Sí, Stripe es un Proveedor de Servicios de Nivel 1 de PCI pero dependiendo de tu integración, tu negocio sigue siendo responsable de garantizar el cumplimiento del Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS).
El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) es un conjunto de estándares de seguridad diseñados para proteger la información de las tarjetas durante y después de una transacción financiera. Para lograr el cumplimiento, debes adherirte a 12 requisitos, que van desde implementar medidas sólidas de control de acceso hasta monitorear cambios en los encabezados HTTPS (PCI 11.6.1 y 6.4.3).
Cómo cumplir usando Stripe
Los productos de Stripe están diseñados para manejar datos sensibles de tarjetas de forma segura, reduciendo así el alcance de tus responsabilidades de PCI DSS:
- Stripe Checkout y Elements: Estas herramientas utilizan campos de pago alojados, asegurando que la información de pago sensible se transmita directamente a los servidores validados por PCI DSS de Stripe sin tocar tus servidores.
- SDKs móviles y de Terminal: Los SDKs de Stripe para pagos móviles y en persona también envían información sensible directamente a Stripe, minimizando tu alcance de PCI.
| Integración de Stripe | SAQ requerido | Razón |
|---|---|---|
| Stripe Checkout (página de pago alojada) | SAQ A | Ningún dato del titular de la tarjeta toca tu servidor |
| Stripe Elements (campos integrados)* | SAQ A* | Elements transmite datos de forma segura a Stripe* |
| Stripe.js v2 con UI personalizada | SAQ A-EP* | Tu frontend afecta la seguridad de las transacciones |
| API directa (datos de tarjeta en tu servidor) | SAQ D | Almacenas, procesas y/o transmites datos de tarjetas |
*Ahora necesitas monitorear las dependencias en las páginas de pago, más información a continuación.
- Si usas Stripe Checkout (página de pago alojada), calificas para SAQ A.
- Si usas Stripe Elements (campos integrados que envían datos directamente a Stripe), calificas para SAQ A.
- Si usas los SDKs móviles o de Terminal de Stripe, los datos de pago son procesados de forma segura por Stripe, manteniéndote en SAQ A.
- Si recopilas y almacenas datos del titular de la tarjeta o usas una integración de API directa, debes completar SAQ D e implementar controles completos de PCI.
Si calificas para SAQ A, tus responsabilidades de PCI DSS son mínimas porque Stripe maneja los datos sensibles de las tarjetas.
Si requieres SAQ A-EP o SAQ D, asumes más responsabilidad por asegurar las transacciones.
Si tu negocio procesa o almacena datos del titular de la tarjeta (SAQ D), debes:
- Implementar cifrado fuerte para los datos de pago.
- Configurar políticas de firewall y control de acceso.
- Realizar escaneos de red trimestrales con un Proveedor de Escaneo Aprobado (ASV).
- Completar una auditoría completa de PCI DSS si eres un comerciante de Nivel 1 (más de 6 millones de transacciones/año).
*Monitoreo de dependencias para el cumplimiento de SAQ A
Según la actualización de enero de 2025, el Consejo de Estándares de Seguridad de PCI enfatizó la importancia de monitorear las dependencias. Esto incluye tanto scripts propios como de terceros en los sitios web. Esta actualización requiere que los comerciantes se aseguren de que sus sitios no sean susceptibles a ataques originados por estos scripts.
Encuentra la documentación de Stripe sobre PCI DSS aquí.
Determina tu nivel de cumplimiento de PCI
| Nivel | Criterio | Requisito de validación |
|---|---|---|
| Nivel 1 | Más de 6 millones de transacciones anuales | Auditoría completa en sitio por un QSA + SAQ D |
| Nivel 2 | 1 a 6 millones de transacciones anuales | SAQ A, SAQ A-EP o SAQ D + Certificación de Cumplimiento (AOC) |
| Nivel 3 | 20,000 a 1 millón de transacciones en línea anuales | SAQ A, SAQ A-EP o SAQ D + Certificación de Cumplimiento (AOC) |
| Nivel 4 | Menos de 20,000 transacciones en línea O hasta 1 millón de transacciones totales | SAQ A, SAQ A-EP o SAQ D + Certificación de Cumplimiento (AOC) |
- Nivel 1 = Debe hacer un ROC (Evaluación completa de PCI DSS con Informe completo sobre cumplimiento por QSA)
- Nivel 2 = Debe hacer al menos un SAQ con certificación de QSA o ISA de terceros
- Nivel 3 = Debe hacer SAQ
- Nivel 4 = Opcional
Identifica tu tipo de integración y documentación requerida
Completa el SAQ apropiado Una vez que hayas identificado el SAQ correcto según tu método de integración, complétalo exhaustivamente. Stripe proporciona un asistente de PCI en tu Panel de control para guiarte a través de este proceso.
Envía tu documentación Después de completar el SAQ, envíalo junto con cualquier Certificación de Cumplimiento (AOC) o Informe sobre Cumplimiento (ROC) requerido a Stripe para revisión. El Panel de control de Stripe te permite cargar estos documentos directamente.
Mantén el cumplimiento continuo El cumplimiento de PCI no es una tarea única sino un proceso continuo. Monitorea regularmente tus sistemas, mantén prácticas de codificación seguras y mantente actualizado con los requisitos de PCI DSS para garantizar el cumplimiento continuo.
