Le verdict en trois phrases
Stocker ou transiter les données de carte sur votre propre serveur vous fait tomber dans le questionnaire SAQ-D et ses 300+ contrôles : c'est cher, long et risqué. En déléguant la saisie carte à un checkout hoste (redirection ou iframe/tokenisation), vous réduisez votre périmètre au SAQ-A (une vingtaine de contrôles) et vous évitez un coût d'audit de 2 à 8 millions FCFA. Bonus : le mobile money (Wave, Orange Money) est hors périmètre PCI, ce qui simplifie encore le tableau.
PCI-DSS, explique simplement
PCI-DSS est la norme de sécurité des données de carte. Sa logique est brutale mais saine : moins votre système touche le numéro de carte (le PAN), moins vous avez d'obligations. Un formulaire de carte servi et traite par votre serveur = périmètre maximal. Un champ carte servi par le prestataire (iframe) où une redirection vers sa page = périmètre minimal, car le PAN ne transite jamais chez vous.
| Approche | Ou transite le PAN | Questionnaire | Nombre de contrôles |
|---|---|---|---|
| Formulaire self-hosted | Votre serveur | SAQ-D | 300+ |
| iframe / champ hoste + tokenisation | Prestataire | SAQ-A(-EP) | ~20-40 |
| Redirection page hostee | Prestataire | SAQ-A | ~20 |
| Mobile money (Wave/OM) | Hors carte | Hors PCI | 0 (PCI) |
Formulaire self-hosted vs redirection/iframe
Le choix technique détermine tout votre effort de conformité. Un formulaire self-hosted vous donne un contrôle visuel total mais vous impose l'audit lourd. La redirection ou l'iframe délègue la partie sensible et vous ramené à une checklist courte, avec la tokenisation (le prestataire renvoie un jeton à la place du numéro) qui vous permet de gérer abonnements et remboursements sans jamais toucher au PAN.
| Critère | Self-hosted (SAQ-D) | Redirection / iframe (SAQ-A) |
|---|---|---|
| PAN chez vous | Oui | Non |
| Contrôles à couvrir | 300+ | ~20 |
| Coût audit évité | référence | 2 - 8 M FCFA |
| Délai de mise en conformité | plusieurs mois | 1 - 2 semaines |
| PAN stocké | possible (risque) | jamais (tokenisation) |
| Personnalisation visuelle | totale | très bonne (iframe) |
| Risque en cas de fuite | maximal | minimal |
En clair : sauf besoin très spécifique, aucune PME ne devrait héberger les données de carte. La redirection ou l'iframe tokenisé couvre 99 % des cas, et le mobile money, prioritaire au Bénin, ne rentre même pas dans le calcul PCI.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Fatou lance une boutique de prêt-à-porter à Cotonou. Un prestataire lui propose un checkout carte self-hosted 'pour la personnalisation'. Coût d'audit SAQ-D estimé : entre 2 et 8 millions FCFA, plus plusieurs mois de mise en conformité. En basculant sur un checkout iframe tokenisé + Wave/Orange Money, elle passe en SAQ-A : conformité en 1 à 2 semaines, 0 FCFA d'audit lourd, et aucun numéro de carte stocké. Économie directe : au minimum 2 000 000 FCFA évités, sans compter le risque juridique d'une fuite qu'elle ne portera jamais.
FAQ
Suis-je vraiment concerné par PCI-DSS si je suis une petite boutique ? Oui, dès que vous acceptez la carte. Mais avec un checkout hoste, vos obligations se résument au SAQ-A (une vingtaine de points), ce qui est parfaitement gérable.
Quelle difference concrete entre SAQ-A et SAQ-D ? SAQ-A concerne les marchands qui ne touchent jamais le numéro de carte (~20 contrôles). SAQ-D en compte plus de 300 et implique souvent un audit externe coûteux, de 2 à 8 millions FCFA selon le contexte.
La tokenisation me permet-elle de gérer les abonnements ? Oui. Le prestataire vous renvoie un jeton réutilisable à la place du numéro, ce qui autorise prélèvements récurrents et remboursements sans jamais stocker le PAN chez vous.
Le mobile money entre-t-il dans le périmètre PCI ? Non. Wave et Orange Money ne manipulent pas de données de carte au sens PCI : ils sont hors périmètre, ce qui simplifie encore votre conformité au Bénin.
Puis-je gagner une commission en recommandant Kolonell ? Oui. Notre programme apporteur d'affaires verse 15 % + 5 % récurrent sur une vitrine, 12 % sur un e-commerce, 10 % sur une marketplace, 8 % sur un projet institutionnel. Présentez-nous un client, on s'occupe du reste.
Discutons de votre projet. Nous montons un checkout léger, conforme SAQ-A, avec tokenisation et mobile money intégrés. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
