Conformité PCI DSS : sécuriser une boutique en ligne

Pourquoi la conformité PCI DSS concerne votre boutique

Dès que votre site encaisse un paiement par carte, vous entrez dans le champ d'une norme internationale : PCI DSS, pour Payment Card Industry Data Security Standard. Elle a été créée par les grands réseaux de cartes, et elle vise un objectif simple : réduire le risque de vol de données bancaires, que ces données soient stockées, traitées ou seulement transmises par votre système.

Il ne s'agit pas d'une loi, mais d'une obligation contractuelle. Votre banque, appelée acquéreur, vous demande de démontrer chaque année que vous respectez la norme. Une conformité absente ou périmée peut compliquer la relation bancaire et vous exposer aux sanctions prévues par les réseaux de cartes en cas d'incident. La conformité PCI DSS fait donc partie des sujets à traiter sérieusement, même pour une petite structure.

Les risques que la conformité PCI DSS permet d'éviter

Les boutiques en ligne sont une cible privilégiée : un module vulnérable, un mot de passe d'administration faible ou un script malveillant injecté dans une page de paiement suffisent pour capter des numéros de carte. Les conséquences sont lourdes : perte de confiance des clients, blocage de l'encaissement, obligation de notifier, enquête technique et atteinte durable à votre réputation.

Se préparer, c'est surtout adopter des habitudes qui protègent votre activité : serveur à jour, accès contrôlés, journalisation, tests réguliers. Même sans incident, ces pratiques réduisent les interruptions de service et facilitent la reprise en cas de problème.

• Vol de données de cartes via un site vulnérable
• Scripts malveillants dans la page de paiement
• Accès d'administration compromis
• Difficultés avec la banque en cas de non-conformité

Pour qui, et quel questionnaire SAQ s'applique à vous ?

Tous les commerçants sont concernés, quelle que soit leur taille. Les plus gros volumes de transactions font l'objet d'un audit sur site par un évaluateur qualifié. La grande majorité des commerçants valident leur conformité avec un questionnaire d'auto-évaluation, le SAQ, accompagné d'une attestation de conformité transmise à leur banque.

Le questionnaire dépend de la manière dont vous encaissez. Le SAQ A s'applique lorsque le paiement est entièrement confié à un prestataire conforme, par redirection vers sa page ou par formulaire intégré en iframe. Le SAQ A-EP concerne les sites qui contrôlent certains éléments de la page de paiement. Le SAQ D couvre les autres cas, notamment si votre serveur reçoit ou stocke des données de carte. C'est votre banque qui confirme le questionnaire qui vous concerne.

Les étapes pour sécuriser une boutique en ligne et valider PCI DSS

La démarche suit un fil logique, que nous déroulons avec vous. Elle se prépare en amont, puis se maintient dans la durée.

• Déterminer le périmètre : mode de paiement, systèmes concernés, questionnaire applicable, à confirmer avec votre banque
• Analyser le serveur et le site : scan de vulnérabilités, versions des logiciels, configuration TLS, accès d'administration
• Corriger les écarts : mises à jour, durcissement, suppression des services inutiles, authentification renforcée
• Obtenir un scan ASV réussi
• Remplir le questionnaire et l'attestation de conformité, puis les transmettre à votre banque
• Maintenir la conformité : scan chaque trimestre et après chaque changement important, questionnaire chaque année

Ce qui change au quotidien pour votre équipe

La conformité n'est pas un projet ponctuel mais un cycle. Votre équipe prend quelques réflexes : mettre à jour le CMS, le thème et les modules dès qu'un correctif sort, limiter les comptes administrateurs aux personnes qui en ont réellement besoin, activer l'authentification multifacteur et ne jamais conserver de numéro de carte dans un fichier, un e-mail ou une base de données.

Côté responsabilités, HaiSoft intervient sur la partie serveur : mises à jour de sécurité du système et des logiciels serveur, surveillance permanente et hébergement dans un datacenter sécurisé à Tours. Restent à votre charge le choix du prestataire de paiement, la mise à jour de votre site et de ses modules, les comptes d'administration et le questionnaire annuel.

