01
PCI DSS y la seguridad del pago: qué cumples de verdad y qué transmite confianza
PCI DSS es el estándar de seguridad que deben cumplir todas las empresas que guardan, procesan o transmiten datos de tarjetas de pago. Si vendes online y cobras con tarjeta, te afecta, pero el grado de obligación depende de cómo integres el pago: si usas un proveedor compatible con PCI DSS y los datos de tarjeta nunca pasan por tu servidor, tu carga se reduce de forma considerable.
Esta guía explica qué es PCI DSS, qué tienes que cumplir realmente como vendedor, cómo se relaciona con la tokenización y con 3D Secure y qué señales generan confianza en quien compra. El objetivo es que sepas qué te toca a ti, qué asume tu proveedor y qué hacer para no dejar ningún cabo suelto.
02
¿Qué es PCI DSS y para qué sirve?
PCI DSS son las siglas de Payment Card Industry Data Security Standard, el estándar de seguridad de datos del sector de las tarjetas de pago. Lo mantiene el PCI Security Standards Council, un organismo creado por las grandes marcas de tarjetas, como Visa y Mastercard, para fijar unos requisitos comunes de protección.
Su finalidad es proteger los datos del titular, sobre todo el número de la tarjeta (el PAN), frente al robo y el fraude. Los requisitos cubren desde mantener redes seguras y cifrar los datos hasta controlar el acceso, vigilar los sistemas y tener políticas de seguridad por escrito.
03
¿Estás obligado a cumplir PCI DSS si vendes online?
En la práctica, sí. PCI DSS no es una ley, pero las marcas de tarjetas lo exigen a través del contrato con tu banco adquirente o con tu proveedor de pagos. Si no cumples, pueden aplicarte penalizaciones, repercutirte los costes de una brecha o incluso retirarte la posibilidad de cobrar con tarjeta.
La buena noticia es que el nivel de exigencia varía mucho. Las marcas clasifican a los comercios en niveles según su volumen anual de transacciones, y el esfuerzo que debes hacer depende sobre todo de una pregunta: ¿los datos de tarjeta pasan por tus sistemas o no? Cuanto menos los toques, menos tienes que demostrar.
04
¿Qué cumples de verdad según cómo integres el pago?
Los comercios validan su cumplimiento rellenando un cuestionario de autoevaluación, el SAQ. Hay varios modelos y el tuyo depende de tu integración. De forma simplificada, estos son los más habituales.
SAQ A. Es el más breve y corresponde a quien externaliza por completo el cobro: el comprador paga en una página alojada por el proveedor o en un formulario incrustado que gestiona él. Tu sitio no toca los datos de tarjeta.
SAQ A-EP. Se aplica cuando tu página controla parte del proceso, por ejemplo con scripts que envían los datos directamente al proveedor. Los datos no pasan por tu servidor, pero tu web influye en su seguridad, así que hay más requisitos.
SAQ D. Es el más extenso y corresponde a quien almacena, procesa o transmite datos de tarjeta en sus propios sistemas. Exige controlar redes, accesos, cifrado y registros.
Por eso la forma de integrar el cobro importa tanto. Un [checkout transparente](/es/blog/checkout-transparente) bien implementado mantiene la experiencia de pago dentro de tu tienda sin que los datos sensibles lleguen a tus servidores, y una solución como el TPV virtual de Redsys traslada la captura de la tarjeta a un entorno que ya cumple el estándar.
05
¿Qué diferencia hay entre gestionar tú los datos de tarjeta y usar un proveedor PCI DSS?
Es la decisión que más condiciona tu carga de cumplimiento. Gestionar los datos tú mismo te da control total, pero también toda la responsabilidad. Delegarlos en un proveedor certificado traslada la parte más pesada a quien ya está preparado para soportarla.
06
Gestionar tú los datos de tarjeta
Usar un proveedor PCI DSS
07
Datos en tus sistemas
Número, caducidad y CVV pasan por tu servidor
08
Los datos viajan directamente al proveedor y no pasan por tu servidor
Cuestionario SAQ
09
SAQ D: el más extenso y exigente
SAQ A o A-EP: mucho más breve y sencillo
10
Coste y tiempo
Auditorías, infraestructura segura y personal especializado
11
Mucho menor: el proveedor asume la parte técnica pesada
Riesgo si hay una brecha
12
Tú eres el responsable directo de los datos expuestos
Los datos sensibles no están en tu sistema, así que el impacto se reduce
Para casi cualquier vendedor que no sea una gran empresa de pagos, usar un proveedor compatible es la opción sensata. No te libera de toda responsabilidad, pero reduce de forma drástica lo que debes demostrar y lo que puedes perder.
13
¿Cómo se relacionan PCI DSS, la tokenización y 3D Secure?
Son tres piezas complementarias que resuelven problemas distintos, y conviene no confundirlas. PCI DSS protege los datos de tarjeta donde se almacenan y circulan. La tokenización sustituye esos datos por una referencia sin valor, de modo que tu sistema ni siquiera los guarda. 3D Secure, por su parte, comprueba que quien paga es realmente el titular.
