Conformité PCI

Qu’est-ce que la conformité PCI?

La conformité PCI consiste à respecter la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS, pour Payment Card Industry Data Security Standard), soit l’ensemble des règles de sécurité qui s’appliquent à toute entreprise qui accepte, traite, stocke ou transmet des données de cartes de paiement. La norme est tenue à jour par le PCI Security Standards Council, fondé par les grandes marques de cartes, et sa version actuelle est la PCI DSS v4.0.1. Elle n’est pas imposée par le gouvernement, mais par le contrat qui vous lie à votre banque acquéreuse ou à votre processeur de paiement.

Pour une boutique en ligne typique, la conformité PCI tient moins à l’achat d’un produit qu’à la façon dont votre processus de paiement est construit. Le fait que les numéros de carte touchent ou non votre serveur, que votre page de paiement charge ou non des scripts tiers, et la façon dont vous gérez les accès administrateur déterminent tous la part de la norme qui s’applique à vous. Chaque année, vous confirmez votre conformité, habituellement en remplissant un questionnaire d’auto-évaluation (SAQ, pour Self-Assessment Questionnaire) et une attestation de conformité pour votre processeur.

Pourquoi la conformité PCI est importante

Les conséquences d’un manquement à la PCI DSS retombent sur le commerçant, et non sur le développeur ou l’auteur de l’extension.

Responsabilité en cas de brèche : si des données de cartes sont volées sur votre site, votre processeur peut vous refiler les amendes des marques de cartes, les coûts d’enquête judiciaire et les frais de réémission des cartes.
Maintien de votre compte marchand : les processeurs peuvent hausser les frais, retenir des fonds ou fermer le compte des commerçants qui n’attestent pas leur conformité.
Attaques d’écrémage sur les pages de paiement : les pirates injectent souvent du JavaScript dans les pages de paiement pour copier les données de carte pendant que les clients les saisissent, un risque que la PCI DSS v4 aborde désormais directement.
Obligations en matière de vie privée : une brèche touchant des cartes est aussi une atteinte aux renseignements personnels, qui, en vertu de la LPRPDE, peut entraîner une déclaration obligatoire au Commissariat à la protection de la vie privée du Canada et un avis aux personnes concernées.

Comment fonctionne la conformité PCI

Niveau de commerçant : les marques de cartes classent les commerçants en niveaux 1 à 4 selon leur volume annuel de transactions par carte. La plupart des petites et moyennes boutiques en ligne sont de niveau 3 ou 4 et peuvent s’auto-évaluer; les commerçants de niveau 1 doivent faire l’objet d’une évaluation sur place par un évaluateur de sécurité qualifié (QSA).
Portée : tout système qui stocke, traite ou transmet des données de cartes, ou qui pourrait en compromettre la sécurité, est « dans la portée ». Réduire cette portée est de loin le moyen le plus efficace de réduire les efforts à fournir.
Type de SAQ : le SAQ A s’applique lorsque le paiement est entièrement confié à un tiers, au moyen d’une page de paiement hébergée ou des champs iframe du fournisseur. Le SAQ A-EP s’applique lorsque la page de votre propre site contrôle la façon dont les données de carte parviennent au fournisseur, par exemple par un envoi direct ou un formulaire JavaScript que vous hébergez. Le SAQ D couvre tous les autres cas et est beaucoup plus long.
Les 12 exigences : la PCI DSS s’articule autour de douze exigences, qui vont des contrôles de sécurité réseau et de la configuration sécurisée jusqu’au contrôle d’accès, à la journalisation, à la gestion des vulnérabilités, aux tests et aux politiques de sécurité.
Contrôle des scripts sur les pages de paiement : la version 4 a ajouté des exigences pour répertorier et autoriser chaque script présent sur les pages de paiement et pour détecter toute modification non autorisée; celles qui s’appliquent dépendent de votre type de SAQ, alors validez le libellé en vigueur auprès de votre processeur.
Analyses et attestation : selon votre SAQ, vous pourriez devoir faire effectuer des analyses de vulnérabilités externes chaque trimestre par un fournisseur d’analyse agréé (ASV), puis soumettre votre SAQ et votre attestation à votre processeur.

