Le prestataire de paiement exige la conformité PCI DSS : existe-t-il une checklist, par quoi commencer ?

Le gros piège technique ici, c'est la différence entre iFrame et redirection. Si votre page charge un code JavaScript tiers qui peut être compromis côté navigateur, des attaquants peuvent superposer de faux champs sur l'iFrame. Vérifiez donc bien l'intégrité de tous les scripts externes qui tournent sur vos pages de paiement lors de vos contrôles de sécurité.

Connecte-toi au tableau de bord de ton prestataire, il y a souvent un assistant de conformité intégré. En répondant aux questions il te redirige automatiquement vers le SAQ A. La plupart des questions, c'est du genre « est-ce que vous notez les numéros de carte sur papier ou sur un serveur », les réponses coulent de source. En deux heures c'est plié.

On a eu la même alerte l'an dernier avec 25 000 transactions par an. On a laissé traîner et le prestataire a commencé à nous prélever 49 dollars par mois d'amende pour non-conformité PCI. Dès qu'on l'a vu, on a rempli le SAQ A sur leur portail en 40 minutes, et les prélèvements se sont arrêtés dès le mois suivant.

Tout le monde dit « le SAQ A c'est super simple ça va vite », mais avec la nouvelle version de la norme ils ont ajouté des exigences techniques comme la sécurité des scripts et l'intégrité des pages e-commerce. Donc on ne peut plus juste cocher les cases à l'aveugle, il faut parfois vérifier les hashs de vos scripts.

Ne stockez jamais le cryptogramme (CVV) ni les 16 chiffres de la carte sur votre serveur. Tant que vous respectez ça et que le paiement est déporté, le coût de l'audit est quasi nul, vous avez juste à soumettre le formulaire.

Pour vous simplifier la vie, procédez dans cet ordre : 1) Demandez confirmation écrite à votre prestataire sur le type exact de SAQ requis. 2) Remplissez le formulaire sur leur portail officiel et signez l'attestation de conformité. 3) Configurez les scans de sécurité trimestriels sur votre site si le prestataire l'exige.

On a aussi l'onglet « PCI Self-Assessment » dans notre espace. franchement si on remplit le formulaire nous-mêmes et qu'on coche la mauvaise case sur un point technique est-ce qu'on risque des poursuites ou une amende directe ou c'est juste une vérification déclarative ?

PS : c'est demandé plus bas, j'ai répondu dans le deuxième message.

pas de panique, toutes les boutiques qui grandissent passent par là.. mais les passerelles envoient des rappels jusqu'au dernier moment pour éviter de pénaliser... si tu bloques sur une question en remplissant le questionnaire, passe par leur support en direct, ils te disent direct quelle case cocher.

Résumé rapide pour les nouveaux : Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

C'est confirmé par l'expérience.

je ne savais pas ça. le vrai probllème n'est pas le chiffre, mais la base sur laquelle il est calculé.

je suis aussi curieux de savoir si d'autres font autrement.

C'est globalement vrai, mais il manque un point. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Je vais expliquer comment c'est fait en pratique. Quand on essaie de tout changer en même temps rien ne prend.

Bon courage.

Je partage mon expérience. Le vrai problème n'est pas le chiffre mais la base sur laquelle il est calculé.

J'espère que cela vous sera utile.

j'ai vécu la même chose.

C'est une bonne idée d'avoir ouvert ce sujet.

Merci d'avoir écrit cela, c'est exactement ça. Essayer de faire cela seul est la voie la plus coûteuse.

Corrigez-moi si je me trompe.

La réponse ci-dessus va droit au but. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Si vous grondez les fausses alertes, plus personne ne signalera rien. Corrigez-moi si je me trompe.

Exact.