PCI DSS é o padrão de segurança para quem armazena, processa ou transmite dados de cartão. Gateways e lojas entram no escopo em graus diferentes. Tokenização, 3DS e checkout em que o cartão não passa pelo seu servidor reduzem o que a loja precisa proteger — sem eliminar a responsabilidade de escolher um provedor sério e manter boas práticas.
Este post é o guarda-chuva de confiança do cluster de cartão. O passo a passo de colocar o gateway no ar está no post par: como integrar um gateway de pagamento no site.
O que é PCI DSS
PCI DSS é o padrão de segurança da indústria de cartões (bandeiras e participantes do ecossistema) para proteger os dados do portador — em especial o PAN (número do cartão) e dados de autenticação.
O padrão é mantido pelo PCI Security Standards Council (PCI SSC). Definições oficiais, versões e guias para pequenos lojistas estão no site do PCI SSC — use essa fonte quando precisar de números e limiares atualizados.
PCI DSS × PCI Compliance
Na prática, as pessoas misturam os termos:
- PCI DSS — o padrão (os requisitos).
- PCI Compliance — estar em conformidade com esses requisitos (processos, controles, evidências).
Dizer “somos PCI compliant” significa que a organização atende ao padrão no escopo declarado — não é sinônimo automático de “nunca sofre fraude”. Fraude e chargeback têm outras camadas: o que é antifraude e o que é chargeback e como evitar.
Quem precisa cumprir
Em alto nível, entra no radar quem armazena, processa ou transmite dados de cartão: lojistas, gateways, processadores e outros prestadores no fluxo.
O quanto cada um precisa documentar e auditar depende do modelo de integração e do volume — merchant e service provider têm caminhos diferentes. Não listamos limiares de transação aqui: eles mudam e a referência oficial é o PCI SSC.
Por que importa na prática
- Fraude e confiança no checkout — o cliente digita o cartão na sua loja; o mínimo é não expor o PAN no seu servidor sem necessidade.
- Chargeback e contestações — PCI não é antifraude, mas um checkout frágil aumenta risco operacional. Veja antifraude e soft descriptor.
- Exigência do ecossistema de bandeiras — quem participa do arranjo de cartões precisa demonstrar controles no escopo aplicável.
PCI e LGPD se tocam em proteção de dados, mas não são a mesma coisa: LGPD é lei brasileira de proteção de dados pessoais; PCI DSS é padrão da indústria de cartões. Este texto não é aconselhamento jurídico.
Os 12 requisitos (em linguagem simples)
O PCI DSS organiza controles em requisitos. Em resumo (sem jargão de auditoria):
- Proteger a rede que trata dados de cartão
- Não usar senhas e padrões inseguros de fábrica
- Proteger os dados do portador armazenados
- Criptografar transmissão de dados do portador em redes abertas
- Proteger sistemas contra malware
- Desenvolver e manter sistemas e apps seguros
- Restringir acesso aos dados do portador por necessidade
- Identificar e autenticar acessos
- Restringir acesso físico aos dados do portador
- Monitorar e registrar acessos
- Testar segurança de sistemas e processos regularmente
- Manter política de segurança da informação
A lista oficial e o detalhamento estão no material do PCI SSC. O ponto para o lojista: quanto menos o seu servidor toca o PAN, menor o pedaço que você precisa proteger.
Níveis (merchant e service provider)
A indústria classifica participantes por volume e papel (lojista vs prestador de serviço). Os limiares e os caminhos de validação (auditoria, questionários) mudam com a versão do padrão.
Confirme números e níveis oficiais no site do PCI SSC. Não copie tabela de concorrente como fato absoluto — e não use este post como prova de nível de ninguém.
Como um gateway reduz o escopo da loja
O gateway bem desenhado evita que o número do cartão atravesse o seu backend:
- Hosted fields / campos hospedados — o PAN é digitado em componentes do provedor
- Tokenização — o servidor da loja guarda token, não o cartão: tokenização de cartão
- Checkout do provedor / transparente com token — o fluxo de /checkout e /cartao
- 3DS — autenticação do portador: o que é 3D Secure e /3ds
- Antifraude — camada distinta do PCI: /antifraude e o que é antifraude
Tokenização reduz o escopo de PCI; não elimina a obrigação de boas práticas nem a responsabilidade de escolher e operar o provedor com cuidado.
Na AbacatePay, o cartão é tokenizado no navegador (cardToken) e a cobrança sai do backend — descrevemos isso como redução de exposição do PAN, sem afirmar certificação PCI DSS, nível de auditoria ou SAQ da AbacatePay.
Fale com o time sobre checkout, cartão e segurança.
O que perguntar ao escolher gateway
- Como o PAN chega ao provedor (token, hosted fields, redirect)?
- Há tokenização documentada para cobranças seguintes?
- Há 3DS e antifraude no fluxo de cartão?
- A documentação de integração e webhooks está clara?
- O time consegue integrar sem o cartão passar pelo servidor da loja?
Checklist de produto: como escolher um gateway de pagamento. Quando for colocar no ar: como integrar um gateway de pagamento no site.
Apple Pay e Google Pay também mudam a experiência de dado sensível no checkout: /apple-pay e /google-pay.
Perguntas frequentes
Minha loja precisa de certificação PCI própria se usa gateway?
Depende do modelo de integração e do que o seu ambiente ainda toca. Se o PAN nunca passa pelo seu servidor (tokenização / campos hospedados / checkout do provedor), o escopo da loja costuma ser menor — e o caminho de validação pode ser um SAQ adequado ao seu caso. Isso não é garantia automática de “sempre SAQ A”: confirme com o provedor e com o material do PCI SSC.
PCI DSS vale para débito e crédito?
Sim no guarda-chuva da indústria de cartões: o padrão protege dados do portador no arranjo de cartões. Detalhes de aplicação variam por papel e fluxo — sem parecer jurídico aqui.
Qual a diferença entre PCI e antifraude?
PCI DSS é padrão de segurança e conformidade dos dados do cartão. Antifraude é camada de risco (score, regras, 3DS etc.) para reduzir fraude e chargeback. São complementares, não a mesma coisa: o que é antifraude e /antifraude.
Tokenização elimina a necessidade de PCI?
Não. Tokenização reduz o escopo e a exposição do PAN; não “zera” a responsabilidade da loja nem a de escolher um provedor adequado. Guia: tokenização de cartão.
O que é SAQ?
SAQ (Self-Assessment Questionnaire) é o questionário de autoavaliação que muitos lojistas usam para documentar conformidade no escopo aplicável. Tipos e elegibilidade: material oficial do PCI SSC.
Checkout transparente aumenta ou reduz o escopo PCI?
Bem implementado — com tokenização ou campos em que o PAN não trafega pelo seu servidor — reduz a exposição do número do cartão na sua infraestrutura. Mal implementado (PAN no seu backend, logs, banco próprio) aumenta o problema. Produto: /checkout.
Como integrar com segurança?
Siga o guia como integrar um gateway de pagamento no site: HTTPS, nunca logar PAN, tokenização, webhooks e docs oficiais em /desenvolvedores.
Fale com o time sobre checkout, cartão e segurança.
Leia também: como integrar um gateway · tokenização de cartão · 3D Secure · o que é antifraude · checkout · cartão · 3DS · antifraude