Formé parte de un equipo que desarrolló un sitio web de comercio electrónico (creado con Wordpress & WooCommerce) para un cliente. Utilizan StripeJS y PayPal Standard para procesar los pagos, y el sitio está alojado en un servidor dedicado con TLS de una autoridad de certificación confiable. El administrador de seguridad digital del cliente determinó que necesitaban PCI-DSS SAQ A-EP (que coincide con lo que Stripe say ). Hasta ahora, todo bien.
Sin embargo, ahora el banco del cliente ha solicitado copias de su PCI SAQ y nos ha pedido (como desarrolladores del sitio web) que completemos una copia del mismo SAQ además de a la copia del cliente / comerciante . El banco también solicitó por separado que la empresa de alojamiento haga lo mismo.
Que yo sepa, SAQ A-EP solo es aplicable al comerciante. Ciertamente podemos ayudarles a completarla, pero no creo que debamos estar haciendo una por separado. Alguien en la oficina sugirió que deberíamos completar el SAQ-D y enviarlo en su lugar, pero hasta donde puedo determinar, se supone que el SAQ D es para los comerciantes que no cumplen con ninguna otra categoría de SAQ. He sugerido que rechacemos esto, ya que todo parece poco claro.
¿Deberíamos nosotros, como desarrolladores web (que no estamos involucrados en absoluto con el procesamiento de pagos o el alojamiento), completar un documento SAQ por separado cuando el comerciante cumple con SAQ A-EP?
Nota: en este momento no tenemos una cláusula de responsabilidad contractual con ellos, ya que el sitio evolucionó rápidamente de un folleto estático a una tienda en línea completa en un período de tiempo muy corto. Lo remediaremos en breve. )