Frena los skimmers de tarjetas en tu pago
Un skimmer son unas pocas líneas de JavaScript que copian los datos de la tarjeta mientras el cliente los escribe. Así es como entran, y estas son las capas que los mantienen fuera.
El código y la configuración se mantienen en inglés.
Cómo entran los skimmers
- Un plugin o tema vulnerable permite a un atacante añadir un script a tus páginas o a tu base de datos.
- Un script de terceros que cargas (chat, analítica, reseñas) está comprometido.
- Una contraseña de administrador robada permite a alguien pegar un script en el tema o en una casilla de “código personalizado”.
1. Haz inventario de todos los scripts del pago
Enumera cada script de las páginas del carrito y del pago, quién es su responsable y por qué hace falta. Elimina el resto. Es exactamente lo que pide el requisito 6.4.3 de PCI DSS v4.0.
2. Usa campos de pago alojados
Las pasarelas de pago que muestran los campos de la tarjeta en su propio iframe (por ejemplo, el Payment Element de Stripe o los hosted fields de PayPal) mantienen los números de tarjeta fuera de tu página. Los skimmers aún pueden inyectar un formulario falso, así que mantén también las demás capas.
3. Blinda el pago con CSP
Limita desde dónde se pueden cargar scripts y, igual de importante, adónde pueden enviar datos (connect-src, form-action):
Content-Security-Policy: default-src 'self'; script-src 'self' https://js.stripe.com; frame-src https://js.stripe.com; connect-src 'self' https://api.stripe.com; form-action 'self'; object-src 'none'; base-uri 'self'4. Fija los archivos de terceros con SRI
Para archivos estáticos de una CDN, Subresource Integrity hace que el navegador rechace un archivo modificado:
<script src="https://cdn.example.com/lib.min.js"
integrity="sha384-REPLACE_WITH_THE_FILE_HASH"
crossorigin="anonymous"></script>Los SDK de pago que cambian a menudo (como Stripe.js) no se pueden fijar así. Usa CSP para ellos.
5. Detecta los cambios
El requisito 11.6.1 de PCI DSS v4.0 pide una forma de detectar cambios no autorizados en los scripts y las cabeceras de las páginas de pago. El análisis profundo del plan Pro de HackGrade vigila los scripts del pago en busca de nuevos orígenes, cambios, código en línea que envía datos fuera y formularios de pago falsos.
6. Frena las pruebas de tarjetas
Los bots usan pagos poco protegidos para probar tarjetas robadas. Activa las herramientas antifraude de tu proveedor de pagos, añade un CAPTCHA o un límite de frecuencia al pago y vigila las ráfagas de pedidos pequeños fallidos.