PCI DSS 4.0 e-commerce: rischi e come adeguarsi
· 5 min di lettura
Se il tuo negozio online accetta pagamenti con carta, c'è una scadenza che ti riguarda, anche se sei un negozio piccolo: dal 31 marzo 2025 diventano obbligatorie le nuove regole del PCI DSS 4.0 sulla pagina di pagamento. In sintesi: devi sapere che cosa gira nella pagina in cui i clienti inseriscono la carta e accorgerti subito se qualcuno la manomette.
Articolo informativo, non una valutazione di sicurezza: per il tuo caso specifico confrontati con la tua banca o con il tuo gestore dei pagamenti.
Che cos'è il PCI DSS (e perché non è una legge)
È lo standard di sicurezza dei circuiti delle carte (Visa, Mastercard e gli altri). Non è una legge, ma un obbligo contrattuale: te lo chiede la banca o il gestore dei pagamenti con cui hai l'accordo per incassare con carta.
Il rischio: gli «attacchi invisibili» al checkout
I criminali non attaccano più solo i database: attaccano la pagina in cui il cliente digita la carta. Un codice malevolo si infila di nascosto, spesso tramite uno strumento esterno non aggiornato (una chat, un pixel pubblicitario, un modulo di terze parti), e copia i dati mentre il cliente li scrive. Si chiama e-skimming o Magecart. La vendita va a buon fine e nessuno vede nulla: lo scopri mesi dopo, quando banche e clienti segnalano frodi.
Le conseguenze dipendono dal contratto con la banca o con il gestore dei pagamenti: dai costi aggiuntivi alla responsabilità per i dati rubati, fino, nei casi più gravi, alla sospensione della possibilità di accettare carte. A cui si aggiunge il danno di reputazione.
Le due regole che scattano il 31 marzo 2025
- Sapere e autorizzare ogni codice. Devi avere l'elenco di tutti gli script presenti nella pagina di pagamento, con il motivo per cui ciascuno è lì, e permettere solo quelli autorizzati.
- Accorgerti delle modifiche. Serve un controllo che rileva e segnala le modifiche non autorizzate alla pagina, con verifiche periodiche (di norma almeno una volta a settimana).
Ti riguarda davvero? Dipende da come incassi
| Come incassi | Cosa significa per te |
|---|---|
| Il cliente paga su una pagina del provider (esce dal tuo sito) | Meno adempimenti, ma devi garantire che il tuo sito non sia esposto agli script malevoli. Chiedi conferma al provider. |
| I campi della carta del provider sono dentro la tua pagina | Il codice della tua pagina può influire sulla sicurezza: i controlli contano di più. |
| I dati della carta passano dal tuo sito | Il livello di responsabilità più alto, con più controlli. |
Per il primo caso lo standard prevede regole alleggerite, a patto di dichiarare che il sito non è esposto a questi attacchi (dettagli del PCI Security Standards Council). Chiedi alla tua banca o al provider quale questionario di autovalutazione devi compilare: è il modo più rapido per capire a che livello sei.
Da dove partire
- Scopri come incassi (pagina esterna, campi incorporati o dati sul tuo sito).
- Elenca gli strumenti esterni nella pagina di pagamento (chat, statistiche, pixel, widget) e togli quelli inutili.
- Chiedi conferme scritte al provider su cosa copre lui e cosa resta a tuo carico.
- Prevedi un controllo delle modifiche con segnalazioni automatiche.
- Tieni tutto aggiornato e fai verificare il risultato da un esperto.
Il caso Magento: perché il checkout conta
Se usi Magento 2 o Adobe Commerce, tutto ruota attorno al checkout. Quello tradizionale (tema Luma) si appoggia a tecnologie datate e a molti moduli di terze parti: controllare ogni script può diventare lungo e costoso.
Per questo molti merchant scelgono Hyvä, un checkout più moderno e leggero. Secondo la documentazione ufficiale, dalla versione 1.3 il browser esegue solo il codice espressamente autorizzato e blocca il resto, in linea con lo spirito delle nuove regole. Il vantaggio è anche pratico: meno codice da controllare, di solito un checkout più veloce e una manutenzione più semplice.
Attenzione però: nessun tema rende conformi da solo. I moduli di terze parti devono essere compatibili e restano da prevedere l'elenco degli script e il controllo delle modifiche. E la sicurezza non è un intervento una tantum: ogni nuovo modulo o strumento di marketing cambia ciò che gira nella pagina di pagamento, per questo servono aggiornamenti e controlli periodici, cioè una manutenzione continuativa.
Domande frequenti
Il PCI DSS è una legge?
No. È uno standard dei circuiti delle carte che banche e gestori dei pagamenti impongono per contratto a chi incassa con carta.
Se uso PayPal, Stripe o un altro provider sono esonerato?
Sei molto alleggerito, ma non esonerato: devi compilare il questionario previsto e garantire che il tuo sito non sia esposto ad attacchi tramite script. Chiedi al provider cosa copre e cosa resta a carico tuo.
Devo per forza passare a Hyvä?
No. È una delle strade più lineari per chi ha un negozio Magento, ma l'obiettivo è controllare gli script e rilevare le modifiche, con qualsiasi tecnologia.
Vuoi sapere se il tuo negozio è a posto?
Se hai un e-commerce su Magento 2 o Adobe Commerce, posso fare un audit tecnico gratuito: guardiamo come incassi, quali strumenti sono presenti nella pagina di pagamento e qual è il percorso più rapido per metterla in sicurezza, anche con un checkout moderno e una manutenzione periodica. Scrivimi per parlarne: il preventivo è gratuito e senza impegno.
Vedi anche: sviluppo e-commerce B2C e replatforming e migrazioni.