Beaucoup de commerçants en ligne pensent qu'en confiant l'encaissement à Stripe, PayPal ou un prestataire équivalent, la question de la sécurité des paiements ne les concerne plus directement. C'est en partie vrai, mais partiellement seulement. La norme PCI DSS, qui encadre la sécurité des données de cartes bancaires, continue de s'appliquer à toute entreprise qui accepte des paiements par carte, y compris lorsque le traitement technique est délégué à un tiers.
Ce que PCI DSS signifie concrètement
PCI DSS, pour Payment Card Industry Data Security Standard, est un ensemble d'exigences de sécurité imposé par les réseaux de cartes bancaires eux mêmes, comme Visa et Mastercard, à toute entreprise qui stocke, traite ou transmet des données de carte. Ce n'est pas une loi au sens strict, mais une obligation contractuelle liée à l'acceptation des paiements par carte, dont le non respect peut entraîner des pénalités appliquées par l'intermédiaire de la banque du commerçant.
Pourquoi une PME utilisant Stripe ou PayPal reste concernée
La grande majorité des petits commerces en ligne relèvent de la catégorie la plus simple, appelée SAQ A, réservée aux marchands qui externalisent entièrement le traitement du paiement vers un prestataire lui même conforme. C'est le cas typique d'une boutique WooCommerce qui redirige le client vers une page de paiement hébergée par Stripe ou PayPal, ou qui intègre leur formulaire sans jamais faire transiter le numéro de carte par son propre serveur. Ce niveau simplifié réduit fortement la charge de conformité, mais ne la supprime pas entièrement : le commerçant garde des responsabilités propres, notamment sur la sécurité de sa propre page web autour du module de paiement.
Ce qui a changé depuis 2025
La version 4.0 de la norme, devenue pleinement obligatoire depuis le 31 mars 2025, a introduit deux exigences qui concernent directement les sites e-commerce utilisant un paiement hébergé : la surveillance des scripts tiers chargés sur la page de paiement, et un mécanisme d'autorisation pour tout script ajouté ou modifié sur cette page. Concrètement, un site WooCommerce qui charge des scripts d'analyse, des pixels publicitaires, ou des extensions de marketing sur la même page que le module de paiement, même hébergé, doit désormais tenir un inventaire de ces scripts et surveiller toute modification non autorisée. Ces exigences existent parce qu'un script tiers compromis sur une page de paiement peut intercepter les données de carte au moment de la saisie, même si le formulaire de paiement lui même appartient à Stripe ou PayPal.
Les autres obligations qui restent, même en SAQ A
Le formulaire d'auto évaluation SAQ A reste le plus court, mais il ne se limite pas à une simple déclaration. Il implique de confirmer que le site ne stocke, ne traite et ne transmet aucune donnée de carte en clair, que le prestataire de paiement est bien lui même certifié PCI DSS, et de conserver la preuve de cette conformité, généralement via une attestation fournie par le prestataire. La norme impose également, pour tous les niveaux, une authentification à plusieurs facteurs pour tout accès administratif touchant à l'environnement de paiement, ainsi que des mots de passe d'au moins douze caractères.
Ce qu'une PME doit concrètement vérifier
La première étape consiste à identifier quel formulaire d'auto évaluation s'applique réellement, en fonction de la façon dont le paiement est intégré techniquement, plutôt que de supposer automatiquement le niveau le plus simple. La deuxième consiste à dresser l'inventaire des scripts tiers présents sur la page de paiement du site, souvent plus nombreux qu'on ne le pense une fois les extensions marketing et analytics prises en compte. La troisième consiste à demander au prestataire de paiement son attestation de conformité PCI DSS à jour, document qui doit normalement être disponible sur simple demande.
Un sujet à ne pas sous-traiter entièrement
Le message souvent véhiculé selon lequel utiliser Stripe ou PayPal rend la conformité PCI automatique est inexact et peut créer un faux sentiment de sécurité chez le commerçant. Externaliser le traitement du paiement reste la meilleure décision technique pour une PME, car cela réduit très fortement le périmètre de responsabilité, mais cela ne dispense pas de vérifier les quelques obligations qui restent, en particulier depuis le renforcement de la norme sur les scripts de page de paiement.
Points à vérifier avant publication : confirmer à la date de publication que la version 4.0.1 de PCI DSS reste la seule version active exigée par les réseaux de cartes, que l'échéance du 31 mars 2025 pour les exigences précédemment différées demeure exacte, et vérifier que la description du périmètre SAQ A et des exigences 6.4.3 et 11.6.1 correspond toujours à la documentation officielle du PCI Security Standards Council.