Le verdict en trois phrases
Un marchand africain qui encaisse la carte via un hosted checkout (Paystack, Flutterwave, Stripe) relève du questionnaire PCI SAQ-A, le plus simple, car il ne touche jamais les données carte. Le 3-D Secure 2 (3DS2) est obligatoire et transfère la responsabilité de la fraude à la banque émettrice. Bien configuré, le 3DS2 réduit la fraude sans écrouler le taux de succès — mal configuré, il fait fuir les clients.
Qui porte quelle exigence de conformité carte
La peur du PCI DSS vient d'une confusion : le niveau d'effort dépend entièrement de la façon dont vous collectez la carte. Avec un champ hébergé par le prestataire, vous vous déchargez de l'essentiel.
| Exigence | Qui la porte | Effort marchand |
|---|---|---|
| Stockage des données carte | Le prestataire (PSP), jamais vous | Nul si hosted checkout |
| Questionnaire PCI SAQ-A | Le marchand (hosted fields) | Léger, déclaratif annuel |
| Chiffrement TLS du site | Le marchand | Certificat SSL standard |
| 3-D Secure 2 | PSP + banque émettrice | Activation côté PSP |
| Tokenisation des cartes | Le prestataire | Nul, géré par le PSP |
| Surveillance de la fraude | Marchand + PSP | Règles anti-fraude à régler |
Le message clé : n'hébergez jamais vous-même la saisie de carte. Un formulaire carte sur votre propre serveur vous ferait basculer vers des questionnaires PCI lourds (SAQ-D) et une responsabilité maximale.
L'effet du 3DS sur le taux de succès
Le 3DS2 ajoute une étape d'authentification (OTP, biométrie) qui protège mais peut faire abandonner. L'enjeu est de l'appliquer intelligemment, pas systématiquement au maximum de friction.
| Réglage 3DS | Effet sur la fraude | Effet sur le taux de succès |
|---|---|---|
| 3DS désactivé | Fraude élevée, responsabilité marchand | Succès élevé mais risqué |
| 3DS systématique dur | Fraude très faible | Baisse du succès (friction) |
| 3DS2 avec exemptions | Fraude faible | Succès préservé (frictionless) |
| Règles par montant | Optimisé | Friction seulement sur gros paniers |
Le coût de la non-conformité n'est pas qu'une amende : c'est surtout la responsabilité totale des impayés frauduleux (chargebacks), plus des frais de chargeback souvent de plusieurs milliers de FCFA par litige, et le risque de suspension par le prestataire.
Mini cas pratique
Aminata vend de la mode en ligne à Dakar et à l'international, avec un panier moyen de 60 000 FCFA et 500 paiements carte par mois. En 3DS systématique dur, son taux de succès carte était de 78 %, soit 110 transactions perdues par mois (6 600 000 FCFA de volume). En passant au 3DS2 avec exemptions frictionless sous 30 000 FCFA et authentification renforcée au-delà, le taux est remonté à 90 %, récupérant environ 72 transactions mensuelles tout en gardant la fraude sous 0,4 %.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Dois-je vraiment me conformer au PCI DSS si j'utilise Paystack ou Stripe ?
Oui, mais au niveau le plus léger : le SAQ-A, un questionnaire déclaratif annuel. Comme le prestataire héberge le champ carte et stocke les données, vous ne touchez jamais aux numéros de carte et l'essentiel du fardeau lui revient.
Le 3-D Secure est-il obligatoire en Afrique en 2026 ?
Oui, le 3DS2 est le standard exigé par les schémas Visa/Mastercard et les banques. Il transfère la responsabilité de la fraude à la banque émettrice quand il est correctement appliqué.
Le 3DS fait-il fuir les clients ?
Mal réglé, oui : une authentification lourde sur chaque paiement augmente l'abandon. Bien réglé, avec des exemptions frictionless sur les petits montants, il préserve le taux de succès tout en bloquant la fraude.
Qu'est-ce qu'un chargeback et combien ça coûte ?
C'est une contestation de paiement carte par le porteur, qui rembourse le client au détriment du marchand non protégé. Au-delà du montant perdu, chaque litige entraîne des frais de traitement, souvent plusieurs milliers de FCFA (ordre de grandeur 2026).
Puis-je collecter la carte directement sur mon site ?
Déconseillé : cela vous ferait basculer vers le PCI SAQ-D, très lourd, et une responsabilité maximale sur les données. Utilisez toujours les champs hébergés (hosted fields) de votre prestataire.
Discutons de votre projet. Nous configurons votre checkout carte conforme PCI et un 3DS2 réglé pour maximiser votre taux de succès. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
