Qu’est-ce que PCI DSS ? Payment Card Industry Data Security Standard, expliqué
La norme PCI DSS (Payment Card Industry Data Security Standard) est la norme de sécurité de l'information qui s'applique à toute organisation qui stocke, traite ou transmet des données de cartes de paiement. Dès que vous acceptez les paiements par carte, elle vous concerne, quelle que soit votre taille.
La norme est maintenue par le Conseil des normes de sécurité PCI, fondé en 2006 par Visa, Mastercard, American Express, Discover et JCB. Ce n'est pas une loi. C'est une exigence contractuelle que les réseaux de cartes et les banques acquéreuses font respecter, avec des amendes et, dans le pire des cas, la perte de la capacité à accepter les paiements par carte.
PCI DSS s'organise autour de 12 exigences principales, qui couvrent des domaines comme la sécurité réseau, la protection des données de compte stockées, le contrôle d'accès, ainsi que la surveillance et les tests continus. La version actuelle est PCI DSS 4.0.1, publiée par le Council en 2024 ; les dernières exigences à date différée de la série 4.x sont devenues obligatoires le 31 mars 2025.
La part de la norme qui pèse sur vous dépend de la façon dont vous gérez les données de carte. Une boutique en ligne qui redirige les acheteurs vers une page de paiement hébergée (Stripe Checkout, par exemple) ne touche jamais les numéros de carte, ce qui réduit son périmètre de conformité à un court questionnaire d'auto-évaluation. Une plateforme qui stocke les numéros de carte sur ses propres serveurs subit tout le poids de la norme.
Cette page est une définition, pas un conseil de conformité.
Pourquoi c'est important pour le logiciel sur mesure
L'architecture détermine votre périmètre PCI. Quand nous concevons des logiciels e-commerce, nous gardons les données de carte entièrement hors des systèmes du client, avec des champs de paiement hébergés et la tokenisation du prestataire de paiement. La boutique est payée, les numéros de carte n'atterrissent jamais dans sa base de données, et la charge de conformité reste réduite.