Le verdict en trois phrases
La conformité PCI DSS encadre toute acceptation de carte bancaire, mais son poids dépend de qui manipule les données de carte. Si vous déléguez la tokenisation à votre PSP (Stripe, Paystack, Flutterwave), vous relevez du questionnaire le plus léger, le SAQ-A, et vous ne stockez jamais le numéro de carte (PAN). Le coût réel varie alors de 0 FCFA (SAQ-A auto-déclaratif) à 3 000 000 FCFA pour un audit QSA complet en niveau 1.
Le principe : ne jamais toucher le PAN
La règle d'or de la sécurité carte : ne stockez, ne transmettez et ne traitez jamais le numéro de carte en clair sur vos serveurs. En redirigeant le client vers la page hébergée du PSP ou via un champ iframe/tokenise, les données sensibles n'atteignent jamais votre infrastructure. Vous recevez un jeton (token) inoffensif à la place.
Exigences techniques de base :
- TLS 1.2+ obligatoire sur toutes les pages de paiement.
- Tokenisation : jamais de PAN en base de données.
- Scan ASV trimestriel si vous manipulez des données (niveaux supérieurs).
- Chiffrement au repos et en transit des données sensibles.
Matrice des niveaux SAQ et coûts 2026
| Niveau | Cas d'usage | Stockage PAN | Scan ASV | Coût mise en conformité |
|---|---|---|---|---|
| SAQ-A | Redirection/iframe PSP | Jamais | Non | 0 FCFA |
| SAQ-A-EP | Page marchand + script PSP | Jamais | Trimestriel | 100 000 à 500 000 FCFA |
| SAQ-D marchand | Traitement direct carte | Possible | Trimestriel | 1 000 000 à 3 000 000 FCFA |
| Niveau 1 (QSA) | >6 M transactions/an | Selon archi | Trimestriel | 2 000 000 à 3 000 000 FCFA+ |
Obligations par volume de transactions
| Niveau marchand | Transactions carte/an | Validation requise |
|---|---|---|
| Niveau 4 | < 20 000 e-commerce | SAQ auto-déclaratif |
| Niveau 3 | 20 000 à 1 M | SAQ + scan ASV |
| Niveau 2 | 1 M à 6 M | SAQ + scan ASV trimestriel |
| Niveau 1 | > 6 M | Audit QSA sur site annuel |
Mini cas pratique
Awa, gérante d'une boutique de mode à Dakar, accepte la carte pour ses clients de la diaspora via une page de paiement hébergée par son PSP. Comme elle ne manipule jamais le PAN, elle relève du SAQ-A, qu'elle remplit elle-même en une heure, pour un coût de 0 FCFA. Si elle avait choisi d'intégrer un formulaire carte sur son propre serveur, elle serait passée en SAQ-D avec un audit à 1 000 000 FCFA minimum. La délégation au PSP lui évite ce coût et cette charge de sécurité.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Dois-je faire un audit PCI DSS complet ?
Rarement. Si votre PSP héberge la page de paiement ou tokenise la carte, vous relevez du SAQ-A auto-déclaratif à 0 FCFA. L'audit QSA complet (2 000 000 à 3 000 000 FCFA) ne concerne que le niveau 1, au-delà de 6 millions de transactions par an.
Puis-je stocker le numéro de carte de mes clients ?
Non, sauf à assumer un niveau SAQ-D et des contrôles coûteux. La bonne pratique est la tokenisation : le PSP conserve la carte et vous rend un jeton inoffensif.
Quel est le minimum technique à respecter ?
TLS 1.2 ou supérieur sur toutes les pages de paiement, aucune donnée de carte en clair, et un scan ASV trimestriel dès que vous manipulez des données (SAQ-A-EP et au-delà).
Combien coûte la conformité pour une petite boutique ?
Pour un marchand de niveau 4 en redirection PSP, le coût est de 0 FCFA (SAQ-A). Avec un script PSP sur votre page, comptez 100 000 à 500 000 FCFA pour le SAQ-A-EP et le scan trimestriel.
Que risque-t-on en cas de non-conformité ?
Des pénalités imposées par les réseaux (Visa/Mastercard), une responsabilité accrue en cas de fraude, voire la suspension de l'acceptation carte. La conformité protège aussi votre réputation.
Discutons de votre projet. Nous concevons votre intégration carte en SAQ-A, sans stockage de PAN, prête pour l'audit. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
