Um único script não corrigido em sua página de checkout é o suficiente. Em 2024, JavaScript oculto subtraiu silenciosamente números de cartão de milhares de páginas de checkout de pequenos e-commerce antes que alguém percebesse — uma classe de ataque que pesquisadores de segurança chamam de "e-skimming". As empresas afetadas não estavam usando pilhas de tecnologia exóticas. A maioria era de pequenos comerciantes executando um plugin comum de carrinho de compras, sem saber que um padrão de segurança chamado PCI DSS havia tornado obrigatória a defesa contra exatamente esse tipo de ataque.
Se você aceita cartões de crédito ou débito — online, presencialmente ou ambos — você já está vinculado ao Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS), quer você tenha lido uma página dele ou não. E a partir de 2026, as regras ficaram visivelmente mais rigorosas. Veja o que realmente mudou, pelo que você é responsável e como se tornar compatível sem contratar um consultor de segurança.
O que é o PCI DSS (e por que não é opcional)
O PCI DSS não é uma lei aprovada pelo Congresso — é um requisito contratual. Visa, Mastercard, American Express, Discover e JCB mantêm o padrão em conjunto através do PCI Security Standards Council, e todo banco e processador de pagamento que permite que você aceite seus cartões exige que você cumpra como condição do seu contrato de credenciamento. Se você o ignorar, não estará arriscando uma multa governamental — estará arriscando sua capacidade de processar cartões, além de multas do seu banco adquirente que geralmente variam de US 100.000 por mês até que você corrija o problema.
Essa distinção importa porque explica por que tão poucas pequenas empresas levam o PCI a sério até que algo dê errado. Não há uma "polícia do PCI" batendo à sua porta. Há apenas uma cláusula contratual — e uma violação que revela que você não estava cumprindo sua parte.
O padrão baseia-se em 12 requisitos principais, cobrindo tudo, desde firewalls e criptografia até controles de acesso e revisões anuais de políticas de segurança. A maioria das pequenas empresas cumpre esses requisitos por meio de um Questionário de Autoavaliação (SAQ), em vez de uma auditoria completa no local — as redes de cartão classificam a grande maioria dos pequenos comerciantes como "Nível 4", ou seja, com menos de aproximadamente 6 milhões de transações por ano, o que os qualifica para o caminho do SAQ, mais leve, em vez de um Relatório de Conformidade formal.
A Transição para a Versão 4.0 Terminou — Agora Tudo é Obrigatório
A versão 4.0 do PCI DSS foi publicada em 2022, mas o Conselho deu à indústria um prazo de vários anos para adotar os novos controles mais rigorosos. Esse prazo terminou em 31 de março de 2025. Toda avaliação realizada a partir de 2026 será pontuada de acordo com a revisão atual (v4.0.1, uma atualização esclarecedora sem novos requisitos), e cada uma das mais de 50 adições introduzidas na v4.0 agora está totalmente em vigor — sem mais exceções de "melhor prática, ainda não obrigatória".
Para um pequeno comerciante, três desses requisitos recém-obrigatórios importam muito mais do que os demais.
1. Gerenciamento de Scripts de Páginas de Pagamento (Requisitos 6.4.3 e 11.6.1)
Esta é a resposta direta a ataques de e-skimming como o Magecart, onde criminosos injetam JavaScript malicioso em uma página de checkout para capturar números de cartão enquanto os clientes os digitam — invisivelmente, sem nunca tocar em seus servidores ou banco de dados.
Se você opera qualquer tipo de checkout de e-commerce, agora você deve:
- Inventariar cada script que carrega e executa em sua página de pagamento, com uma justificativa comercial documentada para cada um.
- Autorizar cada script explicitamente — sem confiar silenciosamente no que um plugin ou tag de anúncio carrega.
- Verificar a integridade, tipicamente via hashes de Integridade de Subrecurso (SRI), para que um script de terceiros comprometido não possa ser substituído sem detecção.
- Detectar adulterações em tempo real — um mecanismo de monitoramento que o alerta quando os cabeçalhos HTTP ou o conteúdo dos scripts de sua página de pagamento mudam inesperadamente.
Se o seu checkout funciona em uma plataforma hospedada (Shopify, Square Online, Stripe Checkout, BigCommerce), seu provedor cuida da maior parte disso no nível da plataforma — confirme isso por escrito. Se você personalizou seu checkout com análises de terceiros, widgets de chat ou pixels de marketing, você é o responsável por inventariar e autorizar esses scripts.
2. Autenticação Multifator para Todos, em Todos os Lugares (Requisito 8.4.2)
Pelo padrão antigo, a MFA era exigida apenas para administradores que acessavam o ambiente de dados do titular do cartão. Pelo 4.0, a MFA é exigida para todo acesso não-console ao ambiente de dados do titular do cartão, para cada função, de qualquer local — inclusive dentro da sua rede de escritório. Se um funcionário faz login no seu painel administrativo do PDV, painel do gateway de pagamento ou qualquer sistema que toque em dados de cartão, ele precisa de um segundo fator, não apenas uma senha.
Este é o requisito que a maioria das pequenas empresas descobre que falhou apenas quando o avaliador do seu processador pede provas. A solução geralmente é barata: a maioria das plataformas de PDV e pagamento (Square, Stripe, Clover, Toast) oferece MFA integrada — o trabalho é ativá-la para cada conta e acabar com quaisquer hábitos de login compartilhado que sua equipe tenha desenvolvido.
