Le prestataire de paiement exige la conformité PCI DSS — SAQ-A suffit ou on va passer à l'audit ?

Vous pouvez avancer étape par étape : 1) Téléchargez le document PCI DSS AOC à jour depuis le panneau de contrôle de votre prestataire de paiement. 2) Procurez-vous le document SAQ-A à jour sur le site officiel du PCI Security Standards Council. 3) Répondez aux questions, faites signer par votre dirigeant, puis téléchargez le formulaire sur le portail de votre prestataire de paiement.

On tourne à 1,5 million d'EUR de volume annuel, on a reçu une notification similaire. Au début, des consultants nous ont aussi sorti des devis d'audit autour de 5.000 EUR. On a discuté avec le support technique de notre prestataire de paiement, on a confirmé qu'on utilisait un iframe, on a rempli le formulaire SAQ-A nous-mêmes et ça a été validé. Coût pour nous : zéro.

Si vous utilisez un iframe sur votre site, faites gaffe aux nouvelles exigences apportées par PCI DSS v4.0. Vous devez désormais vérifier l'intégrité et l'autorisation de tous les scripts JavaScript tiers qui tournent sur la page de paiement. Même en SAQ-A, ces contrôles ont été rendus obligatoires pour parer au risque de script malveillant pouvant contaminer l'iframe de paiement depuis la page hôte.

Votre prestataire de paiement utilise quelle méthode d'intégration exactement ? Par exemple, une redirection directe, un iframe inline, ou une méthode qui transforme les données de carte en token via une bibliothèque JavaScript ? Si vous faites de la tokenisation en JavaScript, la banque considère parfois que ça relève du SAQ A-EP.

Pour clarifier votre situation, vérifiez les points suivants : 1) Le code source du champ de saisie de la carte est-il bien chargé depuis le nom de domaine de la société de paiement ? 2) Y a-t-il le moindre paramètre de requête contenant un numéro de carte ou un CVV qui passe dans les logs de votre serveur ? 3) Votre niveau marchand est-il bien enregistré en Niveau 4 sur le tableau de bord de votre prestataire de paiement ? Si ces trois points sont bons, aucun audit externe n'est nécessaire.

Les services de gestion des risques des établissements de paiement envoient parfois des e-mails types automatiques en exigeant un audit QSA comme si vous étiez un commerçant de Niveau 1. Ne donnez pas votre argent à des boîtes externes sans vous poser de questions. L'année dernière, on a reçu un courrier similaire, on a répondu : « Nous ne stockons aucune donnée de carte sur notre système nous fournissons le SAQ-A » et le dossier a été clos.

Le SAQ-A est largement suffisant pour votre configuration. Avec un chiffre d'affaires annuel de 350 000 euros, il n'y a aucune base légale qui vous oblige à passer par un audit indépendant. Ne vous faites pas avoir par les devis exorbitants des sociétés QSA, remplissez le formulaire vous-même et envoyez-le.

on a eu la même frayeur il y a deux ans le ton de l'e-mail était tellement agressf que j'ai cru qu'on allait se prendre une grosse amende. bon en se posant à tête reposée pour lire le formulaire, c'était plié en une demi-journée. dans la documentation du prestataire de paiement c'était même expliqué quelle case cocher pour chaque question.

Merci pour votre retour.

Le point le plus souvent négligé concernant conformité pci dss est : Une sauvegarde non testée n'est pas une sauvegarde.

Je suis d'accord en partie, pas en partie. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

À votre place, j'irais par cette voie.

On en parle beaucoup, mais chez nous cela ne s'est jamais passé ainsi... La plupart des incidents ne viennent pas d'une faille mais d'un mot de passe divulgué.

Si vous avez des questions écrivez-moi je répondrai au mieux.

chez nous, ça s'est passé comme ça mais ce que tout le monnde fait ne signifie pas que c'est la bonne chose.

c'est mon avis je ne l'écris pas comme une vérité absolue.

C'est noté, merci. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Je suis aussi curieux de savoir si d'autres font autrement.

Beau travail. Essayer de faire cela seul est la voie la plus coûteuse.

Je suis aussi curieux de savoir si d'autres font autrement.

C'est vrai en théorie, mais ça ne marche pas ainsi en pratique. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Si vous avez des questions écrivez-moi, je répondrai au mieux.

Trois avis différents sont sortis ils se complètent tous. Les gens défendent l'habitude pas le processus... La résistance vient de là.

Bien sûr cela change si votre situation est différente.

La discussion part dans tous les sens, je recentre. Si vous obtenez trois réponses différentes sur un sujet la question est mal posée.

Si vous écrivez le résultat ici cela aidera aussi d'autres personnes.