Le verdict en trois phrases
Stocker un numéro de carte engage votre responsabilité au titre de la norme PCI DSS et de ses 12 exigences, avec à la clé des audits coûteux et des pénalités lourdes en cas de fuite. La tokenisation — remplacer le numéro par un jeton inutilisable ailleurs, géré par votre prestataire de paiement — déplace cette charge hors de vos serveurs. Concrètement, elle vous fait passer d'un audit complet (SAQ-D ou ROC à 15-30 millions FCFA) à un simple SAQ-A gratuit.
Pourquoi la tokenisation change tout
Sans tokenisation, les données de carte touchent votre code, vos logs, votre base : vous entrez dans le périmètre PCI le plus contraignant. Avec la tokenisation, le formulaire de carte est herberge par Paystack, Flutterwave ou Stripe (via un iframe ou un SDK), le numéro ne touche jamais vos serveurs, et vous ne manipulez qu'un token qui ne vaut rien pour un attaquant. Ce token sert ensuite aux paiements récurrents (abonnements, achat en un clic) sans jamais re-stocker la carte.
| Approche | Périmètre PCI | Qui voit le numéro | Coût conformité / an | Risque en cas de breach |
|---|---|---|---|---|
| Stockage direct en base | SAQ-D / ROC | Vous | 15 000 000 - 30 000 000 FCFA | Maximal |
| Redirection vers PSP | SAQ-A | Le PSP | 0 FCFA | Minimal |
| Iframe / champ tokenisé | SAQ-A / A-EP | Le PSP | 0 FCFA | Très faible |
| Token pour récurrents | SAQ-A | Le PSP | 0 FCFA | Très faible |
La leçon : la meilleure donnée de carte est celle que vous ne stockez jamais.
Les niveaux SAQ et leurs obligations
Le questionnaire d'auto-évaluation (SAQ) dépend de la manière dont vous encaissez. Plus la carte s'approche de vos serveurs, plus le questionnaire s'alourdit.
| Niveau | Cas d'usage | Nb de questions (ordre 2026) | Audit externe requis |
|---|---|---|---|
| SAQ-A | Paiement 100 % externalisé (redirection / iframe) | ~22 | Non |
| SAQ-A-EP | Page marchand qui charge le script du PSP | ~140 | Non (recommandé) |
| SAQ-D marchand | Vous touchez ou stockez la carte | ~330 | Oui, souvent |
| ROC (niveau 1) | > 6 M transactions/an | Rapport complet QSA | Oui, obligatoire |
Pour 95 % des marchands e-commerce africains, l'objectif est de rester en SAQ-A en externalisant totalement la saisie de carte.
Les pénalités en cas de fuite
Une fuite de données de carte déclenche des amendes des réseaux (Visa, Mastercard), le coût de re-émission des cartes, des audits forensiques et une perte de réputation. Les montants varient, mais un ordre de grandeur 2026 : de plusieurs millions à plusieurs dizaines de millions de FCFA pour une PME, sans compter la suspension possible de votre capacité à encaisser la carte.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Ibrahim lance une plateforme d'abonnement à Abidjan avec paiements récurrents mensuels. Tenté de stocker les cartes lui-même pour "maîtriser", il découvre le coût : un audit ROC estimé à 20 000 000 FCFA la première année, plus la mise en conformité technique. Il bascule vers la tokenisation Flutterwave : les cartes ne touchent jamais son serveur, il ne garde que des tokens pour les prélèvements mensuels, et son périmètre tombe en SAQ-A gratuit. Économie première année : environ 20 000 000 FCFA, et un risque de breach quasi nul.
FAQ
Suis-je concerné par PCI DSS si je n'accepte que le mobile money ?
PCI DSS vise les données de carte bancaire. Si vous n'acceptez que Wave et Orange Money, vous êtes hors périmètre carte, mais vous gardez des obligations de sécurité générales (webhooks signés, données clients protégées).
La tokenisation permet-elle les abonnements ?
Oui, c'est même son usage phare : le token représente la carte pour les prélèvements récurrents sans jamais re-saisir ni re-stocker le numéro. Paystack, Flutterwave et Stripe proposent tous cette fonction.
Le SAQ-A est-il vraiment gratuit ?
Le questionnaire lui-même est gratuit à remplir chaque année. Le "coût" est de garder l'architecture propre (aucun contact avec le numéro). C'est incomparable au ROC facturé 15 à 30 millions FCFA.
Puis-je stocker les 4 derniers chiffres de la carte ?
Oui : les 4 derniers chiffres, la marque et la date d'expiration peuvent être conservés pour l'affichage ("carte se terminant par 4242"). Ce n'est pas le numéro complet (PAN), donc hors périmètre sensible.
Combien coûte une intégration tokenisée ?
Un ordre de grandeur 2026 : 400 000 à 900 000 FCFA pour intégrer proprement le SDK d'un PSP avec gestion des tokens et des récurrents, contre des dizaines de millions pour tenir un stockage conforme en interne.
Discutons de votre projet. Nous intégrons la tokenisation Paystack, Flutterwave ou Stripe pour vous garder en SAQ-A et éliminer le risque de stockage de carte. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
