Le verdict en trois phrases
Si aucune donnée de carte ne touche vos serveurs, vous relevez du questionnaire allégé SAQ-A et évitez un audit PCI-DSS complet à 3-8 millions FCFA. La règle d'or 2026 : utiliser un hosted checkout ou une iframe tokenisée d'un agrégateur déjà certifié PCI-DSS niveau 1. L'API directe vous fait tout porter — à ne choisir que si vous avez une équipe sécurité dédiée.
Les 4 modèles d'intégration et leur charge de conformité
Le niveau de PCI-DSS requis dépend entièrement de la façon dont la carte transite. Plus vous éloignez la donnée de votre infrastructure, plus le questionnaire est court.
| Modèle d'intégration | SAQ applicable | Champs carte hébergés par | Charge conformité |
|---|---|---|---|
| Hosted checkout (redirection) | SAQ-A | Agrégateur | Très faible |
| Iframe / champs tokenisés | SAQ-A | Agrégateur | Faible |
| API directe + tokenisation | SAQ-D (light) | Vous (transit) | Élevée |
| API directe stockage carte | SAQ-D complet | Vous | Très élevée |
En pratique 90 % des PME africaines devraient viser SAQ-A. Le SAQ-A comporte environ 30 questions, contre plus de 300 pour le SAQ-D.
Ce que coûte vraiment la conformité
Les ordres de grandeur 2026 pour le marché ouest-africain, hors abonnements agrégateur.
| Poste | SAQ-A (hosted) | SAQ-D / audit complet |
|---|---|---|
| Questionnaire annuel | Auto-évaluation gratuite | 3 000 000 - 8 000 000 FCFA (QSA) |
| Scan ASV trimestriel | Souvent inclus | 300 000 - 900 000 FCFA/an |
| Test d'intrusion | Non requis | 1 500 000 - 4 000 000 FCFA/an |
| Mise en conformité serveurs | Nulle | 2 000 000+ FCFA |
| Tokenisation | Fournie par agrégateur | À implémenter |
La tokenisation — remplacer le numéro de carte par un jeton inutilisable hors contexte — est le pivot : elle est obligatoire pour tout paiement récurrent et vous sort du périmètre de stockage.
Mini cas pratique
Awa, gérante d'une boutique de cosmétiques à Dakar, encaisse 4 000 000 FCFA/mois dont 25 % par carte (diaspora). En passant d'une API directe envisagée à un hosted checkout, elle passe de SAQ-D à SAQ-A : elle économise l'audit QSA (estimé 4 000 000 FCFA) et le pentest annuel (2 000 000 FCFA), soit 6 000 000 FCFA la première année, pour une friction client quasi identique.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Suis-je concerné par PCI-DSS si j'utilise seulement Wave et Orange Money ?
Le mobile money n'est pas régi par PCI-DSS (c'est une norme carte). Dès que vous acceptez Visa/Mastercard, même une seule transaction, vous entrez dans le périmètre.
Le hosted checkout suffit-il vraiment pour être conforme ?
Oui, sous SAQ-A, si la page de saisie carte est servie par l'agrégateur et que vous ne stockez jamais de numéro. Vous restez responsable de la sécurité de votre site (HTTPS, mises à jour).
Combien de temps pour une auto-évaluation SAQ-A ?
Comptez 1 à 3 jours de travail interne, sans coût d'auditeur externe, à renouveler chaque année.
Que risque une PME non conforme ?
En cas de fuite, des amendes réseau de plusieurs millions FCFA, la perte du droit d'accepter la carte, et la responsabilité des fraudes. Le risque réputationnel dépasse souvent l'amende.
La tokenisation est-elle payante ?
Chez la plupart des agrégateurs elle est incluse dans les frais de transaction (souvent 1,5-3,5 %), sans surcoût dédié.
Discutons de votre projet. Nous intégrons un checkout carte conforme SAQ-A avec tokenisation native pour votre boutique. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
