PCI DSS en termes simples

PCI DSS (Payment Card Industry Data Security Standard) est la norme internationale de sécurité des cartes de paiement : un ensemble d'exigences techniques et organisationnelles pour quiconque stocke, traite ou transmet des données de cartes. Elle a été élaborée par le conseil PCI SSC et s'applique aux commerçants, aux prestataires de paiement, aux banques acquéreuses et aux émetteurs.

En termes simples

Si votre boutique accepte les cartes, les données de carte (numéro, date d'expiration, CVV) doivent circuler uniquement par une voie sécurisée. PCI DSS décrit précisément comment. Le conseil PCI SSC explique que la norme est un socle d'exigences pour protéger les données des comptes de paiement, et qu'elle s'applique à tous ceux qui stockent, traitent ou transmettent des données de titulaires de cartes, ou qui peuvent influer sur la sécurité de l'environnement où elles se trouvent (PCI SSC).

Important : le PCI SSC lui-même ne sanctionne personne et ne décide pas qui doit valider sa conformité. Cela est déterminé par les réseaux de paiement et l'acquéreur, la banque qui accepte vos paiements. La première étape consiste donc à demander à votre banque ou à votre prestataire de paiement ce qu'ils exigent exactement (PCI SSC, pour les commerçants).

Comment réduire le périmètre des exigences

Moins il y a de données de carte qui passent par votre site, moins il y a d'exigences. Le e-commerce est un environnement sans carte présente, et les données de paiement doivent y être protégées selon PCI DSS (PCI SSC).

Pour l'auto-évaluation, il existe des questionnaires SAQ, différents selon les environnements, chacun avec ses critères d'éligibilité (même source). Le plus simple, SAQ A, est destiné aux commerçants dont les opérations sur les données de carte sont entièrement externalisées auprès de prestataires eux-mêmes conformes à PCI DSS, et qui ne stockent, ne traitent ni ne transmettent de données de carte dans leurs propres systèmes (PCI SSC, blog).

En pratique : une page de paiement entièrement affichée par le prestataire de paiement (une redirection ou son formulaire) est généralement considérée comme l'option la plus légère. Vos propres formulaires qui collectent le numéro de carte augmentent fortement le périmètre. Le chiffrement ne suffit pas, à lui seul, à sortir un environnement de la norme si les données chiffrées et les clés sont accessibles au même endroit (PCI SSC).

Ce qui a changé récemment

En 2025, des modifications ont été apportées au SAQ A : les exigences 6.4.3 et 11.6.1 (contrôle des scripts sur la page de paiement) et 12.3.1 ont été retirées du questionnaire, et un critère d'éligibilité a été ajouté : le commerçant confirme que son site n'est pas vulnérable aux attaques par des scripts susceptibles d'affecter son e-commerce. Les modifications sont entrées en vigueur le 31 mars 2025 ; elles n'annulent pas les exigences de la norme elle-même, mais changent la manière de les valider (PCI SSC, blog). Ce qu'il faut en retenir pour une boutique : les scripts tiers sur la page de paiement (chat, analyse d'audience, widgets) doivent se limiter à ce qui est nécessaire.

L'application de ces règles dépend de votre acquéreur : convenez donc avec lui de la forme de la validation. Par ailleurs, les résultats de recherche laissent penser que les fournisseurs interprètent différemment les scénarios (iframe ou redirection) auxquels ce critère s'applique ; appuyez-vous donc sur les FAQ officielles du PCI SSC et sur votre banque.

Erreurs fréquentes

• Stocker le CVV ou le numéro de carte complet dans une base de données, une messagerie ou un CRM.
• Accepter les données de carte par chat, messagerie ou téléphone sans solution sécurisée.
• Ne pas demander à la banque quel niveau de validation est exigé.
• Ajouter sans nécessité des scripts tiers à la page de paiement.
• Considérer la conformité comme un acte ponctuel. C'est un processus continu.

FAQ

PCI DSS est-il obligatoire pour une boutique en ligne ? La norme s'applique à tous ceux qui manipulent des données de carte, mais c'est aux réseaux de paiement et à l'acquéreur de décider s'il faut exiger une validation et sous quelle forme. Demandez à votre banque ou à votre prestataire de paiement (PCI SSC).

Ai-je besoin de PCI DSS si le paiement passe par la page de paiement du prestataire ? Le périmètre des exigences est beaucoup plus réduit pour vous, mais cela ne vous décharge pas entièrement de la responsabilité : la validation dépend de votre configuration et de votre banque.

Qu'est-ce qu'un SAQ ? Un questionnaire d'auto-évaluation pour les commerçants qui peuvent valider eux-mêmes leur conformité. Chaque configuration a son questionnaire.

Quelle version de la norme est en vigueur ? PCI DSS v4.0.1 est publiée dans la bibliothèque de documents du PCI SSC (PCI SSC, bibliothèque de documents).

Termes associés

• Fraude au paiement et 3-D Secure
• Sécurité d'une boutique en ligne : le minimum
• Tunnel de commande (checkout)

Sources

• PCI SSC, PCI DSS — pcisecuritystandards.org/standards/pci-dss
• PCI SSC, Merchants — pcisecuritystandards.org/merchants
• PCI SSC, Document Library — pcisecuritystandards.org/document_library
• PCI SSC blog, Important updates announced for merchants validating to SAQ A — blog.pcisecuritystandards.org/important-updates-announced-for-merchants-validating-to-self-assessment-questionnaire-a