¿Qué SAQ me toca?
El alcance define si son unos 30 controles o más de 250, y casi nadie lo explica en criollo. Un asistente de 7 preguntas te dice qué SAQ corresponde y qué secciones aplican.
PCI DSS v4.0.1 · para equipos que procesan pagos
Tu cumplimiento, almena por almena.
Almena ordena los 12 requisitos de PCI DSS, hace rondas sobre tu página de pago, tus repos y tu cuenta de AWS, busca tarjetas en tus bases y te avisa cuando algo cambia. Llegás a la auditoría con la evidencia lista.
Entrás con un link al email, sin contraseñas.
Checkout webSAQ A-EP · ejemplo
41% de avance · 10 de 51 secciones validadas
- 6.4.3 · Script nuevo en /checkoutAlmenara
- 3.5.1 · 2 tarjetas en orders.notesVigía
- 4.2.1 · TLS 1.2+ en los 3 dominiosRonda diaria
¿Cómo se lee la muralla?
Cada almena es uno de los 12 requisitos de PCI DSS y se llena de abajo hacia arriba con sus secciones: piedra las validadas en la revisión, rayado las implementadas que esperan que alguien las revise, gris las que están en progreso y vacío las que faltan empezar. La tapa naranja indica fallas abiertas en las rondas, con la cantidad arriba. Una almena punteada no aplica a tu SAQ. Cuando todas quedan de piedra, el perímetro está cerrado.
- Validada
- Implementada, falta revisar
- En progreso
- Sin empezar
- Fallas abiertas
- No aplica
Lo que hoy hace difícil cumplir
La evidencia vive en 40 lugares
Capturas, planillas, mails y carpetas compartidas. En Almena cada requisito tiene su estado, su responsable, su fecha límite y su evidencia, y quien revisa lo hace desde el mismo lugar.
Cumplir el día de la auditoría no alcanza
Desde marzo de 2025, 6.4.3 y 11.6.1 piden vigilar los scripts de la página de pago todo el tiempo. Las rondas programadas lo hacen y te avisan por email.
Por qué Almena
Una muralla se levanta piedra por piedra
Las almenas son los bloques que coronan la muralla de un castillo: protegen al vigía y le dejan mirar. En PCI DSS, cada requisito es una almena. Cuando están todas firmes, el perímetro donde viven los datos de tarjeta queda cerrado.
- Almena
- Cada requisito del estándar, con su estado, su responsable y su evidencia.
- Ronda
- Un escaneo programado, diario o semanal, sobre tu web, tus repos y AWS.
- Vigía
- Un agente que corre dentro de tu red y busca tarjetas en tus bases.
- Almenara
- El aviso cuando algo cambia: un script nuevo, un certificado por vencer, una tarjeta donde no debería estar.
Cómo funciona
- 01
Definí el alcance
Respondés cómo cobra tu app (redirect, iframe del procesador, campos propios) y Almena calcula el SAQ y arma la lista de requisitos que te aplican.
- 02
Conectá lo que ya tenés
Tu página de pago, tus repos de GitHub o Bitbucket y tu cuenta de AWS, siempre con accesos de solo lectura. Cada ronda deja hallazgos por requisito y evidencia exportable.
- 03
Revisá y cerrá
Asigná responsables y fechas, subí lo que no se puede automatizar y, si trabajás con un QSA o una consultora, invitalos con un rol de solo lectura para que revisen cada requisito.
Qué revisa solo
Cada hallazgo indica a qué requisito responde y qué hay que hacer. Las rondas quedan como evidencia.
Página de pago
6.4.3 · 11.6.1- La ejecuta en un navegador y lista cada script, también los que inyecta un tag manager
- Cada script se autoriza con una justificación
- Avisa si aparece un script nuevo, si cambia uno o si cambian los headers de seguridad
Web pública
4.2 · 6.4 · 2.2 · 1.3- TLS: protocolos, certificado y redirección a HTTPS
- Headers: CSP, HSTS, clickjacking y versiones expuestas
- Puertos de administración y bases de datos abiertos a internet
Código
6.2 · 6.3 · 6.5 · 8.6 · 3.5- Protección de las ramas que llegan a producción
- Dependencias vulnerables, con el plazo de 30 días de 6.3.3
- Secretos y números de tarjeta commiteados
AWS
1.3 · 3.5 · 8.2–8.4 · 10.2–10.5 · 11.5- Root, usuarios sin MFA, claves viejas y política de contraseñas
- CloudTrail, security groups abiertos y buckets públicos
- Cifrado, rotación de claves, GuardDuty y números de tarjeta en S3 o en los logs
Sabé qué corre en tu página de pago
Es por donde entran los ataques de skimming. Almena ejecuta la página como un navegador real, guarda el hash de cada script y te avisa cuando algo cambia, antes de que lo note un cliente.
Evidencia lista para revisar
Cada requisito muestra qué pide, sus chequeos automáticos y sus evidencias. Una ronda se guarda como evidencia con un click, con el detalle que respalda ese requisito.
Tu AWS, revisado con un rol de solo lectura
Sin claves de larga duración: creás un rol con la política SecurityAudit que solo Almena puede asumir. En cada ronda ves qué usuarios, security groups o buckets explican cada hallazgo.
Solo lectura, siempre
- Los accesos son de solo lectura: un rol IAM con External ID y tokens de repos con permisos de lectura.
- Los tokens se guardan cifrados con AES-256-GCM y no se vuelven a mostrar.
- Nunca se guarda un secreto ni un número de tarjeta completo: solo el comienzo, o los primeros 6 y últimos 4 dígitos.
- El escáner no puede llegar a tu red interna ni a la metadata de la nube, aunque una página lo intente.
- Cada cambio queda en el registro de actividad: quién, qué y cuándo.
Preguntas frecuentes
¿Qué SAQ cubre?
A, A-EP y D para comercios y para proveedores de servicios. El asistente de alcance te sugiere uno, y lo podés cambiar si tu QSA indica otro.
¿Qué accesos necesita?
Ninguno para empezar: el seguimiento y la evidencia manual funcionan sin conectar nada. Para las rondas automáticas: la URL de tu web, un token de solo lectura de cada repo y un rol de solo lectura en AWS.
¿Lee mi código o mis datos?
Por defecto, de los repos solo lee los lockfiles y la configuración de CI. Revisar todo el código en busca de secretos, o buscar números de tarjeta en S3, en los logs o en tus bases de datos (con Vigía, un agente que corre en tu red y manda solo resultados enmascarados), es opcional y lo activás vos.
¿Sirve si ya tengo consultora o QSA?
Sí. Almena no trabaja con auditores propios, pero podés invitar al tuyo con el rol de auditor: ve todo y valida o rechaza requisitos sin poder editar. Ahorra el ir y venir de planillas.
¿Qué pasa con otros marcos, como SOC 2 o ISO 27001?
Hoy el catálogo es PCI DSS v4.0.1. Almena está pensada para sumar otros marcos sobre la misma muralla.
Empezá por la primera almena
En cinco minutos sabés qué SAQ te toca y qué requisitos aplican a tu app.