Le verdict en trois phrases
Dès que votre site accepte une carte bancaire, vous entrez dans le périmètre PCI-DSS, la norme mondiale de sécurité des données de carte. La bonne nouvelle : si vous ne touchez jamais au numéro de carte (PAN) et laissez un agrégateur l'encaisser via un champ hébergé, votre conformité se limite au questionnaire SAQ-A, gratuit et léger. Stocker vous-même les cartes vous fait basculer en SAQ-D, avec un audit annuel qui dépasse 5 000 000 FCFA — un coût et un risque que 99 % des marchands doivent éviter.
Les niveaux SAQ et leur coût réel 2026
Le type de questionnaire d'auto-évaluation (SAQ) dépend de la façon dont les données de carte transitent par votre système. Voici les ordres de grandeur 2026.
| Niveau SAQ | Qui est concerné | Coût annuel estimé | Charge |
|---|---|---|---|
| SAQ-A | Champ hébergé / redirection agrégateur | 0 FCFA | Très faible |
| SAQ-A-EP | Script paiement intégré au site | 300 000 à 800 000 FCFA | Faible |
| SAQ-D marchand | Stockage / traitement du PAN | 5 000 000 FCFA et plus | Très lourde |
La règle d'or 2026 : restez en SAQ-A. Un agrégateur (Paystack, Flutterwave, Stripe) affiche le champ carte depuis SES serveurs ; le numéro ne traverse jamais les vôtres, donc vous n'avez rien à auditer sur ce périmètre.
PAN, tokenisation et transfert de charge
Le PAN (Primary Account Number) est le numéro à 16 chiffres. Ne jamais le stocker en clair est la base. La tokenisation remplace ce numéro par un jeton inutilisable hors de votre agrégateur.
| Élément | À ne jamais stocker | Ce que vous pouvez garder |
|---|---|---|
| Numéro de carte (PAN) | Interdit en clair | Token agrégateur |
| CVV / cryptogramme | Interdit après autorisation | Rien |
| Date d'expiration | À éviter | Gérée par l'agrégateur |
| Nom du porteur | À limiter | Référence commande |
| Jeton (token) | — | Oui, sûr et réutilisable |
En déléguant à un agrégateur, vous transférez la charge de conformité : c'est lui qui certifie PCI-DSS de niveau 1 et absorbe l'audit lourd. Vous ne gardez que le token, qui permet le paiement en un clic sans jamais exposer la carte.
Mini cas pratique
Parfait édite une plateforme SaaS à Kinshasa qui facture 2 500 clients par carte. Tenté de stocker les cartes pour "aller plus vite", il aurait basculé en SAQ-D : audit à 5 000 000 FCFA/an, plus un pentest à 2 000 000 FCFA, soit 7 000 000 FCFA de coûts de conformité annuels. En choisissant la tokenisation via son agrégateur, il reste en SAQ-A à 0 FCFA et supprime le risque de fuite de données. Économie directe : 7 000 000 FCFA par an, plus la tranquillité juridique.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Suis-je obligé d'être conforme PCI-DSS si j'accepte des cartes ?
Oui, sans exception, dès la première transaction carte. Mais avec un champ hébergé, votre conformité se résume au SAQ-A : un questionnaire d'une page, sans audit payant.
Combien coûte un audit SAQ-D en 2026 ?
L'ordre de grandeur est de 5 000 000 FCFA et plus par an, sans compter les tests d'intrusion. C'est pourquoi presque aucun marchand ne devrait stocker les cartes lui-même.
La tokenisation est-elle vraiment sûre ?
Oui : le token est inutile en dehors de votre compte agrégateur. Même volé, il ne permet aucun débit ailleurs, contrairement à un numéro de carte en clair.
Puis-je stocker le CVV pour les paiements récurrents ?
Non, jamais. Le CVV doit être détruit après l'autorisation. Les paiements récurrents utilisent le token, pas le cryptogramme.
Qui est responsable en cas de fuite ?
En SAQ-A, l'agrégateur porte la charge PCI du traitement carte. En stockant vous-même, la responsabilité et les pénalités retombent sur vous, avec des amendes qui peuvent se chiffrer en dizaines de millions de FCFA.
Discutons de votre projet. Nous câblons vos paiements carte en SAQ-A avec tokenisation, sans jamais exposer le PAN. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
