Normes PCI-DSS : se conformer pour accepter les paiements en ligne

Accepter la carte bancaire en ligne impose la conformité PCI-DSS. Sans elle, aucun compte marchand ne peut être ouvert légalement.

Une obligation, pas une option

La conformité PCI-DSS est imposée par les réseaux de cartes (Visa, Mastercard, Amex) à tout commerçant acceptant les paiements par carte. Sans elle, impossible d'ouvrir un compte marchand, avec des risques d'amendes conséquentes.

Elle rassure aussi vos clients et complète les exigences du RGPD sur la protection des données personnelles, y compris bancaires.

12 exigences, 4 niveaux de conformité

Firewall, chiffrement, mises à jour de sécurité, accès restreint, authentification, surveillance des logs et tests de pénétration composent le socle des 12 exigences.

Le niveau (1 à 4) dépend de votre volume annuel de transactions : la plupart des PME relèvent du niveau 4, avec un simple questionnaire d'auto-évaluation plutôt qu'un audit externe.

Se mettre en conformité, étape par étape

Choisissez un prestataire de paiement certifié PCI-DSS dès le départ : il porte l'essentiel du stockage sécurisé. Complétez ensuite le questionnaire d'auto-évaluation adapté et documentez votre politique de sécurité interne.

Ne stockez jamais vous-même les données de carte : c'est l'erreur la plus coûteuse et la plus fréquente chez les petites structures.

Vers la v4.0, et une conformité durable

La version 4.0 rend l'authentification multifacteur obligatoire pour tout accès distant et impose un test de pénétration annuel, même pour les plus petites structures.

La conformité se recertifie chaque année : prévoyez un budget de maintenance et une formation régulière de vos équipes aux risques de sécurité.