Les pertes liées à la fraude aux paiements par carte ont dépassé 33 milliards de dollars dans le monde en 2025, et le commerce électronique représente 73 % de toutes les fraudes par carte.
Fait partie de notre série Conformité et réglementation
Lire le guide completLes pertes liées à la fraude aux paiements par carte ont dépassé 33 milliards de dollars dans le monde en 2025, et le commerce électronique représente 73 % de toutes les fraudes par carte. La norme de sécurité des données de l'industrie des cartes de paiement (PCI-DSS) existe pour lutter contre ce problème, et la version 4.0, devenue obligatoire en mars 2025, a introduit de nouvelles exigences importantes que de nombreuses entreprises de commerce électronique s'efforcent encore de mettre en œuvre.
La bonne nouvelle : si vous utilisez une solution de paiement hébergée comme Shopify Payments ou Stripe Checkout, votre portée PCI est considérablement réduite. La mauvaise nouvelle : il n’est jamais nul. Chaque entreprise de commerce électronique qui accepte les paiements par carte est tenue à des obligations PCI-DSS, même si elle ne voit jamais de numéro de carte.
Points clés à retenir
- PCI-DSS v4.0 introduit des approches de validation personnalisées et une MFA obligatoire pour tout accès aux données des titulaires de carte
- La tokenisation élimine 80 à 90 % de la portée PCI en remplaçant les numéros de carte par des jetons irréversibles
- La sélection SAQ détermine votre fardeau de conformité --- choisir le bon SAQ vous fait gagner des mois de travail
- Les analyses ASV trimestrielles et les tests d'intrusion annuels sont des exigences non négociables
PCI-DSS v4.0 : ce qui a changé
PCI-DSS v4.0, publié en 2022 et totalement obligatoire depuis le 31 mars 2025, représente la mise à jour la plus importante de la norme depuis plus d'une décennie. Les principaux changements affectent toutes les entreprises de commerce électronique.
Changements majeurs dans la v4.0
| Changement | Impact | Date limite |
|---|---|---|
| Approche personnalisée autorisée | Les entreprises peuvent concevoir des contrôles alternatifs qui répondent à leurs objectifs | Actif maintenant |
| Analyse des risques ciblée | Fréquence basée sur le risque pour certains contrôles (par exemple, revues de journaux) | Actif maintenant |
| Authentification améliorée | MFA requis pour TOUS les accès à CDE (pas seulement à distance) | mars 2025 |
| Examen automatisé des journaux | Mécanismes automatisés pour détecter les anomalies dans les journaux d'audit | mars 2025 |
| Gestion des scripts | Suivi de l'inventaire et de l'intégrité des scripts des pages de paiement | mars 2025 |
| Prévention de l'écrémage du commerce électronique | Mécanismes pour détecter les modifications non autorisées des pages de paiement | mars 2025 |
| Exigences de mot de passe ciblées | Minimum 12 caractères (ou 8 si le système ne peut pas en prendre en charge 12) | mars 2025 |
| Cryptage du SAD avant autorisation | Les données d'authentification sensibles doivent être cryptées si elles sont stockées avant l'autorisation | mars 2025 |
L'exigence de gestion des scripts
L'exigence 6.4.3 a un impact particulièrement important pour le commerce électronique : vous devez maintenir un inventaire de tous les scripts sur les pages de paiement et mettre en œuvre un mécanisme pour détecter les modifications non autorisées. Cela signifie :
- Chaque fichier JavaScript chargé sur votre page de paiement doit être documenté
- Les en-têtes de la politique de sécurité du contenu (CSP) doivent restreindre les sources de script
- Les hachages d'intégrité des sous-ressources (SRI) doivent vérifier le contenu du script
- Un mécanisme de surveillance doit alerter sur les modifications de script non autorisées
Cette exigence cible directement les attaques de type Magecart, dans lesquelles les attaquants injectent des scripts malveillants dans les pages de paiement pour voler les données des cartes.
Comprendre la tokenisation
La tokenisation est la technologie la plus efficace pour réduire la portée du PCI. Il remplace les données sensibles de la carte par un jeton non sensible qui n'a aucune valeur exploitable en cas de violation.
