“支付页脚本需要建清单”，安全服务商销售先核实什么？

买方发来一句“我们的支付页脚本需要建清单”，销售负责人先别急着答复能不能做，先核实五件事：页面架构、每个脚本的负责人、变更授权、完整性证据，以及验收决定由谁拍板。这五个答案决定需求该进入需求沟通（discovery）、专业复核还是观察清单，也让你不必替买方做合规解释。

支付页脚本与两条相关要求

支付页脚本（payment-page script）是运行在结账页面上的代码，通常是 JavaScript，常由第三方提供，比如分析服务商、反欺诈工具，或收单机构的支付表单。PCI DSS（Payment Card Industry Data Security Standard，支付卡行业数据安全标准）是支付品牌和收单机构对支付账户数据施加的基础技术与运营要求。为什么这和销售负责人有关：PCI 安全标准委员会（PCI SSC）的 PCI DSS 标准页面（2026 年 8 月 1 日访问）写明，谁必须合规或接受验证，由支付品牌、收单机构等项目运营方决定，商家不能单独决定。换句话说，买方问“我们算不算、该填什么”，这本身不是你能在销售对话里替对方定的问题。

“脚本清单”这个说法对应两条具体要求。要求 6.4.3 管理支付页脚本：要有一份带书面理由的清单、对每个脚本的授权，以及保证完整性的方法。要求 11.6.1 检测支付页和相关 HTTP 头的未授权更改——HTTP 头是浏览器与服务器之间交换的请求和响应元数据。PCI SSC 在 2026 年 2 月 5 日发布了针对这两条的专门指引。

关键事实

• PCI SSC，《Guidance for PCI DSS Requirements 6.4.3 and 11.6.1》（2026 年 2 月 5 日发布）：6.4.3 涵盖授权、完整性保证与带书面理由的清单；11.6.1 涵盖检测支付页和相关 HTTP 头的未授权更改。
• PCI SSC FAQ，《How does an e-commerce merchant meet the SAQ A eligibility criteria for scripts?》（2026 年 4 月 1 日更新）：其中引用的脚本标准，适用于页面内嵌第三方服务商或收单机构支付表单的商家，不适用于跳转或完全外包的形态。
• PCI 安全标准委员会，PCI DSS 标准页面（2026 年 8 月 1 日访问）：支付品牌、收单机构和其他项目运营方决定一个实体是否必须符合或验证某项 PCI SSC 标准。
• Telegram 隐私政策（2026 年 8 月 1 日访问）：加入群的机器人可能拥有也可能不拥有消息访问权限，界面会显示权限情况；第三方机器人应先征求许可；用户可以撤销 Business 聊天机器人的权限。

这些日期只说明指引很新，不能据此判断买方落后、陷入麻烦或准备采购。脚本清单需求可能来自收单机构的提醒、内部审计，也可能只是日常整理。

资格核实卡：五个字段

每个需求填一张卡，字段空白本身是一种路由结果，不是失败。

1. 页面架构。结账页是内嵌表单（收单机构的代码跑在买方页面里）、跳转（买方离开当前页，到托管的支付页），还是完全外包？FAQ 的脚本标准只针对内嵌形态。

2. 脚本负责人。每个脚本由谁维护：内部工程、分析服务商、反欺诈服务商，还是收单机构？买方说不出负责人，清单就只是愿望，不是运营。

3. 变更授权。脚本变更由谁批准、批准记录在哪里？6.4.3 要求授权有书面记录，“我们内部会批准变更”弱于“批准记录在变更工单日志里”。

4. 完整性证据。证明脚本未被改动的证据存在哪里——子资源完整性哈希（SRI，一种锁定文件精确内容的值）、变更检测日志，还是 11.6.1 式的监控？要问证据放在哪里，而不是只问有没有。

5. 验收决定。适用哪份问卷由谁决定？通常是合规接受方（compliance-accepting entity），往往是收单机构。SAQ A（Self-Assessment Questionnaire A）是合格商家填写的简短自证问卷；问卷决定要转给买方的合规联系人，别在销售环节拍板。

示意示例：一条典型的群消息

下面这条是示意性合成示例，是常见形态而非真实客户消息：

“您好，我们收单机构提示，结账页面的脚本需要管理起来。你们能帮我们整理一份清单吗？我们不确定自己算哪种页面形态。”

