Le verdict en trois phrases
En Afrique comme ailleurs, la conformité PCI DSS 2026 se résume à un principe : ne jamais stocker le PAN (numéro de carte) sur vos serveurs. En déléguant la saisie au PSP via des hosted fields ou une page de paiement hébergée, vous réduisez votre périmètre du lourd SAQ-D (~300 questions) au léger SAQ-A (~22 questions). Résultat : le 3-D Secure 2 est géré par le PSP, l'audit se simplifie, et votre coût de conformité tend vers zéro.
SAQ-A vs SAQ-D : le choix qui change tout
Le questionnaire d'auto-évaluation (SAQ) qui s'applique à vous dépend d'une seule décision d'architecture : qui touche les données de carte ?
| Critère | SAQ-A (hosted) | SAQ-D (stockage) |
|---|---|---|
| Nombre de questions | ~22 | ~300 |
| Qui saisit la carte | Le PSP | Votre serveur |
| Stockage du PAN | Jamais | Chez vous (chiffré) |
| 3-D Secure 2 | Géré par le PSP | À votre charge |
| Audit annuel | Auto-évaluation | Auto-évaluation lourde / QSA |
| Coût de conformité | ~0 | Élevé |
La conclusion opérationnelle est nette : sauf besoin réglementaire rare, tout marchand africain a intérêt à rester en SAQ-A via hosted fields.
Répartition des responsabilités marchand / PSP
La conformité n'est pas un transfert total : même en hosted fields, certaines obligations restent chez le marchand.
| Responsabilité | Marchand | PSP |
|---|---|---|
| Saisie sécurisée du PAN | — | Oui |
| Chiffrement en transit (TLS) | Partagé | Oui |
| 3-D Secure 2 / authentification | — | Oui |
| Gestion des accès / mots de passe | Oui | — |
| Journalisation des accès admin | Oui | — |
| Certification PCI de l'infrastructure | — | Oui |
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Même libéré du stockage de carte, le marchand doit sécuriser ses propres accès et journaliser son back-office : c'est là que se logent la plupart des incidents réels.
Mini cas pratique
Moussa lance une plateforme de billetterie à Abidjan et voulait, par confort, stocker les cartes de ses clients fidèles. Ce choix l'aurait basculé en SAQ-D (~300 questions), avec audit lourd et coût estimé à plusieurs millions de FCFA par an. En optant pour les hosted fields de son PSP, il reste en SAQ-A (~22 questions), ne stocke aucun PAN, et son coût de conformité annuel tombe à quasi 0 FCFA — le PSP portant la certification de l'infrastructure de paiement.
FAQ
Suis-je obligé d'être conforme PCI DSS si j'utilise un PSP ? Oui, tout marchand acceptant la carte est concerné, mais en hosted fields votre obligation se limite au SAQ-A d'environ 22 questions, largement gérable en interne.
Le 3-D Secure 2 est-il obligatoire en 2026 ? Oui, l'authentification forte via 3-D Secure 2 est la norme sur les paiements par carte, et elle est portée par le PSP quand vous utilisez sa page hébergée.
Puis-je stocker les cartes pour faciliter les rachats ? Non, pas sur vos serveurs. Utilisez la tokenisation du PSP : vous conservez un jeton inoffensif, jamais le PAN, ce qui vous maintient en SAQ-A.
Combien coûte un audit PCI en SAQ-A ? En pratique, l'auto-évaluation SAQ-A ne génère pas de coût d'audit externe : c'est un questionnaire annuel que vous remplissez, contrairement au SAQ-D qui peut exiger un QSA.
Discutons de votre projet. On conçoit votre paiement carte en SAQ-A, sans stockage de PAN, conforme et sans surcoût. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
