On encaisse par TPE et en ligne — qu'est-ce que PCI DSS 4.0 exige de nous ?

Pour la partie en ligne, le client tape-t-il son numéro de carte directement sur un formulaire hébergé sur votre site ou est-il redirigé vers la page de paiement 3D Secure de la banque ? Cette nuance change complètement le type de document que vous aurez à remplir.

Les exigences 6.4.3 et 11.6.1 de PCI DSS 4.0 ciblent directement la sécurité des scripts sur les sites e-commerce. Des scripts malveillants injectés sur la page de paiement peuvent siphonner les coordonnées bancaires en sous-marin. Vous devez impérativement justifier et documenter chaque script tiers présent au checkout.

On a reçu le même mail il y a deux mois. On fait 40.000 transactions par an. Une boîte de conseil nous demandait 35.000 TL pour gérer ça. On a fait le point avec la banque : comme on est en paiement par redirection, remplir le SAQ-A suffisait amplement. On a complété le document en interne en 3 jours, envoyé, et c'était validé.

si vous gardez pas les numeros de cb en base y a pas de quoi paniquer. les banques envoient ces mails a tout le monde en auto pour la conformite, tu remplis bien le formulaire tu renvoies et le dossier est clos.

Correction : je me suis trompé sur le chiffre, c'était un peu plus bas.

Les départements sécu des banques ont la fâcheuse habitude d'envoyer des e-mails types en traitant chaque boutique comme si c'était un géant du e-commerce. Ne courez pas acheter un audit à plusieurs milliers de liras ; commencez par faire confirmer par écrit à votre conseiller si le SAQ-A suffit.

En remplissant le formulaire, vous risquez surtout de bloquer sur ces 3 points : 1) La complexité et le renouvellement régulier des mots de passe des serveurs et du panneau d'administration, 2) L'activation de la double authentification pour accéder au panneau d'administration, 3) La liste de suivi des numéros de série des terminaux de paiement physiques (TPE).

Dès demain, notez dans un tableau les numéros de série situés sous les TPE de vos boutiques physiques. Créez une simple checklist hebdomadaire où vous signez pour confirmer qu'il n'y a « aucune altération physique » ; vous répondrez directement aux exigences de l'audit.

Pas de panique, même si PCI DSS 4.0 semble très complexe au début, les guides d'auto-évaluation conçus pour les petites entreprises sont très clairs. Téléchargez le document SAQ-A sur le site officiel, faites-le traduire en turc et suivez les étapes : vous aurez bouclé ça en une demi-journée.

je vais défendre l'opposé ne m'en veuillez pas. les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

si vous avez des questions, écrivez-moi je répondrai au mieux.

C'est globalement vrai, mais il manque un point. Si c'est une première, commencez petit, l'échelle viendra plus tard.

Quand on décide sans mesurer, on revient toujours au même point. Je le note au cas où.

Je vais défendre l'opposé ne m'en veuillez pas. Le vrai problème n'est pas le chiffre mais la base sur laquelle il est calculé.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Le point le plus souvent négligé concernant exigences PCI DSS 4.0 est : La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Corrigez-moi si je me trompe.

Chez nous aussi.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Je suis aussi curieux de savoir si d'autres font autrement.

Je suis une petite entreprise, laissez-moi expliquer de mon point de vue. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Corrigez-moi si je me trompe.

Je partage mon expérience. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

C'est confirmé par l'expérience.

J'y pensais aussi. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Merci d'avoir écrit cela, c'est exactement ça. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Si c'est une première, commencez petit, l'échelle viendra plus tard. Bien sûr, cela change si votre situation est différente.