Le verdict en trois phrases
Si votre boutique ne stocke, ne traite ni ne transmet jamais un numéro de carte en clair, vous relevez du SAQ-A, le niveau de conformité le plus léger. La clé est de déléguer 100 % de la saisie carte au PSP (champs hébergés ou page de redirection) pour sortir votre serveur du périmètre PCI. Un marchand qui essaie de tout gérer lui-même s'expose à un SAQ-D — 300+ exigences et un audit coûteux — sans aucun bénéfice commercial.
Les niveaux SAQ et ce qu'ils exigent
Le SAQ (Self-Assessment Questionnaire) dépend de la manière dont les données carte transitent chez vous. Plus vous déléguez, moins vous avez d'obligations. Voici les niveaux qui concernent une boutique e-commerce en 2026.
| Type SAQ | Pour qui | Nb d'exigences (ordre de grandeur) | Charge |
|---|---|---|---|
| SAQ-A | Paiement 100 % délégué (redirect / iframe) | ~22 | Très faible |
| SAQ-A-EP | Page marchande qui influence le flux carte | ~139 | Moyenne |
| SAQ-D marchand | Stockage / traitement carte en propre | ~300+ | Très lourde |
Pour 90 % des boutiques en Afrique francophone, l'objectif est simple : rester en SAQ-A. Cela signifie utiliser les champs hébergés ou la redirection du PSP, ne jamais logger de PAN, et servir tout le site en HTTPS.
Coûts et délais selon le mode d'intégration
Le choix d'intégration ne change pas seulement la sécurité : il change radicalement le coût et le délai de mise en conformité. Voici les ordres de grandeur 2026 pour une PME.
| Mode d'intégration | Niveau PCI | Coût conformité (estimation) | Délai |
|---|---|---|---|
| Redirection PSP | SAQ-A | 0 - 150 000 FCFA | 1 - 3 jours |
| Champs hébergés (iframe) | SAQ-A | 0 - 250 000 FCFA | 3 - 7 jours |
| API directe + tokenisation | SAQ-A-EP | 800 000 - 2 500 000 FCFA | 3 - 8 semaines |
| Stockage carte en propre | SAQ-D | 5 000 000+ FCFA + audit QSA | 3 - 6 mois |
La leçon : la tokenisation côté PSP vous donne l'expérience « carte enregistrée » sans faire tomber vos serveurs dans le périmètre lourd. Vous n'avez jamais le vrai numéro, seulement un jeton inutile pour un pirate.
Mini cas pratique
Aminata lance une boutique de mode à Dakar. Un prestataire lui propose une intégration « API directe » à 1 800 000 FCFA qui la placerait en SAQ-A-EP, avec scans trimestriels obligatoires. En basculant sur des champs hébergés du PSP, elle reste en SAQ-A : coût de conformité 0 FCFA, aucun scan externe imposé, et une mise en ligne en 5 jours au lieu de plusieurs semaines. Économie directe : 1 800 000 FCFA, plus les frais annuels de scan évités.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Suis-je obligé d'être conforme PCI-DSS ?
Oui, dès que vous acceptez des cartes. Mais en SAQ-A, la conformité se résume à un questionnaire d'une vingtaine de points et à utiliser un PSP certifié. Ce n'est pas un audit lourd.
Le mobile money est-il concerné par le PCI-DSS ?
Non. Le PCI-DSS ne couvre que les données de cartes de paiement. Wave, Orange Money et consorts ont leurs propres exigences de conformité, distinctes du PCI.
Qui remplit le SAQ, moi ou l'agence ?
C'est le marchand qui est responsable, mais une bonne agence configure votre boutique pour rester en SAQ-A et vous accompagne pour cocher le questionnaire. Comptez une demi-journée d'accompagnement.
Que risque une boutique non conforme ?
En cas de fuite de données carte, les pénalités des réseaux peuvent atteindre plusieurs millions de FCFA, sans compter la suspension du compte marchand. Rester en SAQ-A élimine l'essentiel de ce risque.
La tokenisation me sort-elle vraiment du périmètre ?
Oui, si le jeton est généré et détenu par le PSP et que vous ne voyez jamais le PAN. Vous stockez un identifiant inutilisable ailleurs, ce qui vous maintient en SAQ-A.
Discutons de votre projet. On conçoit votre boutique pour rester en SAQ-A et vous éviter tout audit inutile. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
