Conformité PCI — Le gardien des données de carte

PCI signifie Payment Card Industry Data Security Standard — un ensemble de règles mondial créé par Visa, Mastercard, American Express, Discover et JCB pour garantir que les données de carte restent en sécurité partout où elles circulent.

Chaque transaction par carte transporte des informations sensibles — numéros de carte, dates d’expiration, CVV et données du titulaire de la carte. Avant l’existence de PCI DSS, chacun gérait ces données à sa manière. Certains le faisaient de façon sécurisée ; beaucoup ne le faisaient pas. Stocker des numéros de carte complets dans des bases de données en clair ? Courant. Des API de paiement renvoyant des PAN non masqués dans les réponses ? Pas inhabituel. C’était le chaos.

Les violations de données étaient partout, et une seule intégration négligente pouvait exposer des millions de cartes du jour au lendemain. En 2004, les principaux schemes sont finalement intervenus et ont fusionné leurs programmes de sécurité distincts en une norme unique. L’objectif était simple : définir une base mondiale unique pour toute personne qui stocke, traite ou transmet des données de carte. C’est devenu PCI DSS, régi par le PCI Security Standards Council (PCI SSC) — l’épine dorsale de la manière dont les données de carte sont protégées aujourd’hui.

Versions et mises à jour

Comme toute bonne norme de sécurité, PCI DSS évolue aussi vite que les menaces. PCI DSS n’est pas un ensemble de règles figé — c’est une norme vivante. De nouvelles versions sont publiées tous les quelques années pour refléter les technologies émergentes, les nouveaux moyens de paiement et l’évolution des menaces de sécurité. À ce jour, la dernière version est PCI DSS 4.0, publiée en mars 2022, avec la version 4.0.1 publiée en 2024 pour inclure des clarifications et des mises à jour mineures. L’ancienne version 3.2.1 a officiellement pris fin en mars 2025, laissant aux organisations une période de transition pour s’adapter.

Chaque mise à jour introduit généralement des améliorations en matière de chiffrement, d’authentification, de surveillance et de gestion des risques. Par exemple, PCI DSS 4.0 est passé d’une approche par liste de contrôle à un modèle plus flexible, fondé sur les résultats — encourageant une sécurité continue plutôt que des exercices annuels de conformité. Des révisions régulières garantissent que la norme suit le rythme des nouvelles menaces et technologies, de la tokenization et de l’infrastructure cloud aux environnements d’authentification modernes et de DevOps.

Qui doit se conformer

Si vous stockez, traitez ou transmettez des données de carte, PCI DSS s’applique à vous. Cela inclut les marchands, les PSP, les acquéreurs et même les éditeurs de logiciels. La règle générale est simple : plus vous vous rapprochez des données de carte, plus vos obligations sont lourdes.

Les marchands sont répartis en quatre niveaux PCI selon le nombre de transactions qu’ils traitent par an :

• Niveau 1 : Plus de 6 millions de transactions — un audit annuel complet par un Qualified Security Assessor (QSA) est obligatoire
• Niveau 2 : Entre 1 et 6 millions — une auto-évaluation plus des analyses trimestrielles des vulnérabilités
• Niveau 3 : Entre 20 000 et 1 million — une auto-évaluation plus légère, mais toujours sous surveillance
• Niveau 4 : Moins de 20 000 — un reporting minimal, mais les mêmes règles de sécurité s’appliquent toujours

La plupart des petits et moyens marchands remplissent un Self-Assessment Questionnaire (SAQ) et effectuent des analyses trimestrielles via un Approved Scanning Vendor (ASV). Les grands acteurs, en revanche — grands détaillants, processeurs et prestataires de paiement — passent chaque année par des audits sur site et des tests d’intrusion.

Les Payment Service Providers (PSPs), les acquéreurs et les passerelles se situent au sommet de la pyramide. Ils traitent des millions de transactions et stockent souvent des données de carte pour le compte d’autres acteurs, ils doivent donc maintenir une certification PCI DSS de niveau 1, validée chaque année par des QSA externes. Cette certification couvre tout, des API et bases de données aux centres de données, coffres de chiffrement et systèmes de tokenization.

Ce que PCI ne couvre pas

PCI DSS protège les données du titulaire de la carte, pas tous les paiements sur terre. Il ne s’applique pas aux virements bancaires, aux portefeuilles mobiles ni aux moyens de paiement locaux comme TWINT, iDEAL ou Pix — ceux-ci ont leurs propres règles sous PSD2, GDPR ou ISO 20022.

Et voici une idée reçue fréquente : la conformité PCI ne concerne pas la prévention de la fraude. Vous pouvez être parfaitement conforme à PCI et malgré tout traiter une transaction frauduleuse. PCI garantit simplement que les données sensibles sont stockées, manipulées et transmises de manière sécurisée — il sécurise les tuyaux, pas les décisions qui y circulent.

Externalisation et réduction du périmètre

La meilleure façon de gagner au jeu PCI ? Ne pas y jouer trop.

Si vos systèmes ne touchent jamais aux données de carte, vous êtes automatiquement plus en sécurité — et votre périmètre de conformité se réduit considérablement. C’est pourquoi tant de marchands utilisent des pages de paiement hébergées, des iFrames sécurisés ou des SDK mobiles de PSP certifiés. Dans ces configurations, les informations de carte ne transitent jamais par vos serveurs. Le PSP les chiffre, les tokenise et les stocke en toute sécurité — vous ne recevez qu’un token en retour.

Pour les développeurs, cela signifie : ne pas stocker de PAN bruts, ne pas construire votre propre chiffrement et ne pas réinventer un coffre-fort de cartes. Utilisez les outils certifiés qui existent déjà. La conformité PCI est comme les radiations : moins l’exposition est importante, mieux c’est.

Certification au-delà de PCI

PCI DSS est la référence principale, mais ce n’est pas le seul badge du secteur. Le monde des paiements dispose de tout un alphabet de certifications qui travaillent ensemble pour maintenir l’écosystème sécurisé :

• PCI P2PE (Point-to-Point Encryption) : garantit que les données sont chiffrées dès leur saisie dans un terminal jusqu’à leur arrivée chez le processeur.
• PA-DSS / PCI Software Security Framework (SSF) : s’applique aux éditeurs de logiciels qui développent des applications de paiement ou des SDK.
• PCI PIN : régit la manière dont les PIN et les clés cryptographiques sont gérés — y compris ces mystérieuses « key injections » dans les terminaux.
• 3-D Secure & SCA (Strong Customer Authentication) : relèvent de PSD2 en Europe et concernent la vérification de l’utilisateur plutôt que la protection des données.

Chacune de ces normes couvre une partie du puzzle. Ensemble, elles forment le filet de sécurité qui permet à des milliards de transactions de circuler sans fuite d’informations sensibles.

Pourquoi la conformité est importante

La conformité PCI n’est pas facultative. Le non-respect peut entraîner de lourdes amendes de la part des card networks, une atteinte à la réputation, voire la perte de la capacité à traiter des paiements par carte. Mais au-delà des sanctions, c’est une question de confiance. Chaque marchand qui accepte les cartes fait partie d’une promesse plus large : les données des clients sont traitées avec le même soin que leur argent.

L’ironie, c’est que lorsque PCI est bien appliqué, personne ne le remarque — tout comme les paiements eux-mêmes. C’est une sécurité invisible, qui protège discrètement chaque swipe, tap et click.