Comment fonctionne la tokenisation
- Le client saisit les détails de sa carte sur le formulaire hébergé par le fournisseur de paiement (jamais sur votre serveur)
- Le fournisseur de paiement crée un jeton représentant la carte
- Votre système stocke uniquement le jeton (par exemple,
tok_1MqLkJLkdIwHu7ixUAuBjz5Y) - Pour les frais ultérieurs, vous envoyez le token au prestataire de paiement
- Le fournisseur mappe le token aux détails réels de la carte et traite le paiement.
Tokenisation et chiffrement
| Aspects | Tokenisation | Cryptage |
|---|---|---|
| Réversibilité | Non réversible (le jeton est aléatoire) | Réversible avec la clé |
| Portée PCI | Supprime les systèmes de la portée | Les systèmes restent concernés |
| Gestion des clés | Aucune clé à gérer | Gestion des clés requise |
| Performances | Basé sur la recherche, rapide | Basé sur le calcul, légèrement plus lent |
| Impact de la violation | Les jetons sont inutiles pour les attaquants | Les données cryptées sont précieuses si la clé est compromise |
Implémentation avec les principales plateformes
Shopify : La tokenisation est entièrement gérée par Shopify Payments. Les commerçants ne touchent jamais aux données des cartes. La conformité PCI est couverte par la certification Shopify niveau 1. Vous êtes responsable du SAQ-A.
Stripe : Utilisez Stripe Elements ou Stripe Checkout pour garantir que les données de la carte vont directement aux serveurs de Stripe. Votre backend ne reçoit que des jetons. Cela vous qualifie pour le SAQ-A ou le SAQ-A-EP selon la mise en œuvre.
Intégration de paiement personnalisée avec Odoo : Si vous créez une solution de commerce électronique personnalisée sur Odoo, intégrez-la à une passerelle de paiement conforme à la norme PCI (Stripe, Adyen, Authorize.net) en utilisant leurs champs hébergés ou leur approche de redirection. Ne traitez jamais les données brutes de la carte sur votre serveur Odoo.
Guide de sélection SAQ
Le questionnaire d'auto-évaluation (SAQ) que vous devez remplir dépend de la façon dont vous traitez les données de la carte. Choisir le bon SAQ --- et concevoir votre flux de paiement pour bénéficier d'un SAQ plus simple --- est la décision PCI la plus importante que vous prendrez.
Guide de sélection des types de SAQ
| Type SAQ | À qui s'adresse-t-il | Nombre de questions | Exigences |
|---|---|---|---|
| SAQ-A | Entièrement externalisé (page de paiement/iframe hébergée) | ~25 | Les données de carte ne touchent jamais vos systèmes |
| SAQ-A-EP | Paiement externalisé mais votre site contrôle la page | ~140 | Page de paiement sur votre domaine, données envoyées directement au processeur |
| SAQ-B | Mentions légales ou terminal autonome uniquement | ~40 | Pas de stockage électronique des données des titulaires de carte |
| SAQ-B-IP | Terminaux PTS autonomes avec connexion IP | ~80 | Le terminal se connecte au processeur via le réseau |
| SAQ-C | Application de paiement connectée à internet | ~160 | L'application traite les cartes mais ne stocke pas les données |
| SAQ-C-VT | Terminal virtuel (saisie manuelle, basé sur le Web) | ~80 | Une transaction à la fois, pas de stockage électronique |
| SAQ-D | Tous les autres (stocke, traite ou transmet) | ~330 | Évaluation PCI complète requise |
Flux de décision
Redirigez-vous les clients vers une page de paiement hébergée (Shopify Checkout, Stripe Checkout, PayPal) ? Si oui, SAQ-A.
Intégrez-vous le formulaire du fournisseur de paiement sur votre page (Stripe Elements, Braintree Hosted Fields) ? Si oui, SAQ-A-EP. Votre page héberge le formulaire, mais les données de la carte vont directement au fournisseur.
Est-ce que les données de carte touchent parfois votre serveur, même temporairement ? Si oui, SAQ-D. Il s’agit de l’évaluation complète et vous devriez plutôt envisager sérieusement de refaire votre architecture pour vous qualifier au SAQ-A ou au SAQ-A-EP.
