Le verdict en trois phrases
Stocker ou transiter les donnees de carte sur votre propre serveur vous fait tomber dans le questionnaire SAQ-D et ses 300+ controles : c'est cher, long et risque. En deleguant la saisie carte a un checkout hoste (redirection ou iframe/tokenisation), vous reduisez votre perimetre au SAQ-A (une vingtaine de controles) et vous evitez un cout d'audit de 2 a 8 millions FCFA. Bonus : le mobile money (Wave, Orange Money) est hors perimetre PCI, ce qui simplifie encore le tableau.
PCI-DSS, explique simplement
PCI-DSS est la norme de securite des donnees de carte. Sa logique est brutale mais saine : moins votre systeme touche le numero de carte (le PAN), moins vous avez d'obligations. Un formulaire de carte servi et traite par votre serveur = perimetre maximal. Un champ carte servi par le prestataire (iframe) ou une redirection vers sa page = perimetre minimal, car le PAN ne transite jamais chez vous.
| Approche | Ou transite le PAN | Questionnaire | Nombre de controles |
|---|---|---|---|
| Formulaire self-hosted | Votre serveur | SAQ-D | 300+ |
| iframe / champ hoste + tokenisation | Prestataire | SAQ-A(-EP) | ~20-40 |
| Redirection page hostee | Prestataire | SAQ-A | ~20 |
| Mobile money (Wave/OM) | Hors carte | Hors PCI | 0 (PCI) |
Formulaire self-hosted vs redirection/iframe
Le choix technique determine tout votre effort de conformite. Un formulaire self-hosted vous donne un controle visuel total mais vous impose l'audit lourd. La redirection ou l'iframe delegue la partie sensible et vous ramene a une checklist courte, avec la tokenisation (le prestataire renvoie un jeton a la place du numero) qui vous permet de gerer abonnements et remboursements sans jamais toucher au PAN.
| Critere | Self-hosted (SAQ-D) | Redirection / iframe (SAQ-A) |
|---|---|---|
| PAN chez vous | Oui | Non |
| Controles a couvrir | 300+ | ~20 |
| Cout audit evite | reference | 2 - 8 M FCFA |
| Delai de mise en conformite | plusieurs mois | 1 - 2 semaines |
| PAN stocke | possible (risque) | jamais (tokenisation) |
| Personnalisation visuelle | totale | tres bonne (iframe) |
| Risque en cas de fuite | maximal | minimal |
En clair : sauf besoin tres specifique, aucune PME ne devrait heberger les donnees de carte. La redirection ou l'iframe tokenise couvre 99 % des cas, et le mobile money, prioritaire au Benin, ne rentre meme pas dans le calcul PCI.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Fatou lance une boutique de pret-a-porter a Cotonou. Un prestataire lui propose un checkout carte self-hosted 'pour la personnalisation'. Cout d'audit SAQ-D estime : entre 2 et 8 millions FCFA, plus plusieurs mois de mise en conformite. En basculant sur un checkout iframe tokenise + Wave/Orange Money, elle passe en SAQ-A : conformite en 1 a 2 semaines, 0 FCFA d'audit lourd, et aucun numero de carte stocke. Economie directe : au minimum 2 000 000 FCFA evites, sans compter le risque juridique d'une fuite qu'elle ne portera jamais.
FAQ
Suis-je vraiment concerne par PCI-DSS si je suis une petite boutique ? Oui, des que vous acceptez la carte. Mais avec un checkout hoste, vos obligations se resument au SAQ-A (une vingtaine de points), ce qui est parfaitement gerable.
Quelle difference concrete entre SAQ-A et SAQ-D ? SAQ-A concerne les marchands qui ne touchent jamais le numero de carte (~20 controles). SAQ-D en compte plus de 300 et implique souvent un audit externe couteux, de 2 a 8 millions FCFA selon le contexte.
La tokenisation me permet-elle de gerer les abonnements ? Oui. Le prestataire vous renvoie un jeton reutilisable a la place du numero, ce qui autorise prelevements recurrents et remboursements sans jamais stocker le PAN chez vous.
Le mobile money entre-t-il dans le perimetre PCI ? Non. Wave et Orange Money ne manipulent pas de donnees de carte au sens PCI : ils sont hors perimetre, ce qui simplifie encore votre conformite au Benin.
Puis-je gagner une commission en recommandant Kolonell ? Oui. Notre programme apporteur d'affaires verse 15 % + 5 % recurrent sur une vitrine, 12 % sur un e-commerce, 10 % sur une marketplace, 8 % sur un projet institutionnel. Presentez-nous un client, on s'occupe du reste.
Discutons de votre projet. Nous montons un checkout leger, conforme SAQ-A, avec tokenisation et mobile money integres. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
