PCI DSS 6.4.3 e 11.6.1: o que exigem da página de pagamento

Desde 31 de março de 2025, dois requisitos do PCI DSS passaram a valer para quem tem páginas de pagamento com cartão: o 6.4.3 e o 11.6.1. Os dois nasceram para combater o roubo de dados de cartão diretamente no navegador do comprador.

O que pede o 6.4.3

Todo script carregado na página de pagamento precisa estar sob controle:

• Inventário de todos os scripts presentes na página.
• Autorização de cada script, com um responsável.
• Justificativa por escrito de por que cada script é necessário.
• Garantia de integridade, ou seja, um método para confirmar que o script não foi alterado.

O que pede o 11.6.1

A página de pagamento precisa de um mecanismo que detecte alterações não autorizadas no conteúdo e nos cabeçalhos de segurança que o navegador recebe, e que gere alerta quando isso acontecer. A verificação deve ocorrer no mínimo semanalmente ou na frequência definida pela análise de risco da empresa.

Quem precisa cumprir

Em geral, toda operação cuja página participa da captura do cartão: checkout próprio, formulários embutidos ou páginas que carregam o campo de pagamento. O enquadramento exato depende do desenho do fluxo e deve ser validado com o QSA ou com o adquirente.

Como gerar a evidência sem planilha

Planilhas e prints envelhecem no dia seguinte. O caminho sustentável é um processo contínuo que descubra os scripts automaticamente, registre aprovações e justificativas, monitore a página em produção e exporte um relatório com histórico.

Para colocar o 11.6.1 em prática, veja como monitorar alterações no checkout e, para o contexto dos ataques, Magecart: o que é e como proteger o e-commerce.

O Proteside entrega essa evidência como subproduto da proteção: além de inventariar e monitorar, bloqueia a cópia de cartão, a troca de QR e formulários falsos: o ataque que os requisitos querem prevenir.