PCI DSS est la norme de sécurité que les réseaux de cartes bancaires imposent à tout commerçant qui accepte les paiements par carte, y compris en ligne. HaiSoft vous accompagne dans la configuration et la sécurisation de la partie serveur, au regard des exigences de PCI DSS v4.0.1, en partenariat avec SiteLock. L'accompagnement est établi sur devis par notre équipe d'Orléans.
Dans le monde des affaires en ligne, la sécurité des transactions par carte bancaire est primordiale. La conformité aux normes PCI DSS (Payment Card Industry Data Security Standard) n'est pas seulement une exigence réglementaire pour les entreprises traitant des paiements par carte, elle est essentielle pour protéger les données de vos clients et maintenir la confiance dans vos services. HaiSoft, en collaboration avec SiteLock, simplifie le processus de certification PCI DSS. Nous analysons votre serveur et votre site web pour vérifier leur conformité et vous guidons à travers les ajustements nécessaires pour rencontrer les standards de sécurité exigés.
Atteindre la conformité PCI DSS peut sembler complexe et intimidant. Nous vous aidons à simplifier ce processus en effectuant une analyse complète de votre environnement pour identifier les écarts par rapport aux normes PCI et en fournissant des recommandations claires pour y remédier.
En vous conformant aux normes PCI DSS, vous implémentez des niveaux de sécurité qui protègent les informations sensibles de vos clients contre les violations de données. Cela inclut des mesures de sécurité comme le cryptage, l'utilisation de pare-feu, et des contrôles d'accès rigoureux.
Les clients sont de plus en plus conscients de la sécurité des transactions en ligne. En affichant votre conformité PCI DSS, vous communiquez un engagement fort envers la sécurité, ce qui renforce la confiance des clients dans votre capacité à protéger leurs données personnelles et financières.
Les entreprises conformes aux normes PCI DSS trouvent souvent plus facile de nouer des partenariats et de maintenir de bonnes relations avec les banques et autres institutions financières. Cette conformité peut également réduire les coûts associés aux transactions financières et aux frais de traitement.
PCI DSS (Payment Card Industry Data Security Standard) est la norme de sécurité des données de cartes de paiement. Elle est publiée par le PCI Security Standards Council (PCI SSC), fondé en 2006 par American Express, Discover, JCB, Mastercard et Visa. Elle s'applique à toute organisation qui stocke, traite ou transmet des données de cartes, et concerne aussi les sites e-commerce qui confient le paiement à un prestataire : leur périmètre est alors réduit, mais pas nul.
Ce n'est pas une loi : la conformité est exigée contractuellement par votre banque (l'acquéreur) et par les réseaux de cartes. La version en vigueur est PCI DSS v4.0.1, publiée en juin 2024 et seule version active depuis le 31 décembre 2024 ; les exigences nouvelles de la v4, d'abord facultatives, sont obligatoires depuis le 31 mars 2025.
La norme compte 12 exigences, regroupées en 6 objectifs :
| Objectif | Exigences |
|---|---|
| Réseaux et systèmes sécurisés | 1. Contrôles de sécurité réseau (pare-feu) ; 2. configurations sécurisées |
| Protection des données de compte | 3. Protection des données stockées ; 4. chiffrement fort lors des transmissions sur les réseaux publics |
| Gestion des vulnérabilités | 5. Protection contre les logiciels malveillants ; 6. développement et maintenance de systèmes et logiciels sécurisés |
| Contrôle des accès | 7. Accès limité au strict besoin ; 8. identification et authentification des utilisateurs ; 9. accès physique restreint |
| Surveillance et tests | 10. Journalisation et surveillance des accès ; 11. tests réguliers de sécurité |
| Politique de sécurité | 12. Politiques et programmes de sécurité de l'information |
Les réseaux de cartes classent les commerçants en niveaux selon leur volume annuel de transactions. Les plus gros (plus de 6 millions de transactions par an) font auditer leur conformité sur site par un évaluateur qualifié (QSA). La grande majorité des commerçants valident leur conformité chaque année avec un questionnaire d'auto-évaluation (SAQ) et une attestation de conformité (AOC) transmis à leur banque.
Le questionnaire dépend de la façon dont vous acceptez les cartes. Pour un site e-commerce :
| Questionnaire | Situation |
|---|---|
| SAQ A | Le paiement est entièrement confié à un prestataire conforme PCI DSS : redirection vers sa page de paiement ou formulaire intégré en iframe. Aucune donnée de carte ne transite par votre serveur. |
| SAQ A-EP | Le paiement est confié à un prestataire, mais votre site contrôle des éléments de la page de paiement (par exemple un formulaire qui envoie directement les données au prestataire) et peut donc en affecter la sécurité. |
| SAQ D | Tous les autres cas, notamment lorsque votre serveur reçoit, traite ou stocke des données de cartes. |
Depuis la mise à jour du SAQ A de janvier 2025, les exigences sur les scripts des pages de paiement (6.4.3) et sur la détection des modifications (11.6.1) ne figurent plus dans le SAQ A, mais le commerçant doit confirmer que son site n'est pas vulnérable aux attaques par script. Elles restent applicables aux SAQ A-EP et D. Votre banque confirme le questionnaire qui vous concerne.
