PCI DSS: il Suo sito di prenotazione è conforme per i pagamenti con carta?

Lo standard PCI DSS si applica a qualsiasi attività che accetta carte di pagamento. Con GDA Kraft Booking, l'ospite inserisce la carta su una pagina di pagamento ospitata da Stripe: nessun numero di carta transita dal Suo sito WordPress né vi viene memorizzato, il che riduce notevolmente il Suo perimetro di conformità. Resta comunque a Lei proteggere il sito, non raccogliere mai numeri di carta tramite altri canali e, se Stripe lo richiede, attestare la Sua conformità.

Che cos'è lo standard PCI DSS?

Il PCI DSS (Payment Card Industry Data Security Standard) è lo standard di sicurezza dei dati delle carte di pagamento, pubblicato dal PCI Security Standards Council, organismo creato dai circuiti di carte. Si applica a qualsiasi entità che memorizza, elabora o trasmette dati dei titolari di carte. I documenti ufficiali sono pubblicati sul sito del PCI Security Standards Council (consultato il 12 ottobre 2026).

La conformità è una responsabilità condivisa: Stripe, certificato come fornitore PCI di livello 1, protegge l'elaborazione delle carte; l'esercente resta responsabile del modo in cui integra il pagamento e della sicurezza del proprio sito. È quanto spiega la guida alla sicurezza di Stripe (consultata il 12 ottobre 2026).

Che cos'è una pagina di pagamento ospitata e perché cambia tutto?

Una pagina di pagamento ospitata è una pagina servita direttamente dal fornitore di pagamento. Con Kraft Pay (disponibile con l'account Kraft GDA gratuito e un sito collegato, sul Suo account Stripe), dopo la scelta delle date o della fascia oraria l'ospite viene reindirizzato alla pagina di Stripe, vi inserisce la carta o utilizza Apple Pay o Google Pay, poi torna sul Suo sito.

Per un esercente che affida interamente la pagina di pagamento a un fornitore conforme, il questionario di autovalutazione più breve, il SAQ A, è generalmente quello applicabile. Stripe associa infatti il suo pagamento ospitato a questo questionario nella sua guida alla conformità PCI (consultata il 12 ottobre 2026). La versione 4.0.1 del SAQ A, rivista nel 2025, chiede in particolare all'esercente di confermare che il proprio sito non sia esposto ad attacchi tramite script che potrebbero compromettere il suo sistema di e-commerce: verifichi i criteri di ammissibilità nel documento ufficiale.

Che cosa resta a Suo carico?

1. L'HTTPS su tutto il sito, comunque obbligatorio per connettere GDA Kraft Booking.
2. Gli aggiornamenti di WordPress, del tema e dei plugin, per limitare il rischio di script malevoli iniettati nelle Sue pagine.
3. Account amministratore protetti: password uniche, autenticazione a due fattori se il Suo hosting o un plugin lo consente, ruoli limitati per i collaboratori (Kraft Console permette di lavorare senza accesso all'amministrazione).
4. Nessuna carta tramite altri canali: non chieda mai un numero di carta via e-mail, telefono, modulo di contatto o campo personalizzato Kraft Fields. Indirizzi l'ospite al Suo modulo di prenotazione online o, per un saldo, al pulsante "Paga il saldo" dell'e-mail ricevuta.
5. Pochi script di terze parti sulle pagine di prenotazione: ciascuno è una dipendenza di sicurezza in più.
6. L'attestazione annuale, se Stripe la richiede: i requisiti documentali del Suo account compaiono nella Sua Dashboard Stripe.

GDA Kraft Booking, il plugin di Global Digital Agency, non integra di per sé alcun tracker di terze parti né script esterni nelle Sue pagine (si veda GDPR e dati personali).

Questo articolo fornisce un'informazione generale. Per un'analisi della Sua situazione (volume di transazioni, altri canali di vendita, terminale POS in loco), si rivolga a Stripe o a un valutatore qualificato.

Per attivare gli incassi, si veda Attivare i pagamenti Stripe; per l'autenticazione bancaria, Autenticazione forte e 3-D Secure.

Domande frequenti

Il mio sito WordPress memorizza numeri di carta?

No. La carta viene inserita sulla pagina ospitata da Stripe; il Suo sito conserva solo gli importi, i riferimenti e lo stato dei pagamenti, come descritto nell'articolo GDPR e dati personali.

Ho comunque degli obblighi PCI DSS?

Sì, come qualsiasi esercente che accetta carte, ma sono ridotti: proteggere il sito, non raccogliere carte tramite altri canali e compilare l'attestazione richiesta, se del caso.

Un ospite può darmi la carta per telefono perché la inserisca io?

È sconsigliato: farebbe entrare dati di carta nel Suo perimetro. Lo inviti piuttosto a prenotare e pagare personalmente online sul Suo sito, inserendo la carta sulla pagina di Stripe, oppure a pagarLa con bonifico, che registrerà poi come pagamento offline. Lo spazio ospite non consente, ad oggi, di pagare.

L'addebito automatico del saldo pone un problema di conformità?

No, la carta viene salvata e addebitata da Stripe, con il consenso esplicito dell'ospite dato al momento del pagamento dell'acconto. Il Suo sito non vede mai il numero di carta.