Implications en termes de coûts
| Type SAQ | Coût annuel typique de conformité | Niveau d'effort |
|---|---|---|
| SAQ-A | 2 000 $ - 5 000 $ | Jours |
| SAQ-A-EP | 10 000 $ - 30 000 $ | Semaines |
| SAQ-C | 20 000 $ - 50 000 $ | Semaines ou mois |
| SAQ-D | 50 000 $ - 300 000 $+ | Mois |
La décision d'architecture d'utiliser des formulaires de paiement hébergés au lieu de traiter vous-même les données de carte peut permettre d'économiser entre 50 000 et 250 000 dollars par an en coûts de conformité.
3D Secure 2.0 : transfert de responsabilité et prévention de la fraude
3D Secure 2.0 (3DS2) ajoute une couche d'authentification aux transactions par carte en ligne. Lorsqu’elle est correctement mise en œuvre, elle transfère la responsabilité en cas de fraude du commerçant vers l’émetteur de la carte.
Comment fonctionne 3DS2
- Le client initie le paiement sur votre site
- Votre prestataire de paiement envoie les données de transaction à l'émetteur de la carte
- Le moteur de risque de l'émetteur évalue la transaction (empreinte digitale de l'appareil, historique de la transaction, montant)
- Flux fluide : les transactions à faible risque sont authentifiées silencieusement (aucune action du client n'est nécessaire)
- Flux de défis : Les transactions à haut risque nécessitent une authentification supplémentaire (biométrique, OTP, confirmation d'application)
- Le résultat de l'authentification est renvoyé et le paiement est traité
Avantages 3DS2
- Transfert de responsabilité : La responsabilité en matière de fraude est transférée à la banque émettrice pour les transactions authentifiées
- Fraude réduite : 3DS2 réduit les taux de fraude de 40 à 60 % par rapport aux transactions non authentifiées.
- Meilleure UX : L'authentification sans friction signifie que 85 à 95 % des transactions ne nécessitent aucune action supplémentaire du client
- Conformité réglementaire : L'authentification forte du client (SCA) PSD2 nécessite 3DS2 pour les transactions dans l'UE
Considérations relatives à la mise en œuvre
- Activez 3DS2 via votre fournisseur de paiement (Stripe, Adyen et la plupart des fournisseurs le prennent en charge de manière native)
- Configurez des seuils d'authentification basés sur le risque : appliquez 3DS2 aux transactions à plus haut risque tout en exemptant celles de faible valeur ou à faible risque.
- Surveillez les taux d'authentification : si trop de transactions sont contestées, examinez vos signaux de risque
- Testez minutieusement les flux sans friction et les flux de défi avant de les mettre en ligne
Analyse des vulnérabilités et tests d'intrusion
PCI-DSS nécessite à la fois une analyse automatisée des vulnérabilités (trimestrielle) et des tests d'intrusion manuels (annuel) pour tous les environnements concernés.
Analyses ASV trimestrielles
Un fournisseur d'analyses agréé (ASV) doit effectuer des analyses de vulnérabilité externes chaque trimestre. Exigences :
- Les analyses doivent couvrir toutes les adresses IP et domaines externes dans l'environnement de données du titulaire de carte (CDE).
- Toutes les vulnérabilités de haute gravité (CVSS 4.0+) doivent être corrigées et réanalysées avant la réussite de l'analyse.
- Les rapports d'analyse de réussite doivent être conservés à des fins d'audit.
- ASV courants : Qualys, Tenable, SecurityMetrics, Trustwave
Tests d'intrusion annuels
L’exigence 11.4 impose des tests d’intrusion annuels :
- Contrôles de segmentation du réseau (si utilisés pour réduire la portée)
- Périmètre extérieur du CDE
- Systèmes internes au CDE
- Tests au niveau application des applications de paiement
Nouveau dans la version 4.0 : Les tests d'intrusion doivent désormais vérifier explicitement que les contrôles de segmentation fonctionnent et que le CDE est correctement isolé du reste du réseau.
Surveillance continue
Au-delà des tests trimestriels et annuels, PCI-DSS v4.0 met l'accent sur une surveillance continue :
- Surveillance de l'intégrité des fichiers (FIM) sur les fichiers système critiques et les scripts des pages de paiement
- Systèmes de détection/prévention des intrusions (IDS/IPS) aux limites du réseau CDE
- Examen automatisé des journaux pour la détection des anomalies (nouvelle exigence v4.0)
- Alerte en temps réel pour les tentatives d'accès non autorisées
Construire une architecture de commerce électronique conforme à la norme PCI
L'approche la plus efficace en matière de conformité PCI consiste à minimiser la portée via des décisions d'architecture.
