Ce qui se joue derrière le bouton « Payer »
Une entreprise qui vend en ligne ne encaisse presque jamais elle-même. Elle délègue. À un prestataire, à une passerelle, parfois aux deux sans bien distinguer lequel fait quoi. Et c'est précisément là que le malentendu s'installe : déléguer l'encaissement ne déplace pas la responsabilité juridique d'un millimètre.
Le raisonnement paraît pourtant imparable. Le prestataire affiche fièrement sa certification PCI DSS niveau 1 sur sa page d'accueil, le module s'installe en trois clics depuis le back-office, l'argent tombe sur le compte. Dossier clos, non ? Sauf qu'en cas de compromission, l'acquéreur ne se retourne pas contre le PSP. Il se retourne contre le commerçant. Celui dont le nom figure sur le contrat d'acceptation.
Deux questions structurent tout ce qui suit. Quelle architecture d'encaissement retenir, d'abord. Et où s'arrête exactement la responsabilité de chacun dans la chaîne, ensuite. Ces deux questions n'en font qu'une, en réalité, parce que le choix technique détermine mécaniquement la charge de conformité. Un arbitrage pris en réunion produit un questionnaire d'auto-évaluation de 22 questions ou de 300. Personne ne le mentionne au moment de l'arbitrage.
Ce texte s'adresse au dirigeant qui signe, au responsable e-commerce qui arbitre le tunnel, au DSI de PME qui hérite du dossier. Ce qu'ils en retirent : une méthode de sélection, une lecture claire du partage des responsabilités, et de quoi éviter les erreurs que l'on répare rarement à moindre coût.
Ce que recouvre réellement une solution d'encaissement en ligne
Les cinq acteurs de la chaîne de paiement
Un paiement par carte mobilise cinq intervenants. Tous, à chaque transaction, en quelques centaines de millisecondes.
Le commerçant vend et présente le formulaire. Le PSP, prestataire de services de paiement, collecte les données et orchestre la transaction. L'acquéreur, souvent une banque, détient le contrat d'acceptation et porte le risque financier. Les réseaux de cartes (Visa, Mastercard, CB) définissent les règles du jeu et acheminent les messages. La banque émettrice, enfin, celle du porteur, autorise ou refuse.
Le parcours réel : le client saisit son numéro, la donnée part vers le PSP, remonte à l'acquéreur, traverse le réseau, atteint l'émetteur qui vérifie le solde et le profil de risque, puis l'autorisation redescend. Le commerçant voit s'afficher « paiement accepté ». Il ne verra l'argent que plus tard, deux jours, sept jours, parfois trente selon le contrat, après la compensation et le règlement.
Cette distinction entre autorisation et versement effectif surprend encore beaucoup de dirigeants. Elle explique pourquoi un prestataire peut geler des fonds tout en ayant validé les transactions.
Passerelle, PSP, agrégateur : trois mots qu'on confond
Le vocabulaire du secteur est un champ de mines. Trois termes circulent comme des synonymes alors qu'ils désignent des réalités contractuelles opposées.
La passerelle de paiement est un tuyau technique. Elle transporte, chiffre, route. Elle ne détient pas de contrat d'acquisition et ne manipule pas les fonds. Un pur composant d'infrastructure.
Le PSP est un intervenant contractuel. Il fournit la passerelle, souvent, mais il porte aussi une relation commerciale, un cadre juridique, parfois l'acquisition elle-même. C'est avec lui que se négocient les conditions.
L'agrégateur fonctionne différemment : il encaisse sur son propre compte de masse, puis reverse. Le commerçant n'a pas de contrat d'acquisition à son nom, il devient sous-marchand. Mise en route express, périmètre de conformité minimal. Contrepartie rarement lue : l'agrégateur peut suspendre un compte, geler des fonds, appliquer une grille tarifaire non négociable. Les conditions générales le prévoient noir sur blanc.
Le mot choisi dans le contrat détermine le régime de responsabilité. Vérifiez ce qui est écrit, pas ce que dit le commercial.
Le statut réglementaire du prestataire
Manier de l'argent des tiers suppose un agrément. En France, l'ACPR délivre trois statuts principaux dans ce domaine.
