Proveedores de pago

Hay tres formas habituales de cobrar con un proveedor. En la primera, el proveedor sirve la página de pago y la tienda solo redirige al cliente. En la segunda, la tienda incrusta campos de tarjeta que el proveedor aloja (un marco incrustado): el cliente escribe en una pieza del proveedor, aunque la página sea de la tienda. En la tercera, la tienda recoge el número de tarjeta y lo envía al proveedor desde su propio servidor.

Mientras menos datos de tarjeta toque tu sistema, menos de la tienda entra en el alcance de PCI DSS y menos hay que robar. La tercera forma deja el número completo pasando por tu servidor y tu código; las dos primeras no.

La atestación de cumplimiento es el documento con el que un proveedor declara que cumple PCI DSS; se renueva cada año. Una atestación vencida no significa que el proveedor sea inseguro, sino que no hay evidencia vigente de que no lo sea. Se pide al renovar el contrato y se revisa al menos una vez al año, con fecha.

Abre la tabla de proveedores de pago y compara la fecha de vencimiento de cada atestación con la de hoy (2026-10-07).

El proveedor avisa a la tienda del resultado de un cobro con una notificación a una ruta de la tienda (un receptor). Si ese receptor no verifica que el aviso viene firmado por el proveedor, cualquiera que conozca la ruta puede enviar un aviso falso de «pago confirmado» y la tienda entregará mercancía sin cobro. Otra defensa complementaria es rechazar un mismo aviso repetido.

Abre la lista de receptores de notificaciones y busca el que no verifica la firma.

La conciliación compara lo que la tienda cree que cobró con lo que el proveedor cobró de verdad. Una diferencia puede ser un error de integración o un fraude, y se mide en dinero. Los pedidos pendientes no cuentan: solo interesa lo que la tienda ya dio por pagado.

Abre la conciliación del día. Suma el monto de los pedidos marcados «pagado» en la tienda cuyo estado en el proveedor es «sin cobro».

Los pedidos sin cobro y el receptor sin firma encajan: es el camino exacto para que un aviso falso marque un pedido como pagado. Hay prisa, y el proveedor afectado es el que menos ventas mueve.