С точки зрения объективной безопасности (не PCI), нет ничего плохого в том, чтобы заполнить форму, как она есть, а затем отправить ее через SSL на адрес https. Была ли страница, на которой изначально отображалась пустая форма, защищенной, не имеет значения, хотя многие думают иначе (ошибочно). Представление вашей формы на защищенной странице - это маркетинг - люди чувствуют себя более комфортно, когда вы делаете это. Отправка его через https является действительной безопасной частью.
Многие требования соответствия PCI являются гипотетическими или касаются маркетинга и представлений о безопасности, в отличие от реальной безопасности. Если ваш сканер помечает вас просто потому, что форма представлена на странице, отличной от SSL, вы можете на законных основаниях оспорить этот вывод, поскольку это не влияет на безопасность. Если рассматриваемая форма, даже при правильном доступе, не позволяет получить доступ к управлению сервером или личной информации, то вы также можете на законных основаниях оспаривать результаты. Однако, если процесс входа в систему позволяет получить доступ к личной информации или управлению сервером, существует несколько причин, по которым он должен быть отправлен через безопасный порт.