L'établissement de paiement peut exécuter des opérations et détenir des fonds sur des comptes cantonnés. L'établissement de monnaie électronique émet et gère de la monnaie électronique, avec des obligations prudentielles renforcées. L'agent de PSP, en revanche, agit pour le compte d'un établissement agréé sans détenir l'agrément lui-même : il en est simplement le mandataire déclaré.
La vérification prend cinq minutes sur le registre REGAFI. Le passeport européen complique légèrement les choses : un établissement agréé en Lituanie, en Irlande ou aux Pays-Bas opère parfaitement en France. Légal, encadré, courant. Mais l'autorité de contrôle n'est plus française, et le recours en cas de litige non plus.
Un prestataire qui esquive la question de son agrément mérite une seconde question. Puis une décision.
Les modèles d'intégration technique et leur impact direct sur la conformité
Redirection vers une page hébergée
Le client clique, quitte le site marchand, atterrit sur une page hébergée par le prestataire, paie, revient. Les données de carte n'approchent jamais l'infrastructure du commerçant.
Avantage décisif, et il est énorme : le périmètre PCI DSS se réduit au strict minimum. Le SAQ A, une vingtaine de questions selon les cas, remplace un audit lourd. Pour une PME, l'écart de charge se compte en semaines de travail et en dizaines de milliers d'euros.
Le prix à payer se lit dans le tunnel. La rupture visuelle inquiète une partie des acheteurs, surtout si la page de paiement ressemble mal au site d'origine. Les personnalisations disponibles ont beaucoup progressé, logo, couleurs, typographie, mais le domaine change et certains visiteurs le remarquent. L'impact sur la conversion existe. Il varie selon les catalogues, les paniers, les audiences, et se mesure plutôt qu'il ne se suppose.
Cas d'usage naturels : petits et moyens volumes, catalogues simples, équipes techniques réduites, activités où la conformité pèse plus lourd que le dernier point de conversion.
Champs iframe et champs hébergés
Le compromis dominant aujourd'hui, et pour de bonnes raisons.
Le formulaire de paiement s'affiche dans le parcours du site marchand. Visuellement, tout est cohérent. Techniquement, les champs sensibles, numéro de carte, date d'expiration, cryptogramme, sont servis dans une iframe appartenant au domaine du prestataire. Le navigateur applique sa politique de même origine : le JavaScript du commerçant ne peut pas lire le contenu de ces champs. Il ne le peut pas, ce n'est pas une question de discipline mais d'architecture navigateur.
La carte part directement du navigateur du client vers le prestataire, qui retourne un jeton. Le serveur marchand ne voit qu'un identifiant inexploitable ailleurs.
Le périmètre reste réduit, mais pas autant qu'en redirection. Le SAQ A-EP s'applique dans plusieurs configurations, environ 140 questions, parce que la page qui héberge l'iframe influence la sécurité de la transaction. Une page compromise peut superposer un faux formulaire par-dessus le vrai. C'est exactement la technique qu'on observe dans les attaques de skimming côté navigateur.
Intégration API directe
Le formulaire appartient au commerçant, les données transitent par ses serveurs, l'appel part vers l'API du prestataire. Contrôle total : parcours sur mesure, gestion fine des cas d'erreur, orchestration multi-prestataires, logique de routage propriétaire.
Et bascule complète du périmètre de conformité. SAQ D, plus de 300 exigences, chiffrement documenté, segmentation réseau, tests d'intrusion, journalisation centralisée, gestion des accès formalisée. Au-delà d'un certain volume, audit sur site annuel par un QSA.
Combien d'entreprises ont réellement besoin de ce niveau de contrôle ? Très peu. Une plateforme qui traite plusieurs millions de transactions, qui répartit ses flux entre trois acquéreurs pour optimiser ses taux d'acceptation, qui a constitué une équipe sécurité dédiée : oui. Une PME qui vend 400 commandes par mois : non, et il n'y a pas de zone grise.
Le piège, c'est l'argument de la maîtrise. Il séduit les équipes techniques, il flatte l'ambition, et il coûte des budgets récurrents qui n'apparaissent nulle part dans le comparatif initial.
