Notre passerelle de paiement nous parle des niveaux de conformité PCI DSS : à quel niveau appartenons-nous et combien ça coûte ?

Le point crucial, c'est l'architecture de votre formulaire de paiement. Regardez le code source du champ du numéro de carte sur votre site. Si ce champ est dans une iframe chargée depuis le domaine de la passerelle de paiement, c'est très simple. Si vous récupérez les données directement en JavaScript depuis votre propre formulaire, votre périmètre et vos responsabilités augmentent considérablement.

On a fait la démarche l'année dernière pour notre site qui fait 60.000 transactions par an. On est allés sur le portail indiqué par le prestataire et on a rempli le SAQ A (une vingtaine de questions). On a aussi payé 350 dollars par an à une boîte de scan certifiée. Au total, ça nous a pris 2 heures.

Allez dans le tableau de bord de votre processeur de paiement vous trouverez un assistant dans l'onglet conformité. En cochant que vous ne stockez pas les cartes et que vous passez par leur interface externe, le nombre de questions du formulaire sera automatiquement réduit au strict minimum.

Vous ne stockez absolument aucun numéro de carte, date d'expiration ou CVV dans votre base de données, n'est-ce pas ? Si vous écrivez des données bancaires ne serait-ce que par erreur dans vos fichiers de logs, le type de questionnaire et votre responsabilité pénale changent du tout au tout.

les prestataires de paiement envoient ces alertes automatiques chaque année pour faire flipper les gens... franchement si vous utilisez un formulaire intégré, le remplir vous prendra 45 minutes max n'allez surtout pas lâcher des milliers de dollars à un auditeur.

Correction : je me suis trompé sur le chiffre, c'était un peu plus bas.

Il y a plein d'agences qui ont poussé comme des champignons et qui réclament entre 3 000 et 5 000 dollars aux petites entreprises sous couvert de « consulting PCI DSS ». Un petit commerçant qui ne stocke pas les données bancaires sur son propre serveur n'a pas à dépenser un seul centime pour ce genre de prestation.

La logique fondamentale des règles PCI DSS, c'est de réduire à zéro la surface de contact avec les données de carte. Plus vous éloignez les données de paiement de vos serveurs lors de la mise en place de votre infrastructure, plus vous réduisez vos obligations légales ainsi que vos coûts annuels de scan et de conformité.

au premier mail on a paniqué en pensant que notre compte allait fermer et on a appelé tout le monde, jusqu'au comptable mais bref en fait il fallait juste valider une checklist en ligne. ne stressez pas du tout, si vous avez basculé votre système vers une iframe externe, la procédure est vraiment sans prise de tête.

Je me pose aussi la question.

Il y a un point qui m'interpelle. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Trois avis différents sont sortis ils se complètent tous. Commencez par un petit test ne vous engagez pas sur tout d'un coup.

Je suis aussi curieux de savoir si d'autres font autrement.

J'ai travaillé longtemps sur ce sujet. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Je suis aussi curieux de savoir si d'autres font autrement.

Mon regard a changé après avoir vécu cela. Si la double authentification est activée un mot de passe volé seul ne suffit pas.

Si vous ne formalisez pas cela par écrit dès le départ des disputes éclateront plus tard. bon c'est mon avis je ne l'écris pas comme une vérité absolue.

Laissez-moi détailler l'aspect technique. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

Voilà, désolé si je me suis étendu.

je suis entièrement d'accord. bref si vous ne formalisez pas cela par écrit dès le départ des disputes éclateront plus tard.

si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Nous avons vécu presque la même chose l'année dernière. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Pourriez-vous préciser un peu ? Tous ceux qui se pressent sur niveaux de conformité pci dss se heurtent au même obstacle.

L'erreur commise du côté de niveaux de conformité pci dss est généralement réversible, mais coûteuse. Je le note au cas où.

Je parle du point de vue du fournisseur, c'est mon côté. bon si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

Si vous avez des questions, écrivez-moi je répondrai au mieux.