Paiement en ligne : ce que la norme PCI DSS exige

Accepter un paiement par carte en ligne engage votre responsabilité sur la sécurité des données. La norme PCI DSS définit les exigences de base à respecter. Bonne nouvelle : pour la plupart des boutiques, la voie la plus sûre est aussi la plus simple — ne jamais voir les données de carte.

PCI DSS : de quoi il s'agit

PCI DSS, pour Payment Card Industry Data Security Standard, est une norme mondiale publiée par le PCI Security Standards Council (PCI SSC). Elle fournit un socle d'exigences techniques et opérationnelles destinées à protéger les données de compte de paiement.

La norme s'applique à toute entité qui stocke, traite ou transmet des données de titulaires de carte ou des données d'authentification sensibles, ou qui peut influencer la sécurité de l'environnement des données de carte. Cela inclut les commerçants, quelle que soit leur taille ou leur volume de transactions.

Deux notions sont centrales :

• Les données de titulaire de carte (CHD) : principalement le numéro de carte (PAN) et le nom du titulaire.
• Les données d'authentification sensibles (SAD) : notamment le code de sécurité (CVV) et les données de piste magnétique.

Ce que vous pouvez stocker (ou pas)

La règle la plus importante tient en une phrase : les données d'authentification sensibles ne doivent pas être conservées après autorisation, même chiffrées. Concrètement, vous ne gardez jamais le CVV ni la piste magnétique après le paiement.

Le numéro de carte peut être conservé, mais uniquement s'il est protégé : tronqué, masqué ou chiffré, et uniquement pour un besoin réel. En pratique, plus vous stockez de données de carte, plus votre périmètre de conformité s'élargit — et plus l'effort est lourd.

La stratégie gagnante pour une boutique est donc de ne rien stocker du tout : confier l'encaissement à un prestataire spécialisé, et ne jamais laisser les données de carte transiter par vos serveurs.

Chiffrement et transmission

Quand les données de carte circulent, elles doivent être protégées par un chiffrement fort sur les réseaux ouverts et publics. En d'autres termes : tout échange de données de paiement passe par HTTPS (TLS), jamais en clair.

Un certificat SSL valide sur votre boutique est un prérequis, pas une option. Il chiffre la communication entre le navigateur du client et votre serveur. Si le paiement est externalisé, le certificat reste nécessaire pour rassurer le client et protéger le reste des échanges. Pour l'installer, voir Installation de certificat SSL ; pour choisir le bon type, voir Certificats SSL.

Le rôle de l'hébergement et du réseau

Votre hébergeur participe à la sécurité de l'environnement de paiement, même s'il ne voit jamais les données de carte. Les exigences de la norme concernent notamment :

• la segmentation du réseau, pour isoler les systèmes de paiement du reste ;
• la gestion des accès et l'authentification forte ;
• les mises à jour de sécurité et la correction des vulnérabilités ;
• la surveillance et la journalisation.

Un hébergement supervisé, avec correctifs à jour et pare-feu applicatif, réduit la surface d'attaque. Atlas Hoster propose des architectures haute disponibilité avec pare-feu applicatif et CDN, adaptées aux boutiques qui encaissent. Voir l'offre haute disponibilité.

Externaliser le paiement (PSP)

Externaliser l'encaissement à un prestataire de services de paiement (PSP) est, de loin, le moyen le plus efficace de réduire son périmètre PCI DSS. Deux approches courantes :

• La redirection : le client est envoyé sur la page de paiement du PSP, puis revient. Vos serveurs ne voient jamais les données de carte.
• L'iframe ou les champs hébergés : le formulaire de carte est affiché sur votre page mais géré par le PSP, qui reçoit directement les données.

Dans les deux cas, le PSP assume l'essentiel de la conformité PCI DSS. Vous conservez une responsabilité réduite, souvent matérialisée par un questionnaire d'auto-évaluation simplifié.

Checklist pour une boutique

1. Ne stockez pas les données de carte : externalisez le paiement à un PSP.
2. Chiffrez : HTTPS partout, certificat SSL valide et renouvelé.
3. Limitez les accès : qui peut toucher au serveur et à l'admin de la boutique ?
4. Mettez à jour : CMS, extensions et système à jour.
5. Segmentez : isolez l'encaissement du reste du site quand c'est possible.
6. Documentez : tracez les mesures prises, pour vous et pour votre acquéreur.

Pour le volet hébergement et disponibilité d'une boutique, consultez Hébergement e-commerce : bien choisir avant de lancer et Protection anti-DDoS : comprendre et se protéger. La collecte des données clients relève aussi de la loi 09-08 : voir Se conformer à la CNDP : la checklist pour votre site web.

Réduire le périmètre : la clé de l'effort

Le coût de la conformité PCI DSS est proportionnel à la surface à protéger : plus vos systèmes touchent aux données de carte, plus il faut de contrôles. La démarche la plus rentable consiste donc à réduire le périmètre de l'environnement des données de carte.

Trois leviers :

• Ne pas toucher aux données de carte : en externalisant le paiement, vous sortez ces données de votre périmètre.
• Isoler ce qui reste : si une partie de votre système doit traiter des données de carte, segmentez-la du reste du réseau.
• Documenter : un schéma clair de ce qui est dans le périmètre et de ce qui en est exclu facilite l'évaluation et la validation.

Cette logique rejoint le bon sens : moins vous détenez de données sensibles, moins vous avez à perdre, et moins la conformité vous coûte. Pour une boutique, la redirection vers un prestataire de paiement est souvent le meilleur premier pas.

FAQ

Une petite boutique doit-elle se conformer à PCI DSS ?

La norme s'adresse à tous les commerçants qui acceptent la carte, quelle que soit leur taille. Les petits commerçants ont des environnements plus simples, ce qui réduit l'effort, mais l'obligation de protéger les données demeure.

Puis-je stocker le CVV de mes clients pour les achats en un clic ?

Non. Les données d'authentification sensibles, dont le CVV, ne doivent pas être conservées après autorisation, même chiffrées.

Qui décide du niveau de validation exigé ?

La conformité à la norme relève des marques de paiement et de votre acquéreur (banque). C'est lui qui précise le type de validation attendu — souvent un questionnaire d'auto-évaluation pour une boutique qui externalise le paiement.