PCI DSS: el candado sobre los datos de tarjeta
PCI DSS (Payment Card Industry Data Security Standard) es el estándar que la propia industria de tarjetas elaboró para tratar, almacenar y enviar datos de tarjeta de forma segura. Imagina un edificio donde están esos datos: PCI DSS prescribe los muros, las cerraduras, las cámaras y el registro de llaves, y decide quién puede entrar y cómo queda registrado. Todos en la cadena que tocan datos de tarjeta, del datáfono al proveedor de pago y al adquirente, deben cumplirlo. El estándar también ha madurado bastante hace poco: donde antes el cumplimiento era sobre todo una revisión anual, la versión actual exige seguridad continua, todo el año. Y aquí está lo agradable para ti: cuanto menos tocan tus propios sistemas los datos de tarjeta, menor es tu parte de esa obligación. Cobra online con un checkout alojado y tu cliente introduce sus datos en la página de pago segura y certificada, no en tu tienda online; en el mostrador el datáfono seguro gestiona el pago y tu caja solo intercambia importe y estado. La parte pesada de PCI DSS queda entonces donde debe: en la infraestructura de pago certificada.
3-D Secure: la firma de tu cliente
Donde PCI DSS protege los datos, 3-D Secure protege la propia transacción. Es el paso extra que tu cliente conoce de casi cualquier compra online: una confirmación rápida en la app del banco, y el pago se aprueba. Ese paso demuestra que quien paga es el titular real de la tarjeta, no alguien que consiguió los datos. La versión moderna además trabaja de forma inteligente en segundo plano: en pagos claramente correctos, la comprobación a menudo pasa invisible, así que el paso extra solo aparece donde de verdad hace falta. Para ti tiene dos beneficios directos. Menos fraude, porque los datos robados fallan en la verificación. Y menos dolor con el fraude que aun así se intenta: en una verificación 3-D Secure correcta, la responsabilidad por un pago no autorizado suele pasar al banco del titular en lugar de a ti.
PCI DSS evita que los datos de tarjeta acaben en la calle; 3-D Secure asegura que un pago venga de verdad de tu cliente.
Por qué juntos son tu protección
Los dos se complementan con precisión. PCI DSS evita que los datos de tarjeta acaben en la calle; 3-D Secure asegura que un pago venga de verdad de tu cliente. Juntos forman el cimiento de cualquier solución de pago seria, y para los negocios de alto riesgo son especialmente valiosos: menos fraude y menos contracargos significan un ratio de disputas más sano, que es justo por lo que te juzga la cadena de pago.
Qué tienes que organizar aquí
Poco, y ese es el punto. Elige un montaje de pago donde un checkout alojado o un datáfono seguro mantengan los datos de tarjeta fuera de tus propios sistemas, y donde 3-D Secure esté activado por defecto. La ley que hace obligatoria esta verificación en Europa, PSD2 con su requisito de autenticación reforzada del cliente, la explicamos en el siguiente artículo.