Le verdict en trois phrases
PCI-DSS n'est pas réservé aux banques : dès que vous encaissez une carte, même via un agrégateur, vous avez des obligations. La stratégie gagnante 2026 est la délégation totale : le PAN (numéro de carte) ne touche jamais votre serveur, vous restez en SAQ-A (le questionnaire le plus simple) et vous évitez un audit lourd. Le piège : un champ carte hébergé sur votre propre page, ou un log qui capture un numéro, vous fait basculer dans un périmètre bien plus coûteux.
Le principe : ne jamais toucher la carte
Pour le mobile money (Wave, Orange Money), il n'y a pas de PAN carte : le risque PCI-DSS concerne surtout la partie carte bancaire de votre checkout (clients internationaux, Stripe). La règle d'or : tokenisation. La carte est saisie dans un champ hébergé par l'agrégateur (iframe ou redirection), qui renvoie un token. Vous stockez et rejouez le token, jamais le numéro.
| Type d'intégration | Qui voit le PAN | SAQ applicable | Charge de conformité |
|---|---|---|---|
| Redirection vers page agrégateur | Agrégateur seul | SAQ-A | Minimale |
| Champ iframe hébergé (tokenisation) | Agrégateur seul | SAQ-A | Minimale |
| Champ carte sur votre page + JS agrégateur | Zone grise | SAQ-A-EP | Moyenne |
| Formulaire carte transitant par votre serveur | Vous | SAQ-D | Lourde et coûteuse |
| Stockage du PAN en base | Vous | SAQ-D + audit | Très lourde |
Plus vous montez dans le tableau, plus le coût explose. Un SAQ-D implique scans trimestriels, tests d'intrusion et documentation ; un SAQ-A tient en un questionnaire d'auto-évaluation.
Ce qu'un marchand doit réellement gérer
Même en SAQ-A, vous n'êtes pas dispense de tout. Voici les contrôles à votre charge et le coût de conformité évité en restant bien positionné.
| Exigence côté marchand | Applicable en SAQ-A | Coût d'un écart (ordre de grandeur) |
|---|---|---|
| HTTPS/TLS sur tout le checkout | Oui | Perte de confiance, blocage navigateur |
| Aucun PAN dans les logs | Oui | Bascule en SAQ-D |
| Tokenisation via agrégateur | Oui | Bascule en SAQ-D |
| Gestion des accès (moindre privilege) | Oui | Faille interne |
| Mises à jour de sécurité | Oui | Vulnérabilité exploitable |
| Test d'intrusion annuel | Non (SAQ-A) | 1 500 000 à 4 000 000 FCFA évités |
| Scan ASV trimestriel | Non (SAQ-A) | Coût récurrent évité |
En restant en SAQ-A, un marchand africain évite typiquement 1 500 000 à 4 000 000 FCFA de frais d'audit annuels. C'est l'argument économique principal de la délégation.
Mini cas pratique
Ibrahim, restaurateur à Abidjan, ajoute la commande en ligne avec paiement carte pour la diaspora. Son premier prestataire lui code un formulaire carte sur sa propre page, avec le numéro transitant par son serveur PHP. Verdict : SAQ-D, scans et audit obliges, environ 2 800 000 FCFA de conformité la première année. Refonte avec Kolonell : champ carte en iframe tokenisé, aucun PAN sur le serveur. Il repasse en SAQ-A, un simple questionnaire annuel. Économie directe : environ 2 500 000 FCFA, plus la tranquillité juridique.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Le mobile money est-il concerné par PCI-DSS ?
PCI-DSS vise les données de carte bancaire. Wave et Orange Money n'utilisent pas de PAN carte, donc l'essentiel du risque PCI vient de la partie carte de votre checkout (souvent Stripe pour l'international).
C'est quoi le SAQ-A et pourquoi le viser ?
Le SAQ-A est le questionnaire d'auto-évaluation le plus léger, réservé aux marchands qui delegent entièrement la carte à un tiers. Il évite scans trimestriels et tests d'intrusion, soit plusieurs millions de FCFA par an.
Puis-je stocker les numéros de carte pour faciliter les rachats ?
Non, jamais en clair. Utilisez la tokenisation de l'agrégateur : vous stockez un token réutilisable, pas le PAN. Stocker le PAN vous fait basculer en SAQ-D avec audit complet.
Un champ carte sur ma page me sort-il du SAQ-A ?
Souvent oui, vers le SAQ-A-EP voire SAQ-D selon l'implémentation. Prefdez une iframe où une redirection ou seul l'agrégateur voit la saisie.
Qui vérifie ma conformité PCI-DSS ?
Votre agrégateur ou votre banque acquéreur peut demander votre SAQ signé. En cas d'incident, l'absence de conformité peut entraîner amendes et responsabilité accrue.
Discutons de votre projet. Nous concevons votre checkout pour rester en SAQ-A et vous éviter un audit inutile. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
