Informe de Cumplimiento PCI DSS v4.0

# ❌ ANTES — Req 6: card_exp aparece en logs (VIOLACIÓN CRÍTICA PCI DSS)
import logging
def create_subscription(customer_id: str, card_exp: str, plan: str):
    logging.info(f"Creando suscripción para {customer_id} con tarjeta exp {card_exp}")  # ❌ SAD en logs
    ...

# ✅ DESPUÉS — Solo información no sensible en logs
def create_subscription(customer_id: str, card_exp: str, plan: str):
    logging.info(f"Creando suscripción plan={plan} customer={customer_id[:8]}...")  # ✅ Sin CHD
    ...

# ✅ Req 3: Enmascarar PAN si alguna vez es necesario mostrarlo
def mask_pan(pan: str) -> str:
    """PCI DSS Req 3.3.1 — mostrar solo primeros 6 y últimos 4."""
    if len(pan) < 13:
        raise ValueError("PAN inválido")
    return pan[:6] + "*" * (len(pan) - 10) + pan[-4:]
    # 4111111111111111 → 411111******1111

# ✅ Req 8: Forzar MFA en todo acceso al CDE (FastAPI middleware)
from fastapi import Request, HTTPException

async def require_mfa(request: Request):
    user = request.state.user
    if not user.mfa_verified:
        raise HTTPException(403, "MFA requerido para acceder al entorno CDE")
    return user

# ✅ Req 10: Log de auditoría estructurado — NUNCA el PAN completo
import json
from datetime import datetime, timezone

def audit_chd_access(user_id: str, action: str, last4: str, amount: float = None):
    entry = {
        "ts": datetime.now(timezone.utc).isoformat(),
        "user_id": user_id,
        "action": action,        # "view" | "charge" | "refund"
        "card_last4": last4,      # ✅ Solo últimos 4
        "amount_eur": amount,
        "event_type": "chd_access"
    }
    audit_logger.info(json.dumps(entry))  # → CloudWatch Logs con retención 12m