Architecture recommandée
Niveau 1 : page de paiement (portée minimale). Utilisez des champs de paiement hébergés (Stripe Elements, Adyen Drop-in) intégrés dans un iframe sur votre page de paiement. Les données de carte circulent directement du navigateur du client vers le prestataire de paiement. Votre serveur ne le voit jamais.
Niveau 2 : serveur d'applications (hors champ d'application). Votre application de commerce électronique (Shopify, Odoo, custom) gère la gestion des commandes, l'inventaire et les données client. Il communique avec le fournisseur de paiement uniquement via des jetons.
Niveau 3 : Stockage des données (hors de portée des données de carte). Votre base de données stocke les détails des commandes, les informations client et les jetons de paiement --- mais jamais les numéros de carte, les CVV ou les dates d'expiration.
Segmentation du réseau
Si une partie de votre infrastructure traite les données des cartes, la segmentation du réseau est essentielle :
- Isolez le CDE dans un segment de réseau distinct (VLAN, sous-réseau ou VPC)
- Implémenter des règles de pare-feu qui limitent le trafic vers et depuis le CDE
- Surveiller tout le trafic traversant la limite de segmentation
- Tester les contrôles de segmentation lors des tests d'intrusion
Pour obtenir des conseils complets sur l'architecture de conformité qui s'étendent au-delà de PCI-DSS, consultez notre manuel de conformité d'entreprise.
Questions fréquemment posées
Ai-je besoin d'être conforme à la norme PCI si je vends uniquement sur Shopify ?
Oui, mais votre portée est minime. Shopify est un fournisseur de services certifié PCI-DSS niveau 1, ce qui signifie que Shopify s'occupe du gros du travail. Cependant, vous êtes toujours responsable de remplir le SAQ-A chaque année et de maintenir des pratiques de sécurité de base : mots de passe forts, MFA sur votre administrateur Shopify, ne pas stocker les données de carte en dehors de Shopify et former le personnel à la sécurité.
Que se passe-t-il si mon analyse ASV trimestrielle échoue ?
Vous avez la possibilité de corriger les vulnérabilités identifiées et de demander une nouvelle analyse. Il n'y a aucune pénalité en cas d'échec d'une analyse, mais uniquement en cas de non-réussite d'une analyse dans la fenêtre trimestrielle. Cependant, si vous échouez systématiquement aux analyses et ne pouvez pas démontrer votre conformité, votre banque acquéreuse peut augmenter vos frais de traitement, exiger une évaluation plus stricte ou, dans des cas extrêmes, résilier votre compte marchand.
La conformité PCI est-elle requise par la loi ?
PCI-DSS n'est pas une réglementation gouvernementale --- c'est une exigence contractuelle des marques de cartes (Visa, Mastercard, American Express, Discover, JCB). La conformité est assurée par le biais de votre accord marchand avec votre banque acquéreuse. Le non-respect peut entraîner des amendes de la part des marques de cartes (5 000 $ à 100 000 $/mois), une augmentation des frais de transaction et une responsabilité en cas de transactions frauduleuses. Certaines juridictions (Nevada, Minnesota, Washington) ont promulgué des lois intégrant les exigences PCI-DSS.
Quel est le lien entre PCI-DSS et RGPD ?
PCI-DSS et RGPD se chevauchent dans des domaines tels que le contrôle d'accès, le chiffrement et la réponse aux incidents, mais leurs objectifs sont différents. Le PCI-DSS protège spécifiquement les données des cartes de paiement, tandis que le RGPD protège toutes les données personnelles des résidents de l'UE. Un numéro de carte de paiement est également une donnée personnelle au sens du RGPD, vous devez donc vous conformer aux deux. Consultez notre guide de comparaison sur la confidentialité des données pour en savoir plus sur la manière dont les différentes réglementations interagissent.
