Scripts de terceros en la página de pago

Cuando una página incluye un script de otro dominio, el navegador lo ejecuta con los mismos permisos que al código propio: puede leer los campos del formulario, cambiar lo que se muestra y enviar datos a donde quiera. No existe un «script de tercero con menos poder». Por eso un ataque de robo de datos de tarjeta en el navegador no necesita entrar a tus servidores: le basta con que algún script que la página ya carga cambie.

PCI DSS v4.0.x pide, en sus requisitos 6.4.3 y 11.6.1, que los scripts de las páginas de pago se gestionen: que cada uno esté autorizado, tenga una justificación escrita y conserve su integridad, y que se detecten los cambios en la página y en sus cabeceras. Una gestión así empieza por una lista, y la lista solo sirve si se compara con lo que realmente se carga.

Hay dos fuentes y las dos hacen falta. El inventario dice qué debería correr; la captura de una carga real de la página dice qué corre. Lo que está en la captura y no en el inventario es un script sin autorización, sin justificación y, casi seguro, sin responsable.

Abre el inventario de scripts autorizados y la captura de carga de la página de pago. Compara los nombres de script de uno y otro.

Una revisión de código que solo lee el HTML de la página ve los scripts que la página enlaza de forma explícita. Un gestor de etiquetas funciona distinto: es un script que, al cargar, trae otros según una configuración que se edita en un panel, sin pasar por el repositorio ni por la revisión del código. La columna de la captura que dice quién disparó cada carga permite separarlos.

Encontrar el script es la mitad del trabajo. La otra mitad es el proceso: cada publicación del gestor de etiquetas es un cambio en producción, aunque no tenga una solicitud de cambio. El historial de versiones del contenedor cuenta qué cambió, quién lo publicó y si alguien de seguridad lo miró.

Abre el historial de versiones del gestor de etiquetas y busca el cambio que añadió el script que no estaba en el inventario.

Tienes el hallazgo: un script de publicidad en la página de pago, publicado desde el gestor sin revisión. Marketing lo quiere para medir sus campañas. Sin él, ven menos; con él, el pago tiene un script más que nadie justificó.