Le verdict en trois phrases
La conformite PCI DSS encadre toute acceptation de carte bancaire, mais son poids depend de qui manipule les donnees de carte. Si vous deleguez la tokenisation a votre PSP (Stripe, Paystack, Flutterwave), vous relevez du questionnaire le plus leger, le SAQ-A, et vous ne stockez jamais le numero de carte (PAN). Le cout reel varie alors de 0 FCFA (SAQ-A auto-declaratif) a 3 000 000 FCFA pour un audit QSA complet en niveau 1.
Le principe : ne jamais toucher le PAN
La regle d'or de la securite carte : ne stockez, ne transmettez et ne traitez jamais le numero de carte en clair sur vos serveurs. En redirigeant le client vers la page hebergee du PSP ou via un champ iframe/tokenise, les donnees sensibles n'atteignent jamais votre infrastructure. Vous recevez un jeton (token) inoffensif a la place.
Exigences techniques de base :
- TLS 1.2+ obligatoire sur toutes les pages de paiement.
- Tokenisation : jamais de PAN en base de donnees.
- Scan ASV trimestriel si vous manipulez des donnees (niveaux superieurs).
- Chiffrement au repos et en transit des donnees sensibles.
Matrice des niveaux SAQ et couts 2026
| Niveau | Cas d'usage | Stockage PAN | Scan ASV | Cout mise en conformite |
|---|---|---|---|---|
| SAQ-A | Redirection/iframe PSP | Jamais | Non | 0 FCFA |
| SAQ-A-EP | Page marchand + script PSP | Jamais | Trimestriel | 100 000 a 500 000 FCFA |
| SAQ-D marchand | Traitement direct carte | Possible | Trimestriel | 1 000 000 a 3 000 000 FCFA |
| Niveau 1 (QSA) | >6 M transactions/an | Selon archi | Trimestriel | 2 000 000 a 3 000 000 FCFA+ |
Obligations par volume de transactions
| Niveau marchand | Transactions carte/an | Validation requise |
|---|---|---|
| Niveau 4 | < 20 000 e-commerce | SAQ auto-declaratif |
| Niveau 3 | 20 000 a 1 M | SAQ + scan ASV |
| Niveau 2 | 1 M a 6 M | SAQ + scan ASV trimestriel |
| Niveau 1 | > 6 M | Audit QSA sur site annuel |
Mini cas pratique
Awa, gerante d'une boutique de mode a Dakar, accepte la carte pour ses clients de la diaspora via une page de paiement hebergee par son PSP. Comme elle ne manipule jamais le PAN, elle releve du SAQ-A, qu'elle remplit elle-meme en une heure, pour un cout de 0 FCFA. Si elle avait choisi d'integrer un formulaire carte sur son propre serveur, elle serait passee en SAQ-D avec un audit a 1 000 000 FCFA minimum. La delegation au PSP lui evite ce cout et cette charge de securite.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Dois-je faire un audit PCI DSS complet ?
Rarement. Si votre PSP heberge la page de paiement ou tokenise la carte, vous relevez du SAQ-A auto-declaratif a 0 FCFA. L'audit QSA complet (2 000 000 a 3 000 000 FCFA) ne concerne que le niveau 1, au-dela de 6 millions de transactions par an.
Puis-je stocker le numero de carte de mes clients ?
Non, sauf a assumer un niveau SAQ-D et des controles couteux. La bonne pratique est la tokenisation : le PSP conserve la carte et vous rend un jeton inoffensif.
Quel est le minimum technique a respecter ?
TLS 1.2 ou superieur sur toutes les pages de paiement, aucune donnee de carte en clair, et un scan ASV trimestriel des que vous manipulez des donnees (SAQ-A-EP et au-dela).
Combien coute la conformite pour une petite boutique ?
Pour un marchand de niveau 4 en redirection PSP, le cout est de 0 FCFA (SAQ-A). Avec un script PSP sur votre page, comptez 100 000 a 500 000 FCFA pour le SAQ-A-EP et le scan trimestriel.
Que risque-t-on en cas de non-conformite ?
Des penalites imposees par les reseaux (Visa/Mastercard), une responsabilite accrue en cas de fraude, voire la suspension de l'acceptation carte. La conformite protege aussi votre reputation.
Discutons de votre projet. Nous concevons votre integration carte en SAQ-A, sans stockage de PAN, prete pour l'audit. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
