Pagos delegados y alcance

Cuando el formulario de pago lo aloja el proveedor, los números de tarjeta viajan del navegador al proveedor sin pasar por la tienda. Con eso, los sistemas de la tienda que «ven, guardan o transmiten» datos de tarjeta desaparecen casi todos, y el trabajo de cumplir con el estándar de la industria de tarjetas (PCI DSS) se reduce. Lo que no desaparece es la responsabilidad sobre la página que carga el formulario: si un script ajeno la modifica, puede leer lo que la persona escribe.

Abre flujo-de-pago.txt y entiende los cuatro pasos antes de leer nada más.

El flujo dice que la tienda recibe solo un token y los últimos cuatro dígitos. Con eso basta para mostrar «tarjeta terminada en…» y para gestionar un reembolso. Si la base de pedidos guarda algo más, es porque alguien lo añadió, y cada dato extra es riesgo sin función. El estándar de la industria de tarjetas es explícito en algo: el código de seguridad impreso en la tarjeta no puede conservarse después de la autorización.

Abre columnas-base-pedidos.csv y compara cada columna con lo que el flujo dice que llega.

El proveedor avisa a la tienda de cada pago con una notificación firmada, y la tienda debe marcar el pedido como pagado solo si la firma es válida. Si no, cualquiera que conozca la dirección del aviso podría mandar uno falso y llevarse mercancía sin pagar. La regla 4 del flujo lo dice, y el registro permite comprobarla.

Abre notificaciones-pago.log y revisa la columna de la firma contra la del estado resultante.

El alcance no es una lista de sistemas «que tienen tarjetas» sino de los que pueden ver el número o influir en quien lo ve. En la tabla hay uno que no ve nunca el número, pero carga la página donde se escribe, y por eso sigue en alcance: un cambio en ese sistema puede insertar un script que lo capture. Es la clase de dependencia que se olvida al decir «el proveedor se encarga».

Abre sistemas-en-alcance.csv.

Hay un pedido marcado como pagado sin que su aviso lo respalde. No se sabe si el cliente pagó, si el aviso fue un error o si fue falso. La decisión prudente no depende de adivinar: se retiene el envío mientras no se sepa y se confirma con la fuente que sí lo sabe, el proveedor.