PCI

Scope

SCaptcha no procesa datos de titulares de tarjetas y puede desplegarse en entornos con alcance PCI para reducir el abuso automatizado.

This page maps SCaptcha 2.3.0 behavior to the named framework. It is not a certification or legal advice.

Fuera del alcance de datos de tarjeta

SCaptcha no maneja datos de titulares, tokens de pago ni detalles de autorización.

La verificación se ejecuta antes del envío y puede reducir el abuso automatizado en el checkout.

Límite de seguridad autoalojado

El procesamiento autoalojado evita enviar telemetría de seguridad a proveedores CAPTCHA externos.

Use HTTPS y asegure el acceso administrativo como parte de su programa PCI.

Registro y monitorización

Los logs permanecen en su infraestructura y pueden protegerse bajo sus controles de acceso PCI.

SCaptcha apoya, pero no sustituye, los requisitos PCI DSS.

Lista de implementación

Restrinja el acceso a logs de seguridad, establezca periodos de retención y monitorice picos de abuso durante eventos de pago.

Revise cualquier consulta externa conforme a políticas PCI antes de habilitarla.

SCaptcha 2.3.0 behavior

Cada desafío usa una sal criptográficamente aleatoria e independiente de 32 bytes. La instalación de WoltLab valida la sal, el hash, el algoritmo, la solución y el HMAC en la sesión que lo emitió. Caduca a los 60 segundos y no requiere un proveedor CAPTCHA externo.

Está desactivada de forma predeterminada. Al activarla, SCaptcha envía la IP pública a proxycheck.io para obtener indicios de proxy, VPN o Tor. SCaptcha 2.3.0 envía tag=0 por defecto; el administrador puede activar el registro del proveedor. La IP se transmite en cualquier caso.

El marcador previo al envío y la prueba opcional de texto o audio duran 5 minutos. Under-Attack usa una cookie firmada y vinculada al agente de usuario durante 5–30 minutos (10 por defecto). Sentinel puede guardar una denegación del servidor durante 10 minutos y está desactivado por defecto.

La analítica de solicitudes está activada por defecto y puede guardar datos operativos vinculables, incluidos IP, agente de usuario, solicitud, red, ubicación, motivos y telemetría enviada. La retención predeterminada es de 90 días y puede ajustarse entre 1 y 3650. Desactivarla no borra registros ni exportaciones existentes.

What operators need to review

Document enabled features, limit access to security logs, and assess optional external services separately. SCaptcha does not replace legal review or accessibility testing of the complete website.

Enable only the options you need. Update privacy and cookie notices, restrict access to analytics and logs, and test the actual form integration before launch.