Quelle est la prochaine étape
La conformité PCI-DSS n'est pas facultative pour toute entreprise qui accepte les paiements par carte. La bonne nouvelle est que les plateformes de paiement modernes ont considérablement simplifié la tâche en gérant en votre nom les aspects les plus sensibles du traitement des données de carte. Votre travail consiste à choisir la bonne architecture, à compléter le SAQ approprié, à maintenir des pratiques de sécurité continues et à rester à jour à mesure que la norme évolue.
ECOSIRE aide les entreprises de commerce électronique à créer dès le départ des architectures de paiement conformes à la norme PCI. Nos implémentations Shopify tirent parti de la certification de niveau 1 de Shopify pour une portée PCI minimale, et nos intégrations Odoo ERP utilisent des flux de paiement tokenisés qui maintiennent vos systèmes hors de la portée PCI. Contactez-nous pour une évaluation de la sécurité des paiements.
Publié par ECOSIRE — aider les entreprises à évoluer grâce à des solutions basées sur l'IA dans Odoo ERP, Shopify eCommerce et OpenClaw AI.
Rédigé par
ECOSIRE TeamRédaction technique
L'équipe de rédaction technique d'ECOSIRE traite d'Odoo ERP, de l'e-commerce avec Shopify, des agents IA, de l'analytique avec Power BI, de l'automatisation avec GoHighLevel et des bonnes pratiques du logiciel d'entreprise. Nos guides aident les entreprises à prendre des décisions technologiques éclairées.
ECOSIRE
Faites évoluer votre boutique Shopify
Services de développement, d'optimisation et de migration personnalisés pour le commerce électronique à forte croissance.
Articles connexes
Génération de contenu IA pour le commerce électronique : descriptions de produits, référencement et plus
Faites évoluer le contenu de commerce électronique avec l'IA : descriptions de produits, balises méta SEO, copie d'e-mails et réseaux sociaux. Cadres de contrôle qualité et guide de cohérence de la voix de la marque.
Tarification dynamique basée sur l'IA : optimisez vos revenus en temps réel
Mettez en œuvre une tarification dynamique par l'IA pour optimiser les revenus grâce à une modélisation de l'élasticité de la demande, à la surveillance des concurrents et à des stratégies de tarification éthiques. Guide d'architecture et de retour sur investissement.
Détection de fraude par IA pour le commerce électronique : protégez vos revenus sans bloquer les ventes
Mettez en œuvre une détection de fraude par IA qui détecte plus de 95 % des transactions frauduleuses tout en maintenant les taux de faux positifs en dessous de 2 %. Scoring ML, analyse comportementale et guide du retour sur investissement.
Plus de Conformité et réglementation
Cybersécurité pour le commerce électronique : protégez votre entreprise en 2026
Guide complet de cybersécurité du commerce électronique pour 2026. PCI DSS 4.0, configuration WAF, protection contre les robots, prévention de la fraude aux paiements, en-têtes de sécurité et réponse aux incidents.
ERP pour l'industrie chimique : sécurité, conformité et traitement par lots
Comment les systèmes ERP gèrent les documents FDS, la conformité REACH et GHS, le traitement des lots, le contrôle qualité, l'expédition des matières dangereuses et la gestion des formules pour les entreprises chimiques.
ERP pour le commerce import/export : multidevises, logistique et conformité
Comment les systèmes ERP gèrent les lettres de crédit, les documents douaniers, les incoterms, les comptes de résultat multidevises, le suivi des conteneurs et le calcul des droits pour les sociétés commerciales.
Reporting développement durable et ESG avec ERP : Guide de conformité 2026
Naviguez dans la conformité des rapports ESG en 2026 avec les systèmes ERP. Couvre les émissions CSRD, GRI, SASB, Scope 1/2/3, le suivi du carbone et la durabilité Odoo.
Liste de contrôle pour la préparation à l'audit : préparer vos livres
Liste de contrôle complète de préparation à l'audit couvrant la préparation des états financiers, les pièces justificatives, la documentation sur les contrôles internes, les listes PBC de l'auditeur et les conclusions d'audit courantes.
Guide australien de la TPS pour les entreprises de commerce électronique
Guide complet de la TPS australienne pour les entreprises de commerce électronique couvrant l'enregistrement ATO, le seuil de 75 000 $, les importations de faible valeur, le dépôt BAS et la TPS pour les services numériques.