Le verdict en trois phrases
Stocker un numero de carte engage votre responsabilite au titre de la norme PCI DSS et de ses 12 exigences, avec a la cle des audits couteux et des penalites lourdes en cas de fuite. La tokenisation — remplacer le numero par un jeton inutilisable ailleurs, gere par votre prestataire de paiement — deplace cette charge hors de vos serveurs. Concretement, elle vous fait passer d'un audit complet (SAQ-D ou ROC a 15-30 millions FCFA) a un simple SAQ-A gratuit.
Pourquoi la tokenisation change tout
Sans tokenisation, les donnees de carte touchent votre code, vos logs, votre base : vous entrez dans le perimetre PCI le plus contraignant. Avec la tokenisation, le formulaire de carte est herberge par Paystack, Flutterwave ou Stripe (via un iframe ou un SDK), le numero ne touche jamais vos serveurs, et vous ne manipulez qu'un token qui ne vaut rien pour un attaquant. Ce token sert ensuite aux paiements recurrents (abonnements, achat en un clic) sans jamais re-stocker la carte.
| Approche | Perimetre PCI | Qui voit le numero | Cout conformite / an | Risque en cas de breach |
|---|---|---|---|---|
| Stockage direct en base | SAQ-D / ROC | Vous | 15 000 000 - 30 000 000 FCFA | Maximal |
| Redirection vers PSP | SAQ-A | Le PSP | 0 FCFA | Minimal |
| Iframe / champ tokenise | SAQ-A / A-EP | Le PSP | 0 FCFA | Tres faible |
| Token pour recurrents | SAQ-A | Le PSP | 0 FCFA | Tres faible |
La lecon : la meilleure donnee de carte est celle que vous ne stockez jamais.
Les niveaux SAQ et leurs obligations
Le questionnaire d'auto-evaluation (SAQ) depend de la maniere dont vous encaissez. Plus la carte s'approche de vos serveurs, plus le questionnaire s'alourdit.
| Niveau | Cas d'usage | Nb de questions (ordre 2026) | Audit externe requis |
|---|---|---|---|
| SAQ-A | Paiement 100 % externalise (redirection / iframe) | ~22 | Non |
| SAQ-A-EP | Page marchand qui charge le script du PSP | ~140 | Non (recommande) |
| SAQ-D marchand | Vous touchez ou stockez la carte | ~330 | Oui, souvent |
| ROC (niveau 1) | > 6 M transactions/an | Rapport complet QSA | Oui, obligatoire |
Pour 95 % des marchands e-commerce africains, l'objectif est de rester en SAQ-A en externalisant totalement la saisie de carte.
Les penalites en cas de fuite
Une fuite de donnees de carte declenche des amendes des reseaux (Visa, Mastercard), le cout de re-emission des cartes, des audits forensiques et une perte de reputation. Les montants varient, mais un ordre de grandeur 2026 : de plusieurs millions a plusieurs dizaines de millions de FCFA pour une PME, sans compter la suspension possible de votre capacite a encaisser la carte.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Ibrahim lance une plateforme d'abonnement a Abidjan avec paiements recurrents mensuels. Tente de stocker les cartes lui-meme pour "maitriser", il decouvre le cout : un audit ROC estime a 20 000 000 FCFA la premiere annee, plus la mise en conformite technique. Il bascule vers la tokenisation Flutterwave : les cartes ne touchent jamais son serveur, il ne garde que des tokens pour les prelevements mensuels, et son perimetre tombe en SAQ-A gratuit. Economie premiere annee : environ 20 000 000 FCFA, et un risque de breach quasi nul.
FAQ
Suis-je concerne par PCI DSS si je n'accepte que le mobile money ?
PCI DSS vise les donnees de carte bancaire. Si vous n'acceptez que Wave et Orange Money, vous etes hors perimetre carte, mais vous gardez des obligations de securite generales (webhooks signes, donnees clients protegees).
La tokenisation permet-elle les abonnements ?
Oui, c'est meme son usage phare : le token represente la carte pour les prelevements recurrents sans jamais re-saisir ni re-stocker le numero. Paystack, Flutterwave et Stripe proposent tous cette fonction.
Le SAQ-A est-il vraiment gratuit ?
Le questionnaire lui-meme est gratuit a remplir chaque annee. Le "cout" est de garder l'architecture propre (aucun contact avec le numero). C'est incomparable au ROC facture 15 a 30 millions FCFA.
Puis-je stocker les 4 derniers chiffres de la carte ?
Oui : les 4 derniers chiffres, la marque et la date d'expiration peuvent etre conserves pour l'affichage ("carte se terminant par 4242"). Ce n'est pas le numero complet (PAN), donc hors perimetre sensible.
Combien coute une integration tokenisee ?
Un ordre de grandeur 2026 : 400 000 a 900 000 FCFA pour integrer proprement le SDK d'un PSP avec gestion des tokens et des recurrents, contre des dizaines de millions pour tenir un stockage conforme en interne.
Discutons de votre projet. Nous integrons la tokenisation Paystack, Flutterwave ou Stripe pour vous garder en SAQ-A et eliminer le risque de stockage de carte. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
