Conformité PCI-DSS pour les paiements par carte via agrégateur à Dakar (2026)

Le verdict en trois phrases

Accepter la carte sans jamais stocker le numéro (PAN) vous évite le niveau lourd de PCI-DSS : tout se joue dans le choix de l'intégration. À Dakar en 2026, un checkout hébergé ou tokenisé (redirection agrégateur, iframe) fait tomber le marchand sous le SAQ A, le plus léger, contre un SAQ D coûteux et contraignant si vous capturez les cartes vous-même. La règle d'or : ne touchez jamais aux données de carte, laissez l'agrégateur les porter.

Niveaux SAQ et charge de conformité

Le SAQ (Self-Assessment Questionnaire) applicable dépend de la manière dont les données carte transitent chez vous. Moins vous les voyez, plus le questionnaire est court.

Pour 95 % des boutiques à Dakar, la bonne réponse est redirection ou iframe agrégateur = SAQ A. Passer en SAQ D pour « maîtriser l'expérience » coûte cher et expose inutilement.

Obligations 2026 et coût de mise en conformité

Même en SAQ A, quelques obligations techniques restent incontournables en 2026. Voici les principales et leur ordre de grandeur de coût.

En SAQ A, la mise en conformité tient souvent en quelques heures de configuration ; c'est le SAQ D qui déclenche audits, scans et pentests à plusieurs centaines de milliers de FCFA par an.

Mini cas pratique

Sophie lance une boutique de décoration à Dakar et hésite entre un formulaire carte « maison » et le checkout hébergé de son agrégateur. Le formulaire maison la ferait basculer en SAQ D : scan trimestriel, pentest, journalisation renforcée, soit un ordre de grandeur de 300 000 à 600 000 FCFA/an. En choisissant la redirection agrégateur (SAQ A), elle signe une auto-évaluation, active TLS et MFA, et sa conformité annuelle coûte quasiment zéro. Elle réinvestit l'économie dans la publicité.

FAQ

Suis-je responsable de PCI-DSS si j'utilise un agrégateur ? Oui, mais votre charge dépend de l'intégration : avec une redirection ou une iframe où vous ne voyez jamais le PAN, vous relevez du SAQ A, le plus léger.

Quelle est la différence entre SAQ A et SAQ D ? Le SAQ A concerne les marchands qui externalisent totalement les données carte (~20 contrôles) ; le SAQ D vise ceux qui capturent ou stockent le PAN (~300+ contrôles, audits et scans).

Faut-il un scan de vulnérabilité trimestriel ? En SAQ A pur, généralement non ; dès que vous passez en A-EP ou D, un scan ASV externe trimestriel devient obligatoire, avec un coût annuel indicatif de 0 à 300 000 FCFA.

Le MFA sur le back-office est-il obligatoire ? Oui en 2026 pour tout accès administrateur aux systèmes liés au paiement ; c'est une mesure quasi gratuite à activer et l'une des plus efficaces contre les intrusions.

Puis-je stocker les cartes pour faciliter les achats répétés ? Ne stockez jamais le PAN vous-même : utilisez la tokenisation de l'agrégateur, qui vous rend un token réutilisable sans faire tomber votre boutique en SAQ D.

Discutons de votre projet. Nous intégrons un checkout carte conforme SAQ A, tokenisé et sécurisé, sans charge PCI-DSS inutile. WhatsApp +221 77 596 93 33.