4+

Experts PCI DSS

12

Exigences PCI DSS

5+

Missions publiées

4

Niveaux de marchand

Pourquoi PCI DSS vous concerne

PCI DSS n'est pas une loi : c'est une obligation contractuelle imposée par les réseaux de cartes (Visa, Mastercard, American Express…) à toute entreprise qui accepte, traite, stocke ou transmet des données de carte.

Une obligation de votre contrat

Votre contrat avec la banque acquéreuse ou le prestataire de paiement (Stripe, PayPal, Adyen…) vous engage à respecter PCI DSS et à en fournir la preuve chaque année.

Des pénalités en cas de fuite

En cas de compromission, les réseaux de cartes peuvent infliger des pénalités via votre banque, imposer une enquête forensique et, dans les cas graves, mettre fin au contrat de vente à distance.

La confiance de vos clients

Les mesures exigées (chiffrement, contrôle des accès, journalisation, tests réguliers) protègent les données bancaires de vos clients, et la réputation de votre boutique.

PCI DSS, c'est quoi ?

Le PCI DSS (Payment Card Industry Data Security Standard) est le référentiel de sécurité des données de carte, publié par le PCI Security Standards Council, fondé par Visa, Mastercard, American Express, Discover et JCB. La version en vigueur, PCI DSS v4.0.1, définit 12 exigences pour toute entreprise qui traite, stocke ou transmet des données de carte.

Les réseaux classent les commerçants en 4 niveaux selon leur volume annuel de transactions : le niveau 1 (les plus gros volumes) passe un audit sur site par un QSA (auditeur qualifié), les niveaux 2 à 4 remplissent en général un SAQ (questionnaire d'auto-évaluation). La plupart des boutiques en ligne sont au niveau 4. Le seuil exact se lit dans votre contrat ou auprès de votre banque.

Sur Hackersdate, vous publiez gratuitement votre besoin et des experts en cybersécurité vous répondent : définition du périmètre, analyse d'écart, scan de vulnérabilités, test d'intrusion, aide au SAQ. Le paiement transite par un dépôt sécurisé Stripe, versé à la livraison. Pour la sécurité du tunnel de paiement lui-même (3D Secure, fraude), voir aussi sécuriser le paiement en ligne.

Les 12 exigences, regroupées en 6 objectifs

Réseau sécurisé

Exigences 1 et 2 : contrôles de sécurité réseau (pare-feu, filtrage), segmentation de l'environnement des données de carte (CDE), suppression des mots de passe et réglages par défaut.

Protection des données de carte

Exigences 3 et 4 : ne jamais conserver le cryptogramme (CVV) ni la piste magnétique après autorisation, rendre le numéro de carte illisible s'il est stocké (chiffrement, tokenisation, troncature), chiffrer les flux sur les réseaux publics.

Gestion des vulnérabilités

Exigences 5 et 6 : protection contre les logiciels malveillants, développement sécurisé, correctifs appliqués, et depuis la v4.0 surveillance des scripts chargés sur la page de paiement.

Contrôle des accès

Exigences 7, 8 et 9 : accès limité au besoin d'en connaître, identifiant unique par personne, authentification multifacteur pour tout accès au CDE, contrôle de l'accès physique.

Surveillance et tests

Exigences 10 et 11 : journalisation et revue des accès aux données de carte, scans de vulnérabilités externes trimestriels par un ASV (prestataire de scan approuvé), tests d'intrusion réguliers.

Politique de sécurité

Exigence 12 : politique de sécurité écrite et revue, sensibilisation du personnel, plan de réponse aux incidents, suivi de la conformité des prestataires qui touchent aux données de carte.

Comment se mettre en conformité

1

Définir le périmètre

Repérer où les données de carte sont saisies, traitées, stockées ou transmises. Plus le périmètre est petit, moins il y a d'exigences : une page de paiement hébergée par le prestataire réduit fortement le travail.

2

Choisir le bon questionnaire

SAQ A si la saisie de carte est entièrement confiée au prestataire (redirection ou iframe), SAQ A-EP si votre site contrôle la page de paiement, SAQ D si vous stockez ou traitez vous-même des données de carte. Votre banque confirme le type attendu.

3

Analyse d'écart

L'expert compare votre situation aux exigences applicables à votre SAQ et dresse un plan d'action priorisé : configuration, chiffrement, accès, journaux, scripts tiers.

4

Corrections, scans et tests

Mise en œuvre des corrections, scan ASV trimestriel quand votre SAQ l'exige, test d'intrusion si le niveau ou le questionnaire le demande, et preuve de correction des failles trouvées.

5

Attestation et renouvellement

Remplir le SAQ et l'attestation de conformité (AOC), les transmettre à la banque ou au prestataire de paiement, puis tout renouveler chaque année et après tout changement important.

Experts conformité PCI DSS

Experts en cybersécurité pour le paiement par carte

mew.sh
mew.sh

Pen-Tester

Voir le profil
Trouver un expert

Questions fréquentes sur PCI DSS

Oui, dès que vous acceptez une carte de paiement, quel que soit le volume. Ce qui change avec la taille, c'est la façon de prouver la conformité : un petit commerçant remplit en général un questionnaire d'auto-évaluation (SAQ) plutôt qu'un audit sur site.

Non, mais votre travail est beaucoup plus léger. Si la carte est saisie uniquement sur une page ou un champ hébergé par le prestataire, vous relevez en général du SAQ A. Si votre site contrôle la page de paiement, c'est plutôt le SAQ A-EP, nettement plus long.

Le SAQ est une auto-évaluation remplie par le commerçant, éventuellement avec l'aide d'un expert. L'audit QSA est réalisé par un auditeur qualifié par le PCI SSC et aboutit à un rapport de conformité (ROC) ; il est exigé des plus gros volumes (niveau 1) ou à la demande de la banque.

Un scan de vulnérabilités de vos adresses exposées sur Internet, réalisé par un prestataire de scan approuvé (ASV) par le PCI SSC. Quand votre questionnaire l'exige, il doit être passé chaque trimestre et après tout changement important, avec un résultat conforme.

La v4.0 (corrigée en v4.0.1) a remplacé la v3.2.1, retirée en 2024. Les nouvelles exigences sont obligatoires depuis le 31 mars 2025, notamment l'authentification multifacteur pour tout accès au CDE et la surveillance des scripts et de leurs modifications sur la page de paiement, contre les attaques de type skimming.

Publiez votre besoin gratuitement (type de boutique, prestataire de paiement, SAQ demandé par votre banque). Les experts en cybersécurité vous envoient leur proposition, vous choisissez, et le paiement est conservé sur un dépôt sécurisé Stripe jusqu'à la livraison, avec un avis obligatoire.

Votre boutique est-elle conforme PCI DSS ?

Publiez votre besoin gratuitement et recevez les propositions d'experts en cybersécurité.

Trouver un expert PCI DSS