Resumen: cumplimiento PCI DSS con Adyen
- Adyen gestiona el cumplimiento PCI DSS Nivel 1 del procesamiento de la tarjeta y proporciona documentación SAQ a los comerciantes. Adyen Components y Drop-in reducen significativamente el alcance del comerciante.
- Los comerciantes siguen siendo responsables de PCI DSS 4.0.1 6.4.3 y 11.6.1 en su propio sitio cuando Adyen procesa la tarjeta. Estos requisitos son del lado del comerciante y aplican independientemente del procesador.
- El nivel gratuito de cside cubre 6.4.3 y 11.6.1 para comerciantes de Adyen sin coste alguno. Los niveles de pago añaden bloqueo automatizado, exportaciones de evidencia listas para QSA y mayor retención.
¿Poco tiempo? Consulta cside PCI Shield. Cubre todo lo de abajo en un solo despliegue.
Adyen es un Proveedor de Servicios PCI DSS Nivel 1, lo que significa que su infraestructura de pagos está certificada. Sin embargo, esa certificación no se extiende a tu página de checkout. Los comerciantes que usan Adyen Web Components o Drop-in siguen siendo responsables de los requisitos 6.4.3 (inventario de scripts) y 11.6.1 (detección de manipulación). Adyen no satisface estos requisitos a nivel del navegador por ti, independientemente de tu tipo de SAQ.
El Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI DSS) es un conjunto de normas de seguridad diseñadas para proteger la información de las tarjetas durante y después de una transacción financiera. El cumplimiento implica adherirse a 12 requisitos, que van desde instalar y mantener una red segura hasta supervisar los scripts de terceros en tus aplicaciones web (PCI 6.4.3 y 11.6.1.).
Cómo cumplir usando Adyen
Los productos de Adyen están diseñados para ayudar a las empresas a reducir su carga de cumplimiento de PCI DSS gestionando de forma segura los datos sensibles de las tarjetas. Sin embargo, tus requisitos de cumplimiento dependen de cómo integres Adyen.
Si rediriges a los usuarios a las páginas de pago alojadas de Adyen, tu alcance PCI es mínimo (SAQ A).
Si recopilas los datos del titular de la tarjeta en tus propios servidores, necesitarás el SAQ D, que conlleva obligaciones de cumplimiento más estrictas.
Tu método de integración con Adyen determina qué SAQ debes completar:
| Tipo de integración | Alcance PCI | SAQ requerido |
|---|---|---|
| Páginas de pago alojadas de Adyen (HPP) | Mínimo: Adyen gestiona completamente los datos de la tarjeta | SAQ A |
| Cifrado del lado del cliente (CSE)* | Mínimo: los datos de la tarjeta se cifran antes de la transmisión* | SAQ A-EP* |
| Integración directa por API | Alto: los datos del titular de la tarjeta pasan por tu servidor | SAQ D |
*Ahora es necesario supervisar las dependencias en las páginas de pago; más información a continuación.
¿Cuál deberías elegir?
- Usa las páginas de pago alojadas de Adyen (HPP) → SAQ A (cumplimiento más sencillo, los datos de la tarjeta nunca tocan tus servidores).
- Usa el cifrado del lado del cliente (CSE) → SAQ A-EP (los datos de la tarjeta se cifran antes de llegar a Adyen).
- Usa la integración directa por API → SAQ D (gestionas los datos de la tarjeta en bruto, la mayor carga PCI).
Si tu empresa procesa o almacena datos del titular de la tarjeta (SAQ D), debes:
- Implementar un cifrado sólido para los datos de pago.
- Configurar políticas de cortafuegos y control de acceso.
- Realizar análisis de red trimestrales con un Proveedor de Análisis Aprobado (ASV).
- Completar una auditoría completa de PCI DSS si eres un comerciante de Nivel 1 (más de 6 millones de transacciones al año).
*Supervisión de dependencias para el cumplimiento del SAQ A
Según la actualización de enero de 2025, el PCI Security Standards Council abordó la supervisión de dependencias, cubriendo tanto los scripts propios como los de terceros en los sitios web. Esta actualización exige a los comerciantes garantizar que sus sitios no sean vulnerables a ataques originados desde estos scripts.
La guía de cumplimiento PCI DSS de Adyen es la fuente principal específica del procesador para integraciones con Adyen. Si estás comparando el alcance entre proveedores, consulta la guía de PCI DSS con Stripe.
Determina tu nivel de cumplimiento PCI
| Nivel | Criterios | Requisito de validación |
|---|---|---|
| Nivel 1 | Más de 6 millones de transacciones anuales | Auditoría completa in situ por un QSA + SAQ D |
| Nivel 2 | De 1 a 6 millones de transacciones anuales | SAQ A, SAQ A-EP o SAQ D + Attestation of Compliance (AOC) |
| Nivel 3 | De 20.000 a 1 millón de transacciones en línea anuales | SAQ A, SAQ A-EP o SAQ D + Attestation of Compliance (AOC) |
| Nivel 4 | Menos de 20.000 transacciones en línea O hasta 1 millón de transacciones totales | SAQ A, SAQ A-EP o SAQ D + Attestation of Compliance (AOC) |
Lectura relacionada: nuestra guía de cumplimiento PCI DSS 6.4.3 y 11.6.1 · responsabilidades compartidas de PCI DSS con PayPal Braintree
- Nivel 1 = Debe realizarse un ROC (Evaluación completa de PCI DSS con Informe completo de cumplimiento por parte de un QSA)
- Nivel 2 = Debe realizarse al menos un SAQ con atestación de un QSA o ISA externo
- Nivel 3 = Debe realizarse un SAQ
- Nivel 4 = Opcional
Envía la certificación de cumplimiento PCI
- ¿Usas páginas de pago alojadas? → SAQ A
- ¿Usas cifrado del lado del cliente (CSE)? → SAQ A-EP
- ¿Usas integración directa por API? → SAQ D
Para comerciantes con SAQ A y SAQ A-EP:
- Completa el SAQ en el portal de cumplimiento PCI de Adyen.
- Asegúrate de que ningún script de terceros interfiera con los campos alojados de Adyen.
- Mantén la documentación para las revisiones anuales de PCI.
Para comerciantes con SAQ D:
- Implementa controles de seguridad sólidos (cortafuegos, cifrado, supervisión).
- Realiza análisis de red trimestrales con un Proveedor de Análisis Aprobado (ASV).
- Somete tu empresa a una auditoría in situ por parte de un QSA si procesas grandes volúmenes.
Una vez que hayas identificado el SAQ correcto según tu método de integración, complétalo de forma exhaustiva. La documentación de PCI DSS de Adyen explica la evidencia y los pasos de validación que los comerciantes deben preparar para su integración específica.
Para un desglose detallado de qué requisitos de PCI DSS cubre Adyen y cuáles siguen siendo tu responsabilidad, consulta Adyen y PCI DSS: lo que cubre el procesador frente a lo que debes hacer tú.