L'accompagnement HaiSoft et SiteLock

HaiSoft, infogérant basé à Orléans, travaille avec SiteLock, spécialiste de la sécurité des sites web, que nous proposons aussi pour la protection antimalware des sites hébergés. SiteLock appartient au groupe Sectigo, dont la solution de scan HackerGuardian est agréée ASV par le PCI SSC. Son service de conformité PCI associe des scans externes de vulnérabilités et une aide au remplissage du questionnaire.

De notre côté, nous configurons et sécurisons la partie serveur au regard des exigences PCI DSS. Les autres besoins, comme les scans ou l'aide au questionnaire, sont définis avec vous après étude de votre mode de paiement, de votre serveur et de votre site. Contactez-nous pour en parler.

Les 12 exigences de la norme PCI DSS v4.0.1

La version en vigueur est la 4.0.1, publiée en juin 2024. Elle est la seule version active depuis le 31 décembre 2024, et ses exigences nouvelles, d'abord facultatives, sont toutes obligatoires depuis le 31 mars 2025. La norme se compose de douze exigences réparties en six objectifs.

Le premier objectif porte sur les réseaux et systèmes : contrôles de sécurité réseau (pare-feu) et configurations sécurisées. Le deuxième protège les données de compte, au repos et pendant leur transmission, avec un chiffrement fort sur les réseaux publics. Le troisième traite des vulnérabilités : protection contre les logiciels malveillants, développement et maintenance sécurisés. Le quatrième encadre les accès : besoin d'en connaître, identification, authentification et accès physique. Le cinquième impose journalisation, surveillance et tests réguliers. Le sixième exige des politiques de sécurité de l'information documentées.

Scans ASV et sécurité technique d'un site e-commerce

L'exigence 11.3.2 demande un scan de vulnérabilités externe au moins tous les trois mois, et après toute modification importante. Il doit être réalisé par un prestataire agréé ASV (Approved Scanning Vendor) et être réussi : aucune vulnérabilité de gravité moyenne ou élevée ne doit subsister. En cas d'échec, on corrige, puis on relance le scan. Les commerçants au SAQ A sont aussi concernés, pour la page qui redirige vers le paiement ou l'intègre.

Sur le plan technique, un scan examine les ports ouverts, les versions des services exposés, la configuration TLS et les failles connues. Il est donc essentiel de fermer les services inutiles, de désactiver les protocoles obsolètes et d'activer un pare-feu applicatif (WAF) devant le site. Depuis la mise à jour du SAQ A de janvier 2025, les exigences sur les scripts de la page de paiement n'y figurent plus, mais le commerçant doit confirmer que son site n'est pas vulnérable aux attaques par script ; elles restent applicables aux SAQ A-EP et D.

Architecture de paiement, données de carte et chiffrement

La meilleure stratégie pour réduire le périmètre consiste à ne jamais laisser les données de carte atteindre votre serveur. En redirigeant vers la page du prestataire ou en intégrant son formulaire en iframe, les numéros saisis par le client ne transitent pas par votre infrastructure. Vous ne devez en aucun cas stocker le cryptogramme visuel après l'autorisation du paiement : c'est interdit.

Tout le site doit être servi en HTTPS avec un certificat valide et une configuration TLS à jour, sans protocole ancien. Le chiffrement protège les identifiants d'administration, les sessions des clients et les échanges avec le prestataire de paiement. Le choix de l'hébergement compte aussi : un serveur isolé, correctement mis à jour et supervisé facilite la démonstration de conformité.

Hébergeur, responsabilité partagée et bonnes pratiques d'exploitation

Pour la norme, votre hébergeur est un prestataire de services tiers. L'exigence 12.8 vous impose de tenir la liste de vos prestataires, de préciser les exigences qui relèvent de chacun et de vérifier chaque année leur statut de conformité. L'exigence 12.9 demande au prestataire de reconnaître par écrit les responsabilités qu'il assume. Héberger son site ne rend donc pas conforme automatiquement.

Au quotidien, appliquez les correctifs sans tarder, sauvegardez régulièrement le serveur, surveillez les logiciels malveillants, limitez les droits des comptes et activez l'authentification multifacteur. Conservez les journaux et les rapports de scan, car ils serviront de preuves lors de la validation annuelle de votre questionnaire par la banque.