de datos del titular de la tarjeta, para cada rol, desde cualquier ubicación —incluida la red de tu oficina. Si un empleado inicia sesión en tu panel de administración de TPV, el panel de control de la pasarela de pago o cualquier sistema que maneje datos de tarjetas, necesita un segundo factor, no solo una contraseña.
Este es el requisito que la mayoría de las pequeñas empresas descubren que han incumplido solo cuando el evaluador de su procesador solicita pruebas. La solución suele ser económica: la mayoría de las plataformas de TPV y pago (Square, Stripe, Clover, Toast) ofrecen AMF integrada — el trabajo consiste en activarla para cada cuenta y eliminar cualquier hábito de inicio de sesión compartido que tu personal haya desarrollado.
3. Escaneo de vulnerabilidades internas autenticado (Requisito 11.3.1.2)
Anteriormente, los escaneos de vulnerabilidades internas podían ejecutarse sin autenticación, lo que pasaba por alto gran parte de la exposición real: un escáner que no puede iniciar sesión no puede ver lo que un atacante autenticado (o un informante deshonesto) podría alcanzar. El nuevo requisito exige el escaneo autenticado de los sistemas internos, detectando configuraciones erróneas y software sin parchear que los escaneos no autenticados suelen pasar por alto.
Lo que realmente cuesta el incumplimiento
Los números respaldan mejor el argumento que cualquier lista de verificación de cumplimiento. El informe más reciente de investigación de filtraciones de datos de Verizon contabilizó más de 7,000 filtraciones en organizaciones pequeñas y medianas en un solo año, y en el peor 2.5% de los casos, la filtración costó a la empresa más del 7% de los ingresos anuales. Por separado, la investigación de IBM sobre el costo de las filtraciones encuentra que el incumplimiento de las regulaciones aplicables agrega un promedio de $173,692 al costo de una filtración, además de lo que la propia filtración ya costó en remediación, notificación y pérdida de negocio.
Y eso es antes de que entren en juego las multas mensuales de su banco adquirente. El cumplimiento no es barato en términos de tiempo del personal, pero el incumplimiento es, de manera fiable, más costoso; una estimación de la industria sitúa el multiplicador en casi 3 veces si se tienen en cuenta las multas, la remediación de la filtración y la interrupción del negocio en conjunto.
Una lista de verificación práctica de cumplimiento para pequeños comerciantes
No necesita un equipo de seguridad empresarial para hacer esto correctamente. Siga este orden:
- Determine su tipo de SAQ. Su procesador de pagos puede indicarle qué Cuestionario de Autoevaluación (SAQ) aplica según cómo acepte las tarjetas (comercio electrónico totalmente subcontratado, terminal en persona, pago personalizado, etc.). Esto determina exactamente cuáles de los 12 requisitos le aplican.
- Pregunte a su plataforma qué cubren. Si utiliza Shopify, Square, Stripe o un procesador alojado similar, obtenga confirmación por escrito de lo que cubren ellos (generalmente la mayoría de los requisitos de infraestructura técnica) frente a lo que sigue siendo su responsabilidad (generalmente controles de acceso, políticas de empleados y cualquier personalización que haya añadido).
- Active la MFA en todos los lugares donde se manejen datos de tarjetas. Inicios de sesión de administrador de POS, paneles de pasarelas de pago, herramientas de acceso remoto: sin excepciones, sin cuentas compartidas.
- Inventaríe los scripts de terceros de su página de pago. Liste cada script que se carga en la página donde los clientes ingresan los detalles de la tarjeta. Si no puede justificar por qué está ahí, elimínelo.
- Deje de almacenar lo que no necesita. La forma más económica de reducir su carga de cumplimiento y su exposición a filtraciones es no almacenar números de tarjeta, CVV o datos completos de la banda magnética en primer lugar; en su lugar, deje que su procesador los tokenice.
- Ponga su política de seguridad por escrito y revísela anualmente. El Requisito 12 exige una política de seguridad de la información documentada y distribuida, no una formalidad, sino genuinamente útil para la incorporación consistente de nuevos empleados.
- Complete su SAQ anualmente y mantenga la certificación firmada en archivo; su procesador se la pedirá, y no querrá estar reconstruyendo su historial de cumplimiento durante una investigación de filtración.
Eligiendo (o reevaluando) un procesador de pagos
No todos los procesadores "compatibles con PCI" le quitan la misma cantidad de trabajo. Cuando esté eligiendo o renovando una plataforma de pago, pregunte directamente:
- ¿Su proceso de pago alojado mantiene los datos de la tarjeta completamente fuera de sus servidores (reduciéndolo al SAQ más simple, generalmente SAQ A)?
- ¿Ofrecen MFA en todos los niveles de cuenta, o solo en planes de pago?
- ¿Proporcionarán una Declaración de Cumplimiento (AOC) por escrito que pueda entregar a su propio procesador o asegurador si se le solicita?
- ¿Publican cuáles de los 12 requisitos cubren ellos frente a cuáles siguen siendo su responsabilidad?
Un procesador que no puede responder a estas preguntas claramente por escrito le está imponiendo una carga de cumplimiento mayor de lo que sugiere el precio de venta, lo que vale la pena considerar en la decisión junto con las tarifas de transacción.
Cómo esto se conecta con sus libros contables
Los costos de cumplimiento —herramientas de escaneo, licencias de MFA, cualquier hora de consultoría— son gastos comerciales reales y son deducibles. Pero la conexión más útil va en la otra dirección: la misma disciplina que hace que el cumplimiento de PCI sea manejable (saber exactamente qué toca los datos sensibles y por qué) es la misma disciplina que hace que sus registros financieros sean confiables. Una empresa que puede producir un inventario de scripts limpio a pedido suele ser también la empresa que puede producir un libro mayor limpio y auditable a pedido. Ninguno sucede por accidente; ambos provienen de tratar "podemos mostrar nuestro trabajo" como un requisito permanente, no como una carrera anual.
Mantenga sus finanzas tan auditables como su página de pagos
Así como PCI DSS 4.0 le pide que demuestre exactamente qué toca los datos de tarjeta de sus clientes y por qué, una buena contabilidad hace la misma pregunta a cada dólar que se mueve a través de su negocio. Beancount.io ofrece contabilidad en texto plano que es completamente transparente y controlada por versiones — cada transacción es inspeccionable, auditable y nunca está encerrada en una caja negra. Comience gratis y vea por qué los desarrolladores y los dueños de negocios con mentalidad financiera se están moviendo a la contabilidad en texto plano.