Le verdict en trois phrases
Si vous acceptez des cartes bancaires en ligne au Sénégal, vous êtes concerné par le PCI-DSS, et la quasi-totalité des PME relèvent du niveau 4 (moins de 20 000 transactions carte par an). La bonne nouvelle : en passant par une page de paiement hébergée (Stripe, CinetPay, PayDunya), vous héritez de leur conformité et votre coût tombe à presque 0 FCFA. La mauvaise : un checkout custom qui touche les données carte vous expose à un audit, des scans trimestriels et 400 000 à 800 000 FCFA de frais annuels.
Quel niveau PCI vous concerné ?
Le PCI-DSS classe les marchands selon le volume de transactions carte. Voici la grille 2026 appliquée au contexte sénégalais.
| Niveau | Volume cartes/an | Validation | Concerné |
|---|---|---|---|
| Niveau 1 | > 6 millions | Audit QSA sur site | Grandes banques, PSP |
| Niveau 2 | 1 à 6 millions | SAQ + scan ASV | Grands e-commerçants |
| Niveau 3 | 20 000 à 1 million | SAQ + scan ASV | E-commerce moyen |
| Niveau 4 | < 20 000 | SAQ auto-évaluation | La plupart des PME |
Le niveau 4 exige une auto-évaluation annuelle (SAQ), des scans externes trimestriels par un ASV agréé, et l'interdiction absolue de stocker les données carte en clair. Le type de SAQ dépend de la façon dont vous intégrez le paiement.
Coût réel selon le type d'intégration
Le vrai levier de coût, c'est l'architecture du checkout. Plus vous touchez la donnée carte, plus votre périmètre PCI explose. Estimation 2026.
| Intégration | Type SAQ | Périmètre PCI | Coût annuel estimé |
|---|---|---|---|
| Page hébergée (redirect) | SAQ A | Minimal | ~0 à 50 000 FCFA |
| iframe / champ tokenisé | SAQ A-EP | Réduit | 100 000 à 200 000 FCFA |
| Checkout custom (carte chez vous) | SAQ D | Complet | 400 000 à 800 000 FCFA |
| Stockage carte non conforme | Non conforme | Risque sanction | Amendes + responsabilité fraude |
Le scan trimestriel par un ASV coûte à lui seul environ 150 000 FCFA par an. Sur un checkout custom, ajoutez la remédiation technique, la documentation et le temps interne : le total dérape vite. La page hébergée élimine ce périmètre car vous ne voyez jamais le numéro de carte.
Quels PSP réduisent votre périmètre ?
| PSP | Page hébergée | Tokenisation carte | Réduit à SAQ A |
|---|---|---|---|
| Stripe | Oui (Checkout) | Oui | Oui |
| CinetPay | Oui | Oui | Oui |
| PayDunya | Oui | Partielle | Oui |
| Wave / Orange Money | Sans carte (mobile money) | N/A | Hors périmètre PCI |
Astuce stratégique : au Sénégal, une part majoritaire des paiements passe par Wave et Orange Money, qui ne sont pas des cartes et sortent du périmètre PCI. Réserver la carte à la diaspora via une page hébergée Stripe vous garde au SAQ A.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Ibrahima lance une boutique d'électronique à Dakar. Son développeur propose un checkout custom "plus joli" qui collecte la carte sur son propre formulaire. Coût caché : SAQ D, scans ASV (150 000 FCFA/an), remédiation et documentation, soit environ 650 000 FCFA la première année. On bascule sur Stripe Checkout (page hébergée) pour les cartes diaspora et Wave/OM pour le local. Résultat : périmètre ramène au SAQ A, coût de conformité proche de 0 FCFA, et un checkout tout aussi fluide. Économie nette année 1 : environ 650 000 FCFA.
FAQ
Suis-je vraiment obligé d'être conforme PCI au Sénégal ?
Oui dès que vous acceptez des cartes : la conformité est exigée par les réseaux (Visa, Mastercard) via votre PSP, pas par un régulateur local. En cas de fraude sur un checkout non conforme, vous portez la responsabilité financière.
Le mobile money est-il concerné par le PCI-DSS ?
Non. Wave, Orange Money et Free Money ne sont pas des cartes bancaires : ils sortent du périmètre PCI. C'est un argument fort pour privilégier le mobile money au Sénégal et limiter la carte à la diaspora.
Combien coûte un scan ASV trimestriel ?
Comptez environ 150 000 FCFA par an (ordre de grandeur 2026) pour les quatre scans externes obligatoires au niveau 4 si votre intégration touche les données carte. Une page hébergée vous en dispense.
Une page de paiement hébergée est-elle moins jolie ?
Plus aujourd'hui : Stripe Checkout, CinetPay et PayDunya proposent des pages personnalisables à vos couleurs et au domaine. Le gain de conformité (SAQ A, coût ~0) dépasse largement le faible compromis visuel.
Que risque un marchand qui stocke les numéros de carte ?
C'est l'option la plus dangereuse : non-conformité, amendes du réseau, et responsabilité pleine en cas de fuite. Ne stockez jamais de carte en clair ; utilisez la tokenisation du PSP.
Discutons de votre projet. Nous concevons un checkout au périmètre PCI minimal (SAQ A) qui combine Wave, Orange Money et carte diaspora. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
