Dès qu’une entreprise française encaisse une carte bancaire américaine, la question de la conformité PCI DSS se pose. Elle arrive rarement au bon moment : le plus souvent, c’est votre nouvel établissement bancaire américain qui vous la rappelle par courrier, trois semaines après l’ouverture du compte.
La réponse courte tient en deux phrases. Ce n’est pas une loi, c’est une obligation contractuelle imposée par les réseaux de cartes. Et son poids dépend presque entièrement d’un choix technique que vous faites au moment de concevoir votre page de paiement.
Autrement dit, la charge n’est pas subie. Elle se pilote.
Ce que la conformité PCI DSS recouvre
Le référentiel s’appelle Payment Card Industry Data Security Standard. Il est maintenu par le PCI Security Standards Council, une structure fondée par les grands réseaux de cartes.
Ces réseaux imposent le standard à leurs banques acquéreuses, qui le répercutent sur vous par contrat. Aucun régulateur ne vous poursuivra donc pour non-conformité. En revanche, votre acquéreur peut vous facturer des pénalités mensuelles, et en cas d’incident, vous supportez les frais d’investigation et les refacturations.
La version en vigueur est la 4.0.1. Elle a remplacé la série 3.x, et plusieurs exigences initialement différées sont désormais pleinement applicables.
Deux d’entre elles méritent votre attention si vous vendez en ligne. La première impose un inventaire de tous les scripts exécutés sur la page de paiement, avec vérification de leur intégrité. La seconde impose une détection automatisée des modifications non autorisées de cette page.
Ces deux points visent une attaque précise, l’injection de code malveillant dans le tunnel de paiement. Ils changent concrètement la charge de travail des équipes techniques.
Votre niveau de marchand détermine la procédure
Les réseaux classent les commerçants par volume annuel de transactions. Quatre niveaux existent, et chacun appelle une méthode de validation différente.
Les volumes les plus élevés relèvent du niveau 1. Ces marchands font réaliser un audit sur site par un évaluateur qualifié, qui produit un rapport formel.
Les niveaux intermédiaires et bas valident par questionnaire d’auto-évaluation, complété par des scans de vulnérabilité effectués par un prestataire agréé.
La grande majorité des entreprises françaises qui démarrent aux États-Unis se situent dans le niveau le plus bas. Voilà une nouvelle rassurante : la validation par auto-évaluation reste largement accessible.
Attention toutefois, les seuils diffèrent d’un réseau de cartes à l’autre. Votre acquéreur vous confirmera votre niveau, et c’est lui qui fait foi. Tant que ce niveau n’est pas confirmé, votre plan de conformité PCI DSS repose sur une hypothèse.
Le choix technique qui divise votre charge par dix
Voici le point que je martèle auprès des dirigeants, parce qu’il vaut des mois de travail.
Tous les questionnaires d’auto-évaluation ne se valent pas. Le plus léger s’adresse aux marchands qui externalisent totalement la collecte des données de carte, par redirection ou par cadre intégré fourni par le prestataire de paiement.
Dans ce cas de figure, les données de carte ne transitent jamais par vos serveurs. Votre périmètre se réduit donc drastiquement, et le questionnaire correspondant ne compte qu’une poignée d’exigences.
À l’inverse, si vous affichez votre propre formulaire de carte, même sans stocker les numéros, vous basculez sur un questionnaire nettement plus lourd. Et si vous stockez ou traitez les données vous-même, vous tombez dans la catégorie la plus exigeante, avec plusieurs centaines de points de contrôle.
La conclusion pratique est simple. Décidez de votre architecture de paiement en pensant à la conformité PCI DSS, pas seulement à l’expérience utilisateur. Un champ de carte hébergé chez votre prestataire coûte quelques pixels de personnalisation et vous économise une année d’efforts.
La configuration concrète d’un prestataire est détaillée dans mon article sur configurer les paiements d’une filiale américaine.
