Кто-нибудь работал по той причине, что если у меня есть одностраничное приложение (SPA), чьи HTML и JavaScript размещены на сервере X, отправка кредитных карт на удаленный API, размещенный на сервере Y, делает сервер X подпадают под сферу PCI?
Сервер Y в этом сценарии совместим с PCI (размещенное приложение сертифицировано поставщиком через стороннего производителя).
Сервер X обслуживает веб-страницы через HTTPS, SPA обращается к API Y через HTTPS, и мы прилагаем все разумные усилия для обеспечения безопасности X.
API никогда не возвращает информацию о карте, только замаскированную «отображаемую» версию карты (то есть «****» + последние 4).
Я нашел один подобный вопрос, но на данный момент ему уже более 10 лет, и я знаю, что спецификации PCI меняют время.