Glossaire
Norme PCI DSS : signification et exemples
PCI DSS est la norme de sécurité de toute entreprise qui stocke, traite ou transmet des données de carte. Voyez ce qu'elle exige et comment rester conforme.
Mis à jour le · Par PayToMe Editorial
La norme PCI DSS, norme de sécurité des données de l’industrie des cartes de paiement (Payment Card Industry Data Security Standard), est un ensemble de règles de sécurité pour toute organisation qui stocke, traite ou transmet des données de cartes de paiement. Elle est maintenue par le PCI Security Standards Council et vise à protéger les données des titulaires de carte contre le vol et la fraude.
Fonctionnement
La norme est organisée en douze exigences principales, regroupées sous six objectifs. Elles couvrent la construction et le maintien d’un réseau sécurisé, la protection des données de titulaires stockées, la mise à jour des systèmes, la restriction des accès selon le besoin d’en connaître, la surveillance et le test des réseaux, ainsi que le maintien d’une politique de sécurité. Le conseil met la norme à jour au fil du temps : consultez la version en vigueur sur son site.
Ce que vous devez faire dépend de votre façon d’encaisser les cartes :
- Page de paiement hébergée ou redirection. Le client saisit ses données de carte sur la page de votre prestataire. Les numéros de carte ne touchent jamais vos systèmes, votre validation se limite donc généralement à un court questionnaire d’auto-évaluation.
- Formulaire intégré à votre site. Une plus grande partie de votre site est concernée, le questionnaire est donc plus long.
- Stockage ou saisie manuelle des numéros de carte. Le périmètre le plus lourd, avec des contrôles plus stricts, des analyses et parfois une évaluation externe.
Votre processeur de paiement ou votre passerelle de paiement vous indiquera généralement quel questionnaire s’applique et pourra vous demander de confirmer votre conformité chaque année. L’ignorer peut entraîner des frais ou, au pire, la perte de la possibilité d’accepter les cartes.
Exemple
Un consultant envoie des factures avec un lien de paiement et un artisan prend des cartes par téléphone. Comparez leur exposition.
| Configuration | Qui manipule les numéros de carte | Charge typique |
|---|---|---|
| Lien de paiement sur une page hébergée | Le prestataire | Faible : court questionnaire annuel |
| Saisie des cartes dans un tableur | L’entreprise | Élevée : à éviter totalement |
| Terminal de carte fourni par un prestataire | Le terminal du prestataire | Faible à modérée |
La règle la plus simple : n’écrivez jamais de numéros de carte dans des e-mails, des notes, des messageries ou des tableurs. Si un client en envoie un, supprimez-le et demandez-lui d’utiliser le lien de paiement. Vous pouvez créer la facture qui porte le lien de paiement avec le générateur de factures, et le guide sur l’acceptation des paiements par carte présente des configurations sûres.
Termes associés
- Passerelle de paiement : collecte les données de carte en sécurité pour que vous n’ayez pas à le faire.
- Processeur de paiement : souvent votre premier contact pour les questions PCI.
- Compte marchand : porte généralement l’exigence de conformité PCI dans ses conditions.
PayToMe est en bêta publique, et les paiements en ligne sont actifs via Stripe, le processeur de paiement. Vous pouvez connectez-vous à PayToMe.