Qu’est-ce que PCI DSS ? Payment Card Industry Data Security Standard, expliqué
Le standard PCI DSS (Payment Card Industry Data Security Standard) est la norme de sécurité des données qui s’applique à toute organisation stockant, traitant ou transmettant des informations de cartes de paiement. Dès lors que vous acceptez les paiements par carte, elle vous concerne, quelle que soit la taille de votre structure.
Ce standard est géré par le Conseil des normes de sécurité PCI, créé en 2006 par Visa, Mastercard, American Express, Discover et JCB. Il ne s’agit pas d’une loi, mais d’une obligation contractuelle imposée par les réseaux de cartes et les banques acquéreuses, sous peine d’amendes ou, dans les cas les plus graves, de retrait de l’autorisation d’accepter les paiements par carte.
PCI DSS repose sur douze exigences fondamentales, couvrant des aspects tels que la sécurité des réseaux, la protection des données de cartes stockées, le contrôle d’accès, ainsi que la surveillance et les tests réguliers. La version en vigueur est la 4.0.1, publiée par le Conseil en 2024. Les dernières exigences différées de la série 4.x sont devenues obligatoires le 31 mars 2025.
L’impact de la norme sur votre activité dépend de la manière dont vous gérez les données de carte. Une boutique en ligne redirigeant ses clients vers une page de paiement hébergée (comme Stripe Checkout) n’entre jamais en contact avec les numéros de carte, ce qui limite son périmètre de conformité à un simple questionnaire d’auto-évaluation. En revanche, une plateforme stockant ces numéros sur ses propres serveurs doit se soumettre à l’intégralité des exigences.
Définition générale : elle ne remplace pas un accompagnement en matière de conformité.
Pourquoi cette norme compte pour le logiciel sur mesure
L’architecture choisie détermine votre périmètre PCI. Lorsque nous développons des solutions e-commerce, nous veillons à ce que les données de carte restent entièrement en dehors des systèmes du client, grâce à des champs de paiement hébergés et à la tokenisation proposée par le prestataire. Le commerçant est payé, les numéros de carte n’apparaissent jamais dans sa base de données, et les obligations de conformité s’en trouvent allégées.