¿Qué SAQ me toca?
El alcance define si son unos 30 controles o más de 250, y casi nadie lo explica en criollo. Seis preguntas en lenguaje claro, de a una, te dicen qué cuestionario te toca y qué aplica. Si no sabés alguna, la dejás para confirmar.
PCI DSS v4.0.1 · para equipos que procesan pagos
Tu cumplimiento, almena por almena.
Almena ordena los 12 requisitos de PCI DSS, hace rondas sobre tu página de pago, tus repos y tu cuenta de AWS, busca tarjetas en tus bases y te avisa cuando algo cambia. Llegás a la auditoría con la evidencia lista.
Entrás con un link al email, sin contraseñas.
Checkout webSAQ A-EP · ejemplo
41% de avance · 10 de 51 secciones validadas
- 6.4.3 · Script nuevo en /checkoutAlmenara
- 3.5.1 · 2 tarjetas en orders.notesVigía
- 4.2.1 · TLS 1.2+ en los 3 dominiosRonda diaria
¿Cómo se lee la muralla?
Cada almena es uno de los 12 requisitos de PCI DSS y se llena de abajo hacia arriba con sus secciones: piedra las validadas en la revisión, rayado las implementadas que esperan que alguien las revise, gris las que están en progreso y vacío las que faltan empezar. La tapa naranja indica fallas abiertas en las rondas, con la cantidad arriba. Una almena punteada no aplica a tu SAQ. Cuando todas quedan de piedra, el perímetro está cerrado.
- Validada
- Implementada, falta revisar
- En progreso
- Sin empezar
- Fallas abiertas
- No aplica
Lo que hoy hace difícil cumplir
La evidencia vive en 40 lugares
Capturas, planillas, mails y carpetas compartidas. En Almena cada tarea tiene su estado, su responsable, su fecha límite y su evidencia, y quien revisa lo hace desde el mismo lugar.
Cumplir el día de la auditoría no alcanza
Desde marzo de 2025, 6.4.3 y 11.6.1 piden vigilar los scripts de la página de pago todo el tiempo. Las rondas programadas lo hacen y te avisan por email.
Por qué Almena
Una muralla se levanta piedra por piedra
Las almenas son los bloques que coronan la muralla de un castillo: protegen al vigía y le dejan mirar. En PCI DSS, cada requisito es una almena. Cuando están todas firmes, el perímetro donde viven los datos de tarjeta queda cerrado.
- Almena
- Cada requisito del estándar, con su estado, su responsable y su evidencia.
- Ronda
- Una revisión automática programada, diaria o semanal, sobre tu web, tus repos y AWS.
- Vigía
- Un agente que corre dentro de tu red y busca tarjetas en tus bases.
- Almenara
- El aviso cuando algo cambia: un script nuevo, un certificado por vencer, una tarjeta donde no debería estar.
Cómo funciona
- 01
Empezá con tu página de pago
Pegás su dirección y respondés seis preguntas. En dos minutos tenés un primer pantallazo: qué arreglar, qué mejorar y qué cuestionario de PCI te toca.
- 02
Mandale a cada uno su parte
Lo técnico lo hace quien corresponde: le mandás a tu equipo, a quien maneja el dominio o la nube solo su parte, con una guía paso a paso. Todo con accesos de solo lectura.
- 03
Seguí y cerrá
Cada semana ves qué sigue y quién lo hace. Subís lo que no se puede automatizar y, si trabajás con un QSA o una consultora, los invitás con un rol de solo lectura para que revisen cada tarea.
Qué revisa solo
Cada hallazgo explica por qué importa, qué hay que hacer y quién lo hace, con el detalle técnico y el requisito para tu equipo. Las rondas quedan como evidencia.
Página de pago
6.4.3 · 11.6.1- La ejecuta en un navegador y lista cada script, también los que inyecta un tag manager
- Cada script se autoriza con una justificación
- Avisa si aparece un script nuevo, si cambia uno o si cambian los headers de seguridad
Web pública
4.2 · 6.4 · 2.2 · 1.3- TLS: protocolos, certificado y redirección a HTTPS
- Headers: CSP, HSTS, clickjacking y versiones expuestas
- Puertos de administración y bases de datos abiertos a internet
Código
6.2 · 6.3 · 6.5 · 8.6 · 3.5- Protección de las ramas que llegan a producción
- Dependencias vulnerables, con el plazo de 30 días de 6.3.3
- Secretos y números de tarjeta commiteados
AWS
1.3 · 3.5 · 8.2–8.4 · 10.2–10.5 · 11.5- Root, usuarios sin MFA, claves viejas y política de contraseñas
- CloudTrail, security groups abiertos y buckets públicos
- Cifrado, rotación de claves, GuardDuty y números de tarjeta en S3 o en los logs
Explicado sin jerga
Cada hallazgo dice en criollo por qué importa, qué hay que hacer, quién lo hace y cuánto lleva. Si no es lo tuyo, se lo mandás a tu equipo técnico con un click; el detalle técnico sigue ahí para quien lo necesite.
Sabé qué corre en tu página de pago
Es por donde entran los ataques de skimming. Almena ejecuta la página como un navegador real, guarda el hash de cada script y te avisa cuando algo cambia, antes de que lo note un cliente.
Evidencia lista para revisar
Cada tarea muestra qué pide, sus chequeos automáticos y sus evidencias. Una ronda se guarda como evidencia con un click, con el detalle que respalda ese requisito.
Tu AWS, revisado con un rol de solo lectura
Sin claves de larga duración: creás un rol con la política SecurityAudit que solo Almena puede asumir. En cada ronda ves qué usuarios, security groups o buckets explican cada hallazgo.
Solo lectura, siempre
- Los accesos son de solo lectura: un rol IAM con External ID y tokens de repos con permisos de lectura.
- Los tokens se guardan cifrados con AES-256-GCM y no se vuelven a mostrar.
- Nunca se guarda un secreto ni un número de tarjeta completo: solo el comienzo, o los primeros 6 y últimos 4 dígitos.
- El escáner no puede llegar a tu red interna ni a la metadata de la nube, aunque una página lo intente.
- Cada cambio queda en el registro de actividad: quién, qué y cuándo.
Preguntas frecuentes
¿Qué SAQ cubre?
A, A-EP y D para comercios y para proveedores de servicios. Las seis preguntas del inicio te sugieren uno, y lo podés cambiar si tu QSA indica otro.
¿Qué accesos necesita?
Ninguno para empezar: para el primer pantallazo alcanza con la dirección de tu página de pago, porque solo miramos lo que ve cualquier visitante. Después, si querés más rondas automáticas: un token de solo lectura de cada repo y un rol de solo lectura en AWS.
¿Lee mi código o mis datos?
Por defecto, de los repos solo lee los lockfiles y la configuración de CI. Revisar todo el código en busca de secretos, o buscar números de tarjeta en S3, en los logs o en tus bases de datos (con Vigía, un agente que corre en tu red y manda solo resultados enmascarados), es opcional y lo activás vos.
¿Sirve si ya tengo consultora o QSA?
Sí. Almena no trabaja con auditores propios, pero podés invitar al tuyo con el rol de auditor: ve todo y valida o rechaza requisitos sin poder editar. Ahorra el ir y venir de planillas.
¿Qué pasa con otros marcos, como SOC 2 o ISO 27001?
Hoy el catálogo es PCI DSS v4.0.1. Almena está pensada para sumar otros marcos sobre la misma muralla.
Empezá por la primera almena
En dos minutos ves cómo está tu página de pago y por dónde empezar.