Le verdict en trois phrases
La bonne stratégie PCI DSS pour une boutique en Afrique de l'Ouest est de ne jamais toucher au numéro de carte : en déléguant la saisie à un PSP (hosted fields), vous tombez en SAQ A, la plus légère. La SAQ A compte environ 22 exigences contre ~300 pour la SAQ D, dont l'audit coûte 3 à 6 M FCFA par an. La tokenisation supprime le stockage du PAN et met la conformité à portée en environ 2 semaines.
SAQ A vs SAQ D : la décision structurante
PCI DSS s'applique dès que vous acceptez la carte. Mais votre "scope" — l'ampleur des exigences — dépend entièrement de qui manipule les données de carte. Si c'est votre serveur, vous êtes en SAQ D, lourde et coûteuse. Si c'est le PSP via des champs hébergés (Paystack, Flutterwave), vous êtes en SAQ A.
| Critère | SAQ A (hosted) | SAQ D (custom) |
|---|---|---|
| Exigences | ~22 | ~300 |
| Qui saisit la carte | PSP | Votre site |
| Stockage PAN | Aucun (token) | Oui, chiffré |
| Audit annuel | Auto-évaluation | 3-6 M FCFA/an |
| Délai de conformité | ~2 semaines | Plusieurs mois |
| Risque | Faible | Élevé |
Le message est clair : sauf raison impérieuse, restez en SAQ A. Passer en SAQ D pour "contrôler l'expérience" revient à assumer des centaines d'exigences et un audit annuel à cinq chiffres en euros.
Tokenisation et rôle du PSP
La tokenisation remplace le numéro de carte (PAN) par un jeton inutilisable hors de votre PSP. Vous ne stockez jamais la carte : vous stockez un token pour les paiements récurrents. C'est ce qui permet de rester en SAQ A tout en offrant l'abonnement ou le paiement en un clic.
| Élément | Sans tokenisation | Avec tokenisation |
|---|---|---|
| Donnée stockée | PAN chiffré | Token |
| Scope PCI | SAQ D | SAQ A |
| Paiement récurrent | Complexe | Natif |
| Risque de fuite | Élevé | Quasi nul |
| Conformité portée par | Vous | Le PSP |
Parfois négligé : la non-conformité peut coûter jusqu'à 100 000 USD d'amende (ordre de grandeur imposé par les réseaux), sans compter la perte de la capacité à accepter la carte. Face à cela, deux semaines de mise en conformité SAQ A avec un PSP qui porte la conformité sont un investissement évident.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Moussa lance une boutique de mode à Dakar et hésite à développer son propre formulaire de carte "pour le design". Cette option le placerait en SAQ D : audit annuel estimé à 4 M FCFA, plusieurs mois de travail, et le risque d'amende.
En choisissant les champs hébergés de son PSP et la tokenisation, Moussa reste en SAQ A : conformité en 2 semaines, zéro stockage de carte, aucun audit externe lourd. Il économise environ 4 M FCFA par an et lance sa boutique un trimestre plus tôt.
FAQ
Suis-je concerné par PCI DSS si j'utilise un PSP ? Oui, mais au niveau le plus léger. Avec des champs hébergés, vous êtes en SAQ A (~22 exigences) au lieu de la SAQ D (~300).
La tokenisation permet-elle les abonnements ? Oui. Vous stockez un token, pas la carte, ce qui autorise le paiement récurrent et le "un clic" tout en restant en SAQ A.
Combien coûte un audit SAQ D ? Ordre de grandeur 3 à 6 M FCFA par an, sans compter le temps interne. C'est la raison principale de préférer la SAQ A.
Combien de temps pour être conforme en SAQ A ? Environ 2 semaines avec un PSP comme Paystack ou Flutterwave, puisqu'ils portent l'essentiel de la conformité.
Que risque-t-on en cas de non-conformité ? Des amendes pouvant aller jusqu'à 100 000 USD selon les réseaux, et surtout la perte du droit d'accepter la carte. Le risque est disproportionné face au coût de la SAQ A.
Discutons de votre projet. Nous intégrons un PSP en champs hébergés + tokenisation pour vous garder en SAQ A. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
