Le prestataire de paiement demande une certification PCI-DSS — c'est vraiment obligatoire, ça coûte combien ?

Rien d'alarmant. Si les numéros de carte ne passent jamais par votre serveur, les audits hors de prix ne vous concernent pas. Ouvrez le formulaire SAQ A : aux questions demandant si vous traitez les données bancaires, vous cochez que c'est délégué au prestataire et vous validez. On renouvelle ça en 15 minutes chaque année.

La nuance technique est essentielle : si le formulaire est sur votre site mais que les données partent en arrière-plan directement vers l'API du prestataire, il faut le SAQ A-EP et des scans de vulnérabilités trimestriels. Mais si vous utilisez une vraie redirection ou un iFrame, seul le SAQ A basique est requis, sans obligation de scan externe.

On a reçu la même alerte l'an dernier, des boîtes d'audit nous demandaient 4 000 €. On a contacté le support de notre prestataire qui nous a renvoyés vers leur portail partenaire. On a payé 60 € par an d'accès, rempli le questionnaire SAQ A de 20 questions et c'était validé.

Appelez direct le support de votre prestataire. Dites-leur que vous êtes en redirection et demandez comment soumettre le SAQ A depuis l'interface. Ils vont vous envoyer vers leur page de validation en ligne, en 30 min c'est réglé.

Récapitulatif des étapes : 1) Vérifiez votre mode d'intégration (redirection ou API ?). 2) Identifiez le bon formulaire (très probablement SAQ A). 3) Remplissez l'assistant sur le portail du prestataire. 4) Enregistrez l'Attestation de Conformité générée.

on avait eu le meme mail on a paniqué et contacté le support direct... au final c'était juste 3 questions a cocher sur leur site puis du coup payez rien du tout faites le depuis votre compte client.

Les prestataires rédigent souvent ces e-mails sur un ton très alarmiste, comme si un auditeur allait débarquer demain matin. Le but réel est souvent de vous vendre un abonnement annuel sur leurs portails partenaires. Pas de panique, ne prenez surtout pas de consultant externe pour ça.

Même si les données de carte bancaire ne sont pas stockées, la sécurité du serveur hébergeant votre site reste cruciale lors de la redirection du porteur de carte. Par conséquent, même au niveau SAQ A, cette obligation est imposée par les réseaux de cartes internationaux. Je vous conseille de finaliser la déclaration dans les délais impartis.

Je me permets une petite mise en garde. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

Si vous écrivez le résultat ici cela aidera aussi d'autres personnes.

Exact.

Chez nous aussi. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je ne suis pas d'accord sur ce point. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine. Corrigez-moi si je me trompe.

Je ne savais pas ça. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Nous avons vécu presque la même chose l'année dernière. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Si c'est une première, commencez petit, l'échelle viendra plus tard. Bien sûr cela change si votre situation est différente.

Oui, la situation est exactement ainsi concernant certification pci dss. Le temps que vous mettez à détecter un problème détermine directement son coût.

Je le note au cas où.

Je vais raconter ce qui m'est arrivé, ça pourrait vous servir. Tous ceux qui se pressent sur certification pci dss se heurtent au même obstacle.

Je suis aussi curieux de savoir si d'autres font autrement.

Vous avez raison.

Je vais résumer ce qui a été dit jusqu'ici. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.