L'exigence 11.3.2 de PCI DSS impose un scan de vulnérabilités externe au moins une fois tous les trois mois, et après toute modification importante, réalisé par un prestataire de scan agréé (ASV, Approved Scanning Vendor) dont la solution est approuvée chaque année par le PCI SSC. Le scan doit être « réussi » : aucune vulnérabilité de gravité moyenne ou élevée ne doit subsister, sinon il faut la corriger puis relancer un scan.
Ces scans concernent aussi les commerçants au SAQ A : la page de votre site qui redirige vers la page de paiement du prestataire, ou qui l'intègre, doit être scannée. Les rapports de scan réussis sont conservés et fournis à votre banque avec votre questionnaire.
Héberger son site chez un prestataire ne rend pas automatiquement conforme : la conformité PCI DSS est une responsabilité partagée. Pour PCI DSS, votre hébergeur est un prestataire de services tiers. Vous devez tenir la liste de ces prestataires, savoir précisément quelles exigences relèvent de chacun (exigence 12.8) et vérifier chaque année leur statut de conformité. Le prestataire, de son côté, doit reconnaître par écrit les responsabilités qu'il assume (exigence 12.9).
Chez HaiSoft, l'infogérance couvre une partie des mesures techniques attendues sur le serveur : mises à jour de sécurité du système et des logiciels serveur, monitoring 24/7/365, hébergement dans des datacenters sécurisés en France (à Tours, datacenter Tier III certifié ISO 27001). Restent de votre côté, notamment, le choix du prestataire de paiement, la mise à jour de votre site et de ses modules, la gestion des comptes d'administration et le questionnaire annuel. Découvrez nos datacenters et nos engagements de service.
HaiSoft travaille avec SiteLock, spécialiste de la sécurité des sites web, que nous proposons déjà pour la protection antimalware des sites hébergés. SiteLock fait aujourd'hui partie du groupe Sectigo, dont la solution de scan HackerGuardian est agréée ASV par le PCI SSC. Le service de conformité PCI de SiteLock associe des scans de vulnérabilités externes et une aide pour remplir le questionnaire d'auto-évaluation.
De son côté, HaiSoft vous accompagne dans la configuration et la sécurisation de la partie serveur au regard des exigences de PCI DSS. Les autres besoins, comme les scans de vulnérabilités ou l'aide au questionnaire, sont définis avec vous. Lisez aussi notre article SiteLock, la solution contre le piratage.
PCI DSS (Payment Card Industry Data Security Standard) est la norme de sécurité des données de cartes de paiement, publiée par le PCI Security Standards Council. Elle s'impose à toute organisation qui accepte, traite, transmet ou stocke des données de cartes bancaires.
Oui. Confier le paiement à un prestataire conforme réduit fortement votre périmètre, mais vous devez tout de même valider votre conformité, généralement avec le questionnaire SAQ A ou SAQ A-EP, et faire réaliser des scans ASV trimestriels de votre site.
Ce n'est pas une obligation légale, mais une obligation contractuelle : votre banque et les réseaux de cartes l'exigent pour accepter les paiements par carte. Ils fixent aussi les conséquences d'une non-conformité.
PCI DSS v4.0.1, publiée en juin 2024. C'est la seule version active depuis le 31 décembre 2024, et toutes ses exigences sont obligatoires depuis le 31 mars 2025.
Cela dépend de votre mode de paiement : SAQ A si le paiement est entièrement confié à un prestataire (redirection ou iframe), SAQ A-EP si votre site contrôle des éléments de la page de paiement, SAQ D si votre serveur reçoit ou stocke des données de cartes. Votre banque confirme le questionnaire applicable.
C'est un scan de vulnérabilités externe réalisé par un prestataire agréé par le PCI SSC (Approved Scanning Vendor). PCI DSS en exige un au moins tous les trois mois et après toute modification importante ; il doit être réussi, c'est-à-dire sans vulnérabilité de gravité moyenne ou élevée.
Non. La conformité est partagée : HaiSoft infogère et sécurise le serveur, mais le choix du prestataire de paiement, la mise à jour du site et de ses modules, la gestion des accès et le questionnaire annuel restent de votre responsabilité. Notre accompagnement vous aide à couvrir l'ensemble.
SiteLock, partenaire de HaiSoft, est spécialisé dans la sécurité des sites web. Son service de conformité PCI associe des scans de vulnérabilités externes et une aide pour remplir le questionnaire d'auto-évaluation. SiteLock fait partie du groupe Sectigo, agréé ASV par le PCI SSC.
L'accompagnement HaiSoft porte sur la configuration et la sécurisation de la partie serveur. Les autres besoins, comme les scans de vulnérabilités ou l'aide au questionnaire d'auto-évaluation, sont définis avec vous. Il est établi sur devis, selon votre situation.
Contactez-nous via le formulaire de contact ou par téléphone au 0974 078 078 (04 268 03 73 depuis la Belgique). Nous étudions votre mode de paiement, votre serveur et votre site avant de vous proposer un accompagnement.
Mis à jour le
