Pourquoi le périmètre dépend du trajet des données de carte
La norme PCI DSS (Payment Card Industry Data Security Standard) vise à protéger les données porteur de carte partout où elles sont stockées, traitées ou transmises. Pour un marchand, le poids concret de cette norme n'est pas le même selon l'activité. Tout dépend de savoir lesquels de vos systèmes entrent réellement en contact avec un numéro de carte, une date d'expiration ou un CVV lors d'une transaction. Plus votre propre infrastructure est impliquée dans ce parcours, plus elle entre dans le périmètre de la norme PCI DSS.
Lorsque vous ne voyez jamais le numéro de carte
Certains marchands ne voient jamais le numéro de carte brut transiter par leurs propres serveurs. L'acheteur saisit ses données de carte sur une page hébergée et sécurisée par un prestataire de paiement, et les systèmes du marchand ne reçoivent jamais qu'un résultat (approuvé, refusé) et une référence de transaction. Dans ce modèle, l'environnement du marchand reste largement en dehors de la partie de la norme PCI DSS relative au stockage ou à la transmission des données de carte, puisque ces données n'y parviennent tout simplement jamais.
Redirections et pages de paiement hébergées
Une façon courante pour les marchands d'y parvenir consiste à rediriger l'acheteur vers une page de paiement hébergée, comme celle proposée par omwio, plutôt que de concevoir eux-mêmes un formulaire de saisie de carte. L'acheteur est redirigé vers la page hébergée, y effectue le paiement, puis revient sur le site du marchand une fois la transaction terminée. Comme le site du marchand ne collecte ni ne manipule jamais les champs de carte, ce schéma laisse une grande partie des exigences PCI DSS hors de ses propres systèmes.
Lorsque vos systèmes traitent ou stockent directement les données de carte
D'autres marchands conçoivent leur propre formulaire de saisie de carte, font transiter les données de carte par leurs propres serveurs avant qu'elles n'atteignent un acquéreur, ou conservent les données de carte pour un usage ultérieur. Chacun de ces choix fait entrer les systèmes du marchand dans la partie des données de carte que la norme PCI DSS encadre le plus directement : le stockage, le traitement et la transmission. Dans cette configuration, les personnes, processus et systèmes qui touchent aux données de carte lors d'une transaction, ainsi que tout lieu où ces données sont stockées, doivent être intégrés au périmètre de conformité du marchand.
Garder un périmètre de conformité restreint
Quelle que soit la taille de l'entreprise, le principe général reste le même : moins vos propres systèmes voient de données de carte brutes, et plus brièvement un système les détient, plus restreinte est la partie de votre activité pleinement soumise aux exigences PCI DSS. Recourir à la tokenisation, à des pages de paiement hébergées ou au parcours de paiement propre d'un prestataire sont autant de moyens pour les marchands de réduire l'implication directe de leur environnement avec les numéros de carte, plutôt que de concevoir et de maintenir eux-mêmes cette gestion.
Échangez avec votre acquéreur et votre partenaire de paiement
Les obligations PCI DSS, les exigences de validation et leur application à une activité donnée se déterminent en définitive entre le marchand, son acquéreur et, le cas échéant, un évaluateur qualifié. Cet article offre un repère général sur la façon dont le parcours des données de carte modifie la nature de la question, mais ne remplace pas cet échange. Avant de décider comment votre parcours de paiement gère les données de carte, il est utile de demander directement à votre acquéreur ou prestataire de paiement ce que ce choix implique pour vos obligations de conformité spécifiques.
- Les données de carte n'atteignent jamais vos serveurs : votre périmètre PCI DSS est réduit.
- Les acheteurs sont redirigés vers une page de paiement hébergée : votre site reste hors du parcours des données de carte.
- Vos propres systèmes capturent, acheminent ou stockent des numéros de carte : ces systèmes font partie de votre périmètre de conformité.
- Vérifiez toujours vos obligations précises auprès de votre acquéreur ou d'un évaluateur qualifié.