La relación práctica es clara: la tokenización reduce tu alcance de PCI DSS porque te quita de las manos los datos más sensibles, y 3D Secure, que implementa la autenticación reforzada (SCA) exigida por la PSD2 en Europa, reduce el fraude con tarjetas robadas y los contracargos. Una cubre los datos y la otra, la identidad del comprador; juntas cierran los dos flancos más expuestos del pago.
14
¿Qué transmite confianza a quien compra?
Un comprador no revisa tu cuestionario SAQ, pero sí percibe señales visibles que le dicen si puede pagar tranquilo. Estas son las que más pesan.
Candado y HTTPS. La conexión segura en toda la web, no solo en la página de pago. Un aviso de «sitio no seguro» en el checkout es una causa directa de abandono.
Logotipos reales. Muestra las marcas de tarjeta y los métodos que aceptas de verdad, como Visa, Mastercard o Bizum. No incluyas sellos de seguridad que no puedas respaldar.
Ninguna petición sensible fuera del pago. Nunca pidas el número de la tarjeta por correo, chat o WhatsApp, ni el PIN o la clave de la banca online.
Datos del vendedor claros. Razón social, NIF, contacto y condiciones accesibles, como exige la normativa de comercio electrónico en España.
A esto se suma una política de devoluciones fácil de encontrar y escrita en lenguaje claro, que reduce la duda antes de pagar y también las disputas posteriores.
Una precisión útil: no existe un sello oficial de «certificado PCI» que un comercio pueda colgar en su web. Lo que existe es validar tu cumplimiento con el SAQ que corresponda, así que evita presumir de una certificación que no puedas acreditar.
15
¿Cómo comprobar que tu checkout cumple lo que debe?
No hace falta una auditoría completa para empezar. Esta secuencia te ayuda a saber dónde estás y a corregir lo que haga falta.
1. Averigua cómo se capturan hoy los datos de tarjeta: en una página alojada por el proveedor, en un formulario incrustado o en tu propio servidor.
2. Pide a tu proveedor de pagos su documentación de cumplimiento y confirma qué SAQ te corresponde.
3. Comprueba que ningún dato de tarjeta se guarda en tus bases de datos, registros, correos ni hojas de cálculo.
4. Activa HTTPS en todo el sitio, mantén actualizados tu gestor de contenidos y tus complementos y limita los accesos de administración.
5. Revisa tu cumplimiento cada año y cada vez que cambies de proveedor o de forma de integrar el pago.
Si todavía estás comparando opciones, esta guía sobre pasarelas de pago en España te ayuda a elegir un proveedor que asuma la parte pesada del cumplimiento. Y con un checkout como AtomicPay, los datos de tarjeta se gestionan fuera de tu sistema.
16
Preguntas frecuentes
¿Qué es PCI DSS?
Es el estándar de seguridad de datos del sector de las tarjetas de pago, mantenido por el PCI Security Standards Council. Fija los requisitos que deben cumplir las empresas que guardan, procesan o transmiten datos de tarjeta para protegerlos.
17
¿Es obligatorio cumplir PCI DSS en España?
No es una ley, pero las marcas de tarjetas lo exigen a través de tu banco o de tu proveedor de pagos, así que en la práctica es obligatorio para cobrar con tarjeta. El nivel de exigencia depende de tu volumen y de cómo integres el pago.
18
¿Qué diferencia hay entre PCI DSS y 3D Secure?
PCI DSS protege los datos de la tarjeta donde se guardan y se transmiten. 3D Secure autentica al comprador en el momento del pago para confirmar que es el titular. Son complementarios y resuelven problemas distintos.
19
¿Cumplo PCI DSS si uso un proveedor de pagos?
Cumples la parte que te corresponde si tu proveedor es compatible y los datos de tarjeta no pasan por tu servidor, normalmente con un SAQ A o similar. Sigues siendo responsable de la seguridad de tu web y de validar tu cumplimiento.
20
¿Cuáles son los primeros pasos para cumplir PCI DSS en un negocio pequeño?
Averigua cómo se capturan los datos de tarjeta, elige un proveedor compatible que los gestione fuera de tu sistema, confirma qué SAQ te corresponde y no guardes nunca datos de tarjeta por tu cuenta. Después, revisa el cumplimiento una vez al año.
21
Cumple lo que te toca y cobra con tranquilidad
La seguridad del pago no consiste en sumar sellos, sino en que los datos sensibles lleguen a donde deben y no pasen por donde no deben. Con un proveedor compatible, tokenización y autenticación reforzada, cumples lo esencial y das al comprador motivos reales para confiar en tu tienda. Esa confianza, además, ayuda a evitar contracargos y a mantener sana tu relación con el banco y con las marcas de tarjetas, algo que se nota en tus ventas y en tu tranquilidad.
Empieza tu prueba gratis en app.atomicpay.com.br/signup y ofrece los métodos de pago que prefieren tus clientes, sin código.