Ce qui change entre la France et les États-Unis
Le standard est international, donc identique des deux côtés de l’Atlantique. En revanche, son environnement diffère nettement.
En Europe, la réglementation impose une authentification forte du payeur. Cette contrainte réduit mécaniquement la fraude et structure le parcours de paiement.
Aux États-Unis, cette obligation n’existe pas sous la même forme. Le paiement en ligne y est plus fluide, et la lutte contre la fraude repose davantage sur des outils de scoring que sur une étape d’authentification systématique.
Cette différence a deux conséquences. Votre taux de conversion américain sera probablement meilleur qu’en France. Votre taux de fraude aussi sera plus élevé, et vos impayés se traitent selon des règles distinctes.
Le sujet des moyens de paiement adaptés au B2B américain, où la carte n’est pas toujours le bon canal, est traité dans moyens de paiement B2B aux USA.
Le lien avec vos autres démarches de conformité
Beaucoup de dirigeants découvrent ces référentiels en même temps et s’inquiètent d’un empilement sans fin. Rassurons-les.
Ces cadres se recoupent largement. La gestion des accès, le chiffrement, la journalisation, la gestion des correctifs et la procédure d’incident servent partout.
Si vous êtes éditeur de logiciel et que vous préparez déjà un rapport de sécurité pour vos clients grands comptes, une bonne partie du travail est mutualisable. J’ai traité cette démarche dans certification SOC 2 pour un éditeur SaaS français.
Si votre activité touche aux services financiers, l’ensemble s’inscrit dans un cadre plus large que j’ai décrit dans lancer une fintech aux États-Unis.
Les erreurs que je vois le plus souvent
Cinq écueils reviennent régulièrement dans les dossiers de conformité PCI DSS que j’examine.
Croire que le prestataire de paiement vous couvre. Il est conforme pour sa partie. Vous restez responsable de la vôtre, notamment de votre site et de vos scripts.
Remplir le questionnaire le plus léger sans y avoir droit. C’est tentant, et c’est exactement ce qu’un expert examinera après un incident.
Oublier le canal téléphonique. Un commercial qui note un numéro de carte pendant un appel fait entrer tout le service client dans le périmètre.
Traiter le sujet une fois pour toutes. La validation est annuelle, et les scans de vulnérabilité sont trimestriels.
Négliger les prestataires tiers. Vos outils d’analyse, vos widgets de support et vos pixels marketing s’exécutent parfois sur la page de paiement. Ils entrent alors dans l’inventaire exigé.
Par où commencer, concrètement
Ma méthode tient en quatre étapes.
Cartographiez d’abord tous les chemins par lesquels une donnée de carte peut entrer chez vous : site web, téléphone, terminal physique, courriel, formulaire papier. Cette carte définit votre périmètre.
Réduisez ensuite ce périmètre autant que possible. Externalisez la collecte, supprimez les canaux non maîtrisés, cessez toute conservation de numéro non indispensable.
Demandez ensuite à votre acquéreur américain votre niveau de marchand et le questionnaire attendu. Ne le devinez pas.
Enfin, planifiez la validation annuelle comme une échéance récurrente, au même titre que votre clôture comptable.
Menée dans cet ordre, la conformité PCI DSS devient une formalité annuelle plutôt qu’un chantier. Menée dans le désordre, elle mobilise votre équipe technique pendant des mois.
Si vous structurez en ce moment vos encaissements américains, prenez rendez-vous avec moi et nous regarderons votre périmètre réel avant que l’architecture soit figée. Vous pouvez aussi découvrir la méthode que j’ai développée pour cadrer une implantation américaine.
Les informations présentées dans cet article sont fournies à titre informatif uniquement et ne constituent pas un conseil juridique. Les versions du référentiel et les exigences des réseaux de cartes évoluent régulièrement. Je vous recommande de consulter un professionnel qualifié en sécurité des systèmes de paiement pour votre situation spécifique.
