Le verdict en trois phrases
La plupart des petites boutiques sur-ingénient la PCI-DSS ou l'ignorent complètement, deux erreurs coûteuses. La bonne pratique 2026 : utiliser un champ hébergé (iframe) ou une redirection du prestataire pour rester en SAQ-A. Résultat : vous ne touchez jamais le numéro de carte brut et votre coût de conformité tombe près de zéro.
SAQ-A vs SAQ-D : la seule décision qui compte
Le périmètre PCI dépend de savoir si les données carte transitent par vos serveurs ou non.
| Critère | SAQ-A | SAQ-D |
|---|---|---|
| Où sont saisies les données carte | Iframe / redirection prestataire | Sur votre serveur |
| Nombre de questions d'auto-évaluation | ~22 | 300+ |
| Scans ASV trimestriels | Non requis | Obligatoires |
| Coût de conformité annuel | ~0-100 000 FCFA | 500 000+ FCFA |
| Effort technique | Faible | Élevé |
| Exposition en cas de brèche | Réduite | Maximale |
La règle d'or : ne jamais faire transiter le PAN (numéro de carte) par votre code. Un champ hébergé Stripe, Flutterwave ou Paystack vous garde en SAQ-A.
Ce que vous devez réellement mettre en place
Même en SAQ-A, quelques obligations restent incompressibles.
| Exigence 2026 | SAQ-A | SAQ-D |
|---|---|---|
| TLS 1.2+ obligatoire | Oui | Oui |
| Auto-évaluation annuelle | Oui (~22 questions) | Oui (300+) |
| Scans ASV trimestriels | Non | Oui |
| Test d'intrusion annuel | Non | Recommandé/obligatoire |
| Stockage du PAN chiffré | Interdit (aucun stockage) | Chiffrement fort requis |
| Journalisation des accès | Basique | Complète et auditée |
En pratique, 90 % des boutiques africaines devraient viser SAQ-A et ne jamais quitter ce périmètre.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Wanjiru lance une boutique de cosmétiques à Nairobi. Son premier prestataire lui propose un formulaire carte « maison » : cela la bascule en SAQ-D, avec scans ASV et audit estimés à 650 000 FCFA/an. Elle refait le checkout avec l'iframe hébergé de son PSP : elle revient en SAQ-A, remplit 22 questions d'auto-évaluation, et son coût annuel de conformité tombe à ~40 000 FCFA. Économie : plus de 600 000 FCFA/an sans perte de sécurité.
FAQ
Ma petite boutique est-elle concernée par la PCI-DSS ? Oui, dès que vous acceptez la carte. Mais avec un champ hébergé, vous restez en SAQ-A, le périmètre le plus léger.
Quelle différence de coût SAQ-A vs SAQ-D ? Proche de zéro en SAQ-A contre 500 000+ FCFA/an en SAQ-D (scans ASV, audit, test d'intrusion).
Puis-je stocker les numéros de carte pour re-facturer ? Non, ne stockez jamais le PAN. Utilisez la tokenisation du prestataire, qui garde le stockage chez lui.
Les scans ASV trimestriels sont-ils obligatoires ? Seulement en SAQ-D. En SAQ-A, ils ne sont pas requis, ce qui simplifie tout.
Que risque-t-on en cas de brèche ? Amendes, frais de remédiation et perte de la capacité d'accepter la carte. Le SAQ-A réduit fortement la surface d'exposition.
Discutons de votre projet. Nous concevons des checkouts PCI-SAQ-A qui vous gardent hors du périmètre lourd. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