Erreurs courantes en matière de conformité PCI

Croire que la passerelle couvre tout : une passerelle de paiement conforme réduit votre portée, mais ne l’élimine pas; vous devez quand même attester pour votre propre site et pour la façon dont il transmet le paiement.
Conserver des données de cartes inutiles : des numéros de carte enregistrés dans des notes de commande, des courriels, des tableurs ou un champ de base de données personnalisé font entrer tout votre site dans la portée complète. Les données d’authentification sensibles, comme le CVV, ne doivent jamais être conservées après l’autorisation.
Scripts non gérés au paiement : les widgets de clavardage, les cartes de chaleur, les outils de tests A/B et les gestionnaires de balises chargés sur la page de paiement élargissent tous la surface d’attaque.
Sécurité administrateur déficiente : des identifiants d’administration WordPress partagés, l’absence d’authentification multifacteur et des extensions désuètes sur le serveur de la boutique minent toutes les autres mesures de contrôle.
Choisir le mauvais SAQ : remplir le SAQ A alors que votre intégration exige en réalité le A-EP revient à attester quelque chose d’inexact.

Bonnes pratiques en matière de conformité PCI

Utilisez des champs de paiement hébergés ou en iframe : choisissez une intégration où les données de carte passent directement du navigateur du client au fournisseur, sans jamais atteindre votre serveur.
Allégez la page de paiement : ne chargez que les scripts dont elle a besoin, tenez-en un inventaire et utilisez une politique de sécurité du contenu (CSP) et des vérifications d’intégrité lorsque c’est possible.
Renforcez la plateforme : gardez WordPress, WooCommerce et les extensions à jour, imposez l’authentification multifacteur à chaque administrateur, utilisez des comptes individuels et supprimez ceux dont vous n’avez plus besoin. Notre fiche sur la sécurité WordPress donne tous les détails.
Chiffrez tout ce qui transite : servez l’ensemble du site en HTTPS avec un certificat SSL valide et des paramètres TLS modernes.
Documentez au fur et à mesure : consignez le SAQ que vous utilisez et pourquoi, votre inventaire de scripts et votre routine de mises à jour, afin que l’attestation annuelle soit une simple révision plutôt qu’une course contre la montre.

La conformité PCI chez PerfectPixels

Lorsque nous concevons des boutiques WooCommerce ou sur mesure, nous bâtissons le processus de paiement de façon à garder les données de cartes hors de vos serveurs, habituellement grâce aux champs hébergés de la passerelle, ce qui maintient la plupart de nos clients dans la catégorie de SAQ la plus simple. Nous gardons la page de paiement exempte de scripts superflus, renforçons l’installation WordPress et documentons la configuration pour que vous puissiez remplir votre questionnaire en toute confiance. Nous ne sommes pas un évaluateur de sécurité qualifié; pour les évaluations officielles, nous travaillons donc de concert avec votre processeur ou votre évaluateur. Consultez nos services de commerce électronique pour en savoir plus.

Foire aux questions

Les petites boutiques en ligne doivent-elles être conformes à la norme PCI?

Oui. La PCI DSS s’applique à tout commerçant qui accepte les paiements par carte, quelle que soit sa taille. Les petits commerçants valident généralement leur conformité au moyen d’un questionnaire d’auto-évaluation plutôt que d’un audit, et un processus de paiement bien conçu peut rendre ce questionnaire très court.

Utiliser Stripe, Square ou PayPal me rend-il conforme à la norme PCI?

Cela aide beaucoup, puisque ces fournisseurs sont eux-mêmes conformes et que leurs champs hébergés gardent les données de cartes hors de votre site. Vous demeurez toutefois responsable de votre propre attestation et de la sécurité des pages qui chargent leur formulaire de paiement.

Quelle est la différence entre le SAQ A et le SAQ A-EP?

Le SAQ A s’adresse aux commerçants qui confient entièrement la saisie des cartes au fournisseur, par une redirection ou par l’iframe du fournisseur. Le SAQ A-EP s’adresse aux sites dont les propres pages influent sur la façon dont les données de carte sont recueillies; il comporte beaucoup plus d’exigences, dont des analyses de vulnérabilités régulières.

Ressources connexes

Pour aller plus loin : Normes PCI DSS et bibliothèque de documents — PCI Security Standards Council.