On encaisse par TPE et en ligne, c'est quoi le PCI DSS et quelles sont nos vraies obligations ?

La banque a juste envoyé un e-mail automatique standard. Le PCI DSS n'est pas du tout un cauchemar pour les petites boîtes qui ne stockent pas de données bancaires. Le point essentiel, c'est de vérifier si le formulaire de paiement est bien une vraie iframe, ou si les numéros transitent d'abord par votre serveur avant d'aller à la banque. Si c'est le second cas, la charge de conformité est bcp plus lourde.

Voyez avec votre webmaster pour vérifier si les champs où le client tape son numéro de carte sont bien chargés depuis les serveurs du prestataire externe. Si c'est bien une iframe, vous remplissez le SAQ-A, c'est juste 20 à 25 questions opérationnelles très basiques.

On a reçu le même e-mail l'année dernière le comptable a paniqué et nous a suggéré de prendre un cabinet d'audit externe à 80.000 TL. On a appelé le support technique de la banque, ils nous ont dit : « si vous ne stockez rien sur votre site validez juste le formulaire SAQ sur l'espace client ». Affaire réglée en 15 minutes.

Côté magasin, pour éviter tout souci en cas de contrôle, faites attention à deux choses : 1) Assurez-vous que les tickets du TPE masquent bien les chiffres du milieu de la carte. 2) Vérifiez que les caméras de surveillance ne filment pas directement le pavé numérique du terminal en caisse.

On est aussi sur une solution e-commerce clé en main, est-ce qu'on peut directement transférer ce formulaire à l'éditeur de la plateforme pour qu'ils le remplissent à notre place au lieu de demander à la banque ?

L'auto-évaluation doit légalement être validée et signée par le représentant légal de l'entreprise. En revanche, vous pouvez demander à votre éditeur de solution son propre certificat de conformité PCI DSS pour le joindre à votre banque, cela accélérera vos démarches.

Si vous n'enregistrez aucune donnée bancaire, zéro stress : validez le formulaire SAQ-A sur le portail et basta.

Nous avons vécu presque la même chose l'année dernière. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Une sauvegarde non testée n'est pas une sauvegarde. C'est confirmé par l'expérience.

Je vais essayer.

Vous avez raison.

Je vais résumer ce qui a été dit jusqu'ici. Quand on décide sans mesurer, on revient toujours au même point.

La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort. À votre place, j'irais par cette voie.

La discussion part dans tous les sens, je recentre. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

J'espère que cela vous sera utile.

Ce conseil ne convient pas à tout le monde, je pense. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Je suis aussi curieux de savoir si d'autres font autrement.

Sujet très actuel.

J'ai vécu la même chose. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je ne savais pas ça. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard. C'est confirmé par l'expérience.

Je n'ai aucune expérience en qu est ce que la norme pci dss, c'est pourquoi je pose la question. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Quand on essaie de tout changer en même temps, rien ne prend. Bon courage.

merci beaucoup je tsete dès aujourd'hui.