3. Varredura Autenticada de Vulnerabilidades Internas (Requisito 11.3.1.2)
Anteriormente, as varreduras internas de vulnerabilidades podiam ser executadas sem autenticação, o que deixava de lado grande parte da exposição real — um scanner que não consegue fazer login não pode ver o que um invasor autenticado (ou um funcionário mal-intencionado) poderia alcançar. O novo requisito exige a varredura autenticada de sistemas internos, detectando configurações incorretas e software sem patches que as varreduras não autenticadas rotineiramente perdem.
O Custo Real da Não Conformidade
Os números sustentam o argumento melhor do que qualquer lista de verificação de conformidade. O mais recente Relatório de Investigações de Violações de Dados da Verizon registrou mais de 7.000 violações em organizações de pequeno e médio porte em um único ano, e nos 2,5% piores casos, a violação custou ao negócio mais de 7% da receita anual. Separadamente, a pesquisa da IBM sobre o custo de violações constata que a não conformidade com as regulamentações aplicáveis adiciona uma média de US$ 173.692 ao custo de uma violação — além do que a própria violação já custou em remediação, notificação e perda de negócios.
E isso é antes das multas mensais do seu banco adquirente começarem a ser aplicadas. A conformidade não é barata em termos de tempo da equipe, mas a não conformidade é comprovadamente mais cara — uma estimativa da indústria aponta o multiplicador em quase 3x quando se considera multas, remediação de violações e interrupção de negócios juntos.
Uma Lista de Verificação Prática de Conformidade para Pequenos Comerciantes
Você não precisa de uma equipe de segurança empresarial para fazer isso corretamente. Siga esta ordem:
- Descubra o seu tipo de SAQ. Sua processadora de pagamentos pode informar qual Questionário de Autoavaliação se aplica com base em como você aceita cartões (e-commerce totalmente terceirizado, terminal presencial, checkout personalizado, etc.). Isso determina exatamente quais dos 12 requisitos se aplicam a você.
- Pergunte à sua plataforma o que ela cobre. Se você usa Shopify, Square, Stripe ou uma processadora hospedada similar, obtenha confirmação por escrito do que é coberto por eles (geralmente a maioria dos requisitos de infraestrutura técnica) versus o que permanece sua responsabilidade (geralmente controles de acesso, políticas de funcionários e quaisquer personalizações que você adicionou).
- Ative MFA em todos os lugares onde há contato com dados de cartão. Logins de administração de PDV, painéis de gateway de pagamento, ferramentas de acesso remoto — sem exceções, sem contas compartilhadas.
- Faça um inventário dos scripts de terceiros da sua página de checkout. Liste todos os scripts carregados na página onde os clientes inserem os detalhes do cartão. Se você não consegue justificar por que ele está lá, remova-o.
- Pare de armazenar o que você não precisa. A maneira mais barata de reduzir sua carga de conformidade e sua exposição a violações é não armazenar números de cartão, CVVs ou dados completos de tarja magnética em primeiro lugar — deixe sua processadora tokenizar.
- Coloque sua política de segurança por escrito e revise-a anualmente. O Requisito 12 exige uma política de segurança da informação documentada e distribuída — não uma formalidade, mas genuinamente útil para a integração consistente de novos funcionários.
- Conclua seu SAQ anualmente e mantenha a declaração assinada arquivada — sua processadora a solicitará, e você não vai querer estar reconstruindo sua história de conformidade durante uma investigação de violação.
Escolhendo (ou Reavaliando) uma Processadora de Pagamentos
Nem todas as processadoras "compatíveis com PCI" descarregam a mesma quantidade de trabalho para você. Ao escolher ou renovar uma plataforma de pagamento, pergunte diretamente:
- O checkout hospedado deles mantém os dados do cartão completamente fora dos seus servidores (reduzindo você ao SAQ mais simples, tipicamente SAQ A)?
- Eles fornecem MFA em todas as categorias de conta, ou apenas em planos pagos?
- Eles fornecerão uma Declaração de Conformidade (AOC) por escrito que você pode entregar à sua própria processadora ou seguradora mediante solicitação?
- Eles publicam quais dos 12 requisitos eles cobrem versus quais permanecem sua responsabilidade?
Uma processadora que não consegue responder a essas perguntas claramente por escrito está transferindo mais ônus de conformidade para você do que o preço de tabela sugere — vale a pena considerar isso na decisão junto com as taxas de transação.
Onde Isso Se Conecta aos Seus Livros
Os custos de conformidade — ferramentas de varredura, licenças MFA, quaisquer horas de consultoria — são despesas comerciais reais e são dedutíveis. Mas a conexão mais útil corre na outra direção: a mesma disciplina que torna a conformidade PCI gerenciável (saber exatamente o que está tocando dados sensíveis e por quê) é a mesma disciplina que torna seus registros financeiros confiáveis. Uma empresa que pode produzir um inventário de scripts limpo sob demanda geralmente também é a empresa que pode produzir um livro-razão limpo e auditável sob demanda. Nenhum dos dois acontece por acaso — ambos vêm de tratar "podemos mostrar nosso trabalho" como um requisito permanente, não uma corrida anual.
Mantenha Suas Finanças Tão Auditáveis Quanto Sua Página de Pagamento
Assim como o PCI DSS 4.0 exige que você prove exatamente o que está tocando os dados de cartão de seus clientes e por quê, uma boa escrituração contábil faz a mesma pergunta para cada dólar que se move através de seu negócio. Beancount.io oferece contabilidade em texto simples que é totalmente transparente e controlada por versão — cada transação é inspecionável, auditável e nunca trancada em uma caixa preta. Comece gratuitamente e veja por que desenvolvedores e proprietários de negócios com mentalidade financeira estão migrando para a contabilidade em texto simples.