Les TPE sont-ils piratés ? Les données des cartes bancaires sont-elles vraiment sécurisées ?

si le tpe est vieux change-le prends un neuf. demande à la firme pour la conformité pci-dss ils savent. garde les données chiffrées, reçus tronqués (montre 1234, cache le reste). fais les mises à jour firmware régulièrement...

Exigences PCI-DSS : 1) Segmentation réseau (TPE → réseau de paiement), 2) Règles de pare-feu (ports dédiés au TPE), 3) Chiffrement (AES-256, TLS 1.2+), 4) Contrôle d'accès (mot de passe fort, gestion des clés), 5) Scan de vulnérabilités (trimestriel), 6) Détection d'intrusion, 7) Conservation des données (minimisée), 8) Plan de réponse aux incidents. Logiciel du terminal : vérifiez les mises à jour firmware Verifone, Ingenico. Tokenisation : le processeur de paiement gère les jetons, pas de numéro de carte stocké dans la mémoire du TPE. Risque du mode hors ligne : retards de règlement par lots, risque de chargeback élevé.

n'utilise pas le vieux tpe les terminaux emv 2024 sont pas chers. si tu veux être conforme pci-dss demande à ton processeur de paiement ils t'aideront. garde les données chiffrées et tokenisées — le vrai numéro ne doit apparaître nulle part. si tu vends l'appareil, fais un effacement sécurisé, prends un certificat de garantie...

Couches de sécurité des terminaux de paiement : 1) Matériel (anti-effraction, démarrage sécurisé), 2) Logiciel (OS signé, mises à jour vérifiées), 3) Communication (TLS 1.2+, épinglage de certificat), 4) Données (chiffrement, tokenisation, gestion des clés), 5) Conformité (auto-évaluation PCI-DSS, SAQ, audit). Migration : ancien TPE → nouveau TPE, migration des données (nettoyage de l'ancien appareil). Incident : compromission de carte → notification PCI, notification de violation, analyse médico-légale.

20 ans de gestion de TPE, la plus grosse erreur c'est d'utiliser du vieux matériel. Les firmwares des anciens terminaux ne reçoivent plus de correctifs de sécurité, ils deviennent des cibles pour les malwares. Nouveau terminal (puce + sans contact, tokenisé) + VLAN correct + audit PCI pour l'entreprise = sécurité. Si tu ne stockes pas les données de carte sur la machine, tu ne deviens pas une cible pour les hackers.

Je n'ai aucune expérience en sécurité des TPE, c'est pourquoi je pose la question. du coup si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Bien sûr, cela change si votre situation est différente.

j'ai été soulagé en lisant cette réponse donc ce n'est pas seulement mon cas. prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

avant de décider regardez quelles données vous avez en main.

Chez moi, c'est l'inverse qui s'est passé, c'est pourquoi j'écris. Les décisions hâtives finissent par être corrigées six mois plus tard.

Je le note au cas où.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

À votre place, j'irais par cette voie.

C'est une bonne idée d'avoir ouvert ce sujet.

Il faut y aller étape par étape. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Merci de partager le résultat.

J'aimerais poser une question. Une sauvegarde non testée n'est pas une sauvegarde.

Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion. C'est confirmé par l'expérience.

Enregistré.

Je vais raconter ce qui m'est arrivé, ça pourrait vous servir. Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

Voilà, désolé si je me suis étendu.

Nous avons aussi bloqué au même endroit à une époque. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Je suis aussi curieux de savoir si d'autres font autrement.

Je suis une petite entreprise, laissez-moi expliquer de mon point de vue. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard. Je suis aussi curieux de savoir si d'autres font autrement.

je vais raconter ce qui m'est arrivé, ça pourrait vous servir. genre les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

je le note au cas où.