SAQ A — не броня: где утекают данные, пока вы машете сертификатом

SAQ A — не броня: где утекают данные, пока вы машете сертификатом

SAQ A продают как «минимум боли»: у вас якобы нет доступа к карточным данным, значит и рисков почти нет. Ложь на удобной бумажке. Если на странице стоят чужие скрипты, редиректы, виджеты, пиксели, чат-облака и «помощники» от маркетинга — вы уже не невинный наблюдатель, а соучастник утечки.

Главная дыра не в формах оплаты, а вокруг них:
— подмена JS через CDN или менеджер тегов;
— кража PAN/CVV до отправки на страницу провайдера;
— тихая эксфильтрация через iframe-соседей и event-listeners;
— компрометация админки, где «только баннеры» и «только UTM».

SAQ A не спасает от кривой интеграции, он лишь фиксирует, что вы переложили обработку карточных данных на третью сторону. Идемпотентность или смерть тут тоже в тему: если провайдер отдаёт токен, а у вас на фронте гуляют сторонние скрипты, то один XSS — и токен уже не ваш. Документация обещает изоляцию, логи обычно показывают хаос.

Проверяйте не бумагу, а поверхность атаки: CSP без дыр, SRI для внешних скриптов, минимальный набор тегов, жёсткий контроль изменений, отдельный аудит всех редиректов и webhooks. Если маркетинг требует «ещё один пиксель» — пусть сначала объяснит, почему он не тащит карточные данные мимо вашей головы.

SAQ A — это не щит, а признание, что безопасность начинается там, где вы перестали верить в магию интеграций.