PCI DSS est la norme de sécurité fixée par les réseaux de cartes (Visa, Mastercard, Cartes Bancaires). Elle semble réservée aux banques, mais elle concerne toute personne qui accepte les cartes, même une petite boutique avec dix commandes par mois.
Bonne nouvelle : une seule décision vous évite presque toute la charge. Ne manipulez jamais les numéros de carte vous-même. Voici ce que cela donne concrètement pour une boutique en France ou dans l'espace francophone.
Oui, tant que les données de carte ne passent jamais par votre propre serveur. Utilisez un prestataire de paiement certifié avec page de paiement hébergée, activez HTTPS partout, et votre charge PCI reste minimale.
La règle d'or : ne touchez jamais au numéro de carte
Si le client saisit son numéro dans un formulaire de votre site qui envoie les données à votre serveur, vous entrez dans le périmètre des exigences lourdes. Si le numéro va directement du navigateur du client au prestataire de paiement, vous en sortez.
Stripe, PayPlug, Mollie ou Alma proposent des pages de paiement hébergées ou des champs intégrés qui font exactement cela. Votre site ne reçoit qu'un résultat : payé, refusé ou en attente.
Le minimum pour un petit site
Considérez cette liste comme le minimum avant la première vraie commande :
- Un prestataire certifié avec page hébergée ou champs intégrés, pas un formulaire de carte maison.
- HTTPS sur toutes les pages, panier et page de confirmation compris.
- Authentification forte 3D Secure activée, exigée par la DSP2 pour la plupart des paiements en ligne.
- Les moyens de paiement que vos clients attendent : carte, Apple Pay, virement ou prélèvement SEPA, paiement en plusieurs fois.
- Clés API secrètes conservées dans les paramètres du serveur, jamais dans le code de la page ni dans un dépôt public.
Ce qu'il ne faut jamais faire
Ne stockez jamais les numéros de carte ni le cryptogramme à trois chiffres, ni en base de données, ni dans un tableur, un chat ou un e-mail. Ne demandez jamais une photo de carte par WhatsApp : envoyez un lien de paiement.
Protégez aussi les comptes d'administration : mots de passe forts et uniques, double authentification sur le tableau de bord du prestataire, retrait des accès des personnes qui quittent l'équipe.
La paperasse annuelle
Les marchands qui utilisent une page hébergée remplissent en général une fois par an le questionnaire d'auto-évaluation le plus simple, souvent depuis le tableau de bord du prestataire. Les exigences varient selon le prestataire et la banque : vérifiez les conditions en vigueur et demandez ce qu'ils attendent de vous.
Avec Uttra, vous pouvez écrire dans le chat : « Ajoute un paiement avec la page hébergée de mon prestataire, affiche carte et Apple Pay, et garde la clé API dans les paramètres. » Vous prévisualisez le parcours, testez un paiement en mode test, puis publiez.