Siti e checkout
Le pagine che raccolgono ordini e dati di pagamento, incluse quelle di carrello, riepilogo e conferma.
PCI DSS v4.0.1 · Requisito 11.4 · E-commerce · Da €490
Penetration test PCI DSS per e-commerce e applicazioni di pagamento
Il requisito 11.4 di PCI DSS v4.0.1 richiede test di penetrazione periodici e dopo modifiche significative. Ti forniamo la verifica tecnica esterna sul perimetro che riceve i pagamenti, con report e lettera di attestazione firmata da condividere con il tuo QSA o con il tuo acquirer.
Cosa chiede il requisito 11.4
Il requisito richiede test di penetrazione sia esterni sia interni sull'ambiente dei dati di titolari di carta, con una metodologia definita e ripetuta almeno ogni dodici mesi e dopo modifiche significative a infrastruttura o applicazioni. Le vulnerabilità sfruttabili devono essere corrette e riverificate.
Il nostro servizio copre la parte esterna del perimetro: i siti, il checkout, le API di pagamento e le applicazioni esposte su internet. È un elemento tecnico di evidenza, che il QSA valuta insieme al resto del programma di conformità.
Il perimetro del pagamento: cosa includere
Il lavoro più importante è definire bene il perimetro. Un test su un sito che non riceve pagamenti non serve a dimostrare il requisito, e un perimetro troppo stretto lascia fuori il punto debole.
API e servizi collegati
Le API che gestiscono ordini, pagamenti, rimborsi e profili cliente, quando sono esposte su internet.
Area riservata e account
Login, recupero password, gestione dei metodi di pagamento salvati e controllo dell'accesso tra clienti.
Integrazioni di terzi
Script e componenti di terze parti che operano sulla pagina di pagamento. Vanno inclusi se sono nel flusso del dato.
Cosa verifichiamo in un ambiente di pagamento
I test seguono l'OWASP Top 10 e l'OWASP WSTG, con particolare attenzione ai controlli che proteggono i dati di pagamento.
Autenticazione e sessioni
Robustezza del login, gestione dei token, scadenza delle sessioni, protezione contro l'uso di sessioni rubate o riutilizzate.
Controllo degli accessi
Un cliente non deve poter leggere ordini, indirizzi o metodi di pagamento di un altro cliente, nemmeno cambiando un identificatore.
Validazione e iniezione
Campi di ricerca, filtri, parametri del carrello e del checkout, verificati contro iniezioni e manipolazioni dei prezzi o delle quantità.
Configurazione e trasporto
Protocolli e cifrature TLS, intestazioni di sicurezza, cookie con attributi corretti, messaggi di errore che non rivelano dettagli interni.
Come lavoriamo sul perimetro di pagamento
Il test segue le fasi di un penetration test web, con attenzione ai flussi di pagamento. Non eseguiamo operazioni di pagamento reali e non richiediamo i dati delle carte dei clienti.
- Scope scritto: perimetro, flussi da testare e finestre temporali, firmati prima dell'avvio.
- Account di prova: con ruoli diversi, creati dal cliente nell'ambiente concordato.
- Test controllati: nessun attacco distruttivo e nessun denial of service sui sistemi di pagamento.
- Validazione manuale: ogni vulnerabilità rilevante riprodotta prima di entrare nel report.
- Retest: riverifica gratuita entro 30 giorni dopo le correzioni.
Cosa il servizio non sostituisce
Per il programma PCI DSS completo servono altre attività, che non rientrano nel nostro servizio esterno.
La valutazione del QSA
La validazione della conformità è responsabilità del QSA o del tuo acquirer, che decide quali evidenze accettare.
Lo scan ASV
Dove previsto, lo scan trimestrale delle vulnerabilità esterne è un'attività distinta, eseguita da un ASV accreditato.
Il test interno e la segmentazione
Il requisito chiede anche test interni e la verifica che la segmentazione isoli l'ambiente dei dati. Sono servizi separati, su preventivo.
Le politiche e la formazione
Molti requisiti riguardano processi, ruoli e documentazione, che restano in capo all'organizzazione.
Cosa preparare prima del test
Una preparazione ordinata riduce i tempi e evita interruzioni nell'ambiente di pagamento.
Il diagramma dei flussi
Anche una schematica semplice di come i dati di pagamento entrano, passano e escono dal sito aiuta a definire lo scope.
Un ambiente di test
Preferiamo un ambiente di test equivalente alla produzione, con dati fittizi. Il test in produzione richiede finestre e autorizzazione.
Gli account di prova
Almeno due clienti di prova e un profilo amministrativo, se il sito ha un'area di gestione.
Un referente tecnico
Qualcuno che risponda alle domande e possa intervenire se un test incide su un servizio in esercizio.
Quanto costa
Il piano Perimetro singolo costa €490 una tantum, IVA esclusa, per un dominio o un'applicazione esterna con i suoi sottodomini. Ambienti di pagamento più ampi, test interni e segmentazione sono su preventivo. Il listino completo è nella home.
Domande frequenti su PCI DSS e penetration test
Il penetration test basta per ottenere la conformità PCI DSS?
No. La validazione dipende dal tuo QSA o dal tuo acquirer. Il nostro report è un'evidenza tecnica per quella valutazione, non una certificazione.
Ogni quanto va fatto?
PCI DSS v4.0.1 richiede test di penetrazione almeno ogni dodici mesi e dopo modifiche significative a infrastruttura o applicazioni, con correzione e riverifica delle vulnerabilità sfruttabili.
Serve anche il test interno?
Per il requisito completo sì. Il test interno è un servizio separato, con perimetro e preventivo dedicati.
Il test usa carte di pagamento reali?
No. Non eseguiamo transazioni reali e non chiediamo i dati delle carte dei clienti. Il test verifica i controlli del flusso di pagamento in ambiente concordato.
Quanto tempo serve per il report?
Consegniamo il report in 5 giorni lavorativi dalla firma dell'autorizzazione, con riverifica gratuita entro 30 giorni dalle correzioni.
Devi dimostrare il requisito 11.4 al tuo acquirer?
Scrivici il perimetro del pagamento: ti rispondiamo per iscritto con cosa serve e cosa verificheremmo.
Richiedi la verifica