工作示例：买方没提架构、负责人、证据或决定人，卡片以五个空白开场。电话里销售负责人只问一个架构问题，买方回答内嵌了收单机构的表单——与 FAQ 的内嵌情形吻合，卡片路由到专业复核，进入脚本清单讨论；问卷决定仍留在买方合规接受方那边。若买方说“我们跳转到托管支付页”，卡片路由到更轻的讨论；若买方不再回应，卡片留在观察清单，直到对方回来。这类需求常先在以服务商为焦点的群讨论中出现，一份对 3,000 条支付服务商消息的观察显示这种模式很常见。

为什么重要，以及什么仍然未知

为什么重要：买方问出合规形状的问题时，最省事的做法是直接回答。但销售负责人在买方立场上解释 PCI DSS，既承担了买方没让你承担的风险，又会在猜测范围时拖慢商机。卡片把对话留在买方答得上来的事实上，合规压力也因此显现为真实机会；合规驱动的服务商切换信号是另一类可辨认的模式，卡片填完就能对上。

什么仍然未知：买方是否必须合规、适用哪份问卷、有没有服务商变更计划。范围由对方的项目运营方决定；架构和负责人只有买方工程师能确认。沉默或缺失的答案不是意图的证据——记下空白，按买方的时间线继续推进。

FAQ

客户提出要建脚本清单，是不是已经在评估中出问题了？ 不一定。可能是为评估做准备、收单机构提醒，或内部日常整理。卡片只记录事实，严重程度由买方的合规接受方判断。

SAQ A 这类问卷该由谁决定是否适用？ 按 PCI 安全标准委员会的标准页面，由合规接受方决定，通常是收单机构或支付品牌。销售应把问题转给买方的合规联系人和内部专家，而不是自己回答。

能把清单需求当成购买意向信号吗？ 可以，作为值得跟踪的早期意向信号，但必须和一张填好的卡片一起看。缺失的答案不是意图的证据；买方补充细节之前，需求留在观察清单上。

卡片填完并路由之后，你才能判断这类需求模式是否值得跟踪。TOP Prospect 这类工具可以在你已关注的 Telegram 群里浮现相似对话，Telegram 群对话作为商业信号这篇支柱文说明了方法。TOP Prospect 只处理你主动连接且有权访问的 Telegram 群，为每条候选信号保留来源证据；候选信号或评分供人复核，不是事实认证；最终决定由人来做出，产品不会自动联系群成员。

一个轻量的下一步：在笔记里存一张五字段卡片模板。下次再收到“我们需要一份清单”，你会立刻知道路由之前要填满哪些空白。

常见问题

客户提出要建脚本清单，是不是已经在评估中出问题了？

不一定。可能是为评估做准备、收单机构提醒，或内部日常整理。卡片只记录事实，严重程度由买方的合规接受方判断。

SAQ A 这类问卷该由谁决定是否适用？

按 PCI 安全标准委员会的标准页面，由合规接受方决定，通常是收单机构或支付品牌。销售应把问题转给买方的合规联系人和内部专家，而不是自己回答。

能把清单需求当成购买意向信号吗？

可以，作为值得跟踪的早期意向信号，但必须和一张填好的卡片一起看。缺失的答案不是意图的证据；买方补充细节之前，需求留在观察清单上。 卡片填完并路由之后，你才能判断这类需求模式是否值得跟踪。TOP Prospect 这类工具可以在你已关注的 Telegram 群里浮现相似对话，[Telegram 群对话作为商业信号](/zh/telegram-business-signal-intelligence/)这篇支柱文说明了方法。TOP Prospect 只处理你主动连接且有权访问的 Telegram 群，为每条候选信号保留来源证据；候选信号或评分供人复核，不是事实认证；最终决定由人来做出，产品不会自动联系群成员。 一个轻量的下一步：在笔记里存一张五字段卡片模板。下次再收到“我们需要一份清单”，你会立刻知道路由之前要填满哪些空白。

资料来源与延伸阅读

1. PCI SSC, Guidance for PCI DSS Requirements 6.4.3 and 11.6.1 (5 February 2026)
2. PCI SSC FAQ, How does an e-commerce merchant meet the SAQ A eligibility criteria for scripts? (updated 1 April 2026)
3. PCI Security Standards Council, PCI DSS standard page (accessed 1 August 2026)
4. Telegram Privacy Policy (accessed 1 August 2026)