Asegura tu checkout antes de la campaña alta

El skimming de Magecart empieza con un XSS

La mayoría de los ataques de Magecart que roban datos de tarjetas empiezan con una vulnerabilidad de XSS almacenado que inyecta un script en la página de pago. Penetrify encuentra XSS, incluido el XSS almacenado en reseñas de productos, perfiles de usuario y campos del CMS, antes de que los atacantes lo conviertan en arma.

Los fallos de lógica del checkout causan pérdidas directas de ingresos

La manipulación de precios, el abuso de cupones y la sobrescritura del total del carrito son vulnerabilidades de lógica de negocio que los escáneres DAST no prueban. La IA de Penetrify entiende los flujos de la aplicación: prueba si tu lógica de precios se puede eludir, no solo si tu servidor tiene un CVE conocido.

A PCI DSS no le importa que fuera un plugin

Si un plugin de terceros introdujo la vulnerabilidad que llevó a exponer datos de tarjeta, la investigación de PCI DSS la afrontas igualmente tú. Se exigen tests de penetración periódicos, no solo escaneos de red trimestrales, y la responsabilidad es tuya con independencia del origen del código.

Requisito 11.4.1: metodología de pentest documentada; pruebas al menos cada 12 meses y tras cambios significativos en el entorno de datos de titulares de tarjeta

Requisitos 6.4.3 y 11.6.1: inventario y autorización de scripts de las páginas de pago y detección de manipulación, obligatorios desde el 31 de marzo de 2025

Artículo 32: prueba periódica de las medidas técnicas que protegen los datos personales

CC6.1: controles de acceso lógico con evidencias de test de penetración

PCI DSS 4.0 fue a por Magecart: requisitos 6.4.3 y 11.6.1

Desde el 31 de marzo de 2025, dos requisitos de PCI DSS 4.0 antes aplazados son obligatorios, y ambos existen por el e-skimming. El requisito 6.4.3 exige que todo script cargado en tus páginas de pago esté inventariado, autorizado y verificado en integridad, incluidas las etiquetas de terceros que no has escrito tú. El requisito 11.6.1 exige un mecanismo de detección de cambios y manipulación que alerte ante modificaciones no autorizadas de los scripts de la página de pago y de las cabeceras HTTP relevantes para la seguridad, tal como las recibe el navegador del consumidor.

Son controles anti-Magecart: dan por hecho que el atacante conseguirá meter un script en tu checkout y se aseguran de que te enteres. El test de penetración ataca el paso anterior: el XSS almacenado en un campo de reseña, el panel de administración vulnerable o el bloque del CMS inyectable que da al atacante la ejecución de scripts en primer lugar. Un checkout en el que no se puede inyectar nada es el control que mantiene en silencio las alarmas de 6.4.3 y 11.6.1.

Si aceptas pagos mediante un iframe o una página de pago alojada, lee igualmente los requisitos con atención: los comercios en SAQ A no están exentos de la lógica de gestión de scripts en la página que incrusta el iframe, y tu adquirente te lo preguntará.

Lógica del checkout: las vulnerabilidades que no tienen CVE

Las vulnerabilidades de e-commerce más valiosas son de lógica de negocio, no parches que faltan: totales de carrito recalculados en el cliente y aceptados en el servidor, códigos de cupón que se acumulan porque cada ruta de código los valida por separado, race conditions que permiten gastar dos veces el saldo de una tarjeta regalo y API de pedidos que filtran las direcciones de otros clientes mediante identificadores secuenciales. Nada de esto aparece en una base de datos de CVE, así que las herramientas basadas en escáneres no pueden encontrarlo por su propia naturaleza.

El agente de IA de Penetrify prueba estos flujos igual que los trabaja un defraudador: manipulando precios y cantidades en cada paso entre el carrito y la captura, repitiendo y paralelizando peticiones, sondeando la lógica de cupones y fidelización y recorriendo identificadores de pedido entre cuentas. Antes de cada campaña alta, esa es la prueba que tu checkout realmente necesita.

Penetrify prueba sistemáticamente cada campo de entrada controlado por el usuario (reseñas de productos, campos de perfil, contenido del CMS, formularios de dirección) en busca de XSS almacenado y reflejado. Encontrar un XSS antes de que llegue a tu checkout es la diferencia entre un bug corregido y una notificación de brecha.

La manipulación de precios, la elusión de la lógica de cupones y la sobrescritura del total del carrito son vulnerabilidades de lógica de negocio invisibles para los escáneres que solo comprueban cabeceras. La IA de Penetrify prueba si tus flujos de checkout aplican las reglas de precios de forma coherente en todas las rutas de código.

Penetrify genera informes estructurados de test de penetración con valoración de severidad y guía de remediación. Llegas a la evaluación del QSA con evidencia documentada de pruebas de seguridad continuas, sin tener que improvisar un encargo de última hora.

La campaña alta es el peor momento para descubrir una vulnerabilidad. Ejecuta un test de penetración completo en staging seis semanas antes de tu pico de tráfico, y de nuevo después de cada versión importante. A $1,700/month por 20 escaneos, las pruebas de seguridad encajan en el calendario del e-commerce.