Tableau de synthèse
| Critère | Redirection | Iframe / champs hébergés | API directe |
|---|---|---|---|
| Effort d'intégration | Faible, quelques jours | Modéré, une à trois semaines | Élevé, plusieurs mois |
| Maîtrise de l'expérience | Limitée | Bonne | Totale |
| Exigence PCI DSS | SAQ A | SAQ A ou A-EP | SAQ D, audit possible |
| Coût de maintenance | Minimal | Contenu | Structurel et permanent |
| Réversibilité | Aisée | Correcte | Complexe |
Une lecture s'impose : la ligne « exigence PCI DSS » commande toutes les autres. Elle se décide en amont, pas au moment de remplir le questionnaire.
PCI DSS : ce que la norme impose vraiment
Origine, périmètre et version en vigueur
La norme n'émane d'aucun régulateur public. Elle est produite par le PCI Security Standards Council, fondé en 2006 par Visa, Mastercard, American Express, Discover et JCB. Ce n'est pas une loi, c'est une exigence contractuelle imposée par les réseaux et répercutée en cascade jusqu'au commerçant via son contrat d'acceptation.
Sans force de loi, donc. Mais avec des conséquences très concrètes : perdre le droit d'accepter la carte bancaire, pour un site e-commerce, revient à fermer.
Le périmètre est formulé simplement et couvre large : toute entité qui stocke, traite ou transmet des données de carte. Trois verbes. Un seul suffit à faire entrer dans le champ. Le fichier Excel oublié sur un poste avec des numéros saisis à la main : stockage. Le formulaire qui poste vers le serveur avant de rediriger : transmission.
La version 4.0.1 s'applique depuis 2024, et les exigences dites « bonnes pratiques » sont devenues obligatoires le 31 mars 2025. Cette date a fait basculer un lot d'exigences que beaucoup avaient rangées dans la colonne « plus tard ». Plus tard, c'est maintenant.
Les niveaux de marchand
Quatre niveaux, calés sur le volume annuel de transactions par carte, avec des seuils qui varient légèrement selon les réseaux.
Niveau 1, au-delà de six millions de transactions annuelles : audit sur site par un QSA, rapport de conformité complet, scans trimestriels par un ASV. Niveau 2, de un à six millions : questionnaire d'auto-évaluation, éventuellement contresigné, plus scans trimestriels. Niveau 3, de 20 000 à un million de transactions e-commerce : SAQ et scans. Niveau 4, en dessous : SAQ et scans, avec des modalités souvent définies par l'acquéreur.
Nuance qui mérite d'être signalée : le niveau détermine le mode de validation, pas le niveau d'exigence technique. Un commerçant de niveau 4 est soumis aux mêmes exigences de sécurité qu'un niveau 1. Il les atteste différemment. La différence porte sur la charge de preuve, pas sur les obligations de fond, et cette confusion nourrit beaucoup de faux calme.
Choisir le bon SAQ
Voilà le point où la décision technique se transforme en charge administrative, avec une correspondance presque mécanique.
SAQ A : externalisation totale. Redirection, ou iframe dans laquelle le commerçant n'intervient jamais. Une vingtaine de questions.
SAQ A-EP : le commerçant ne touche pas les données mais contrôle la page qui les collecte. Environ 140 questions, incluant sécurisation du serveur web, gestion des vulnérabilités, contrôle des accès.
SAQ D : le commerçant stocke, traite ou transmet. Plus de 300 exigences. Un projet, pas un formulaire.
Le rapport est de un à quinze entre le premier et le dernier. Cet écart devrait figurer sur la première diapositive de tout comité d'arbitrage sur l'architecture de paiement. Il n'y figure presque jamais.
Les nouvelles exigences sur les scripts de page de paiement
Les exigences 6.4.3 et 11.6.1, introduites en version 4.0, méritent une attention particulière parce qu'elles changent la donne pour des marchands qui se croyaient tranquilles.
La menace visée porte un nom : le skimming côté navigateur, souvent désigné sous le terme Magecart. Le principe est redoutable de simplicité. L'attaquant n'attaque pas le serveur du marchand. Il compromet un script tiers, une balise analytique, un outil de chat, une bibliothèque chargée depuis un CDN, et injecte quelques lignes de JavaScript qui recopient les frappes clavier vers un serveur externe.
Le paiement aboutit normalement. Le client ne voit rien. Le marchand non plus, parfois pendant des mois.
D'où les deux exigences. La 6.4.3 impose un inventaire de tous les scripts chargés sur la page de paiement, avec justification de chacun et autorisation formelle. La 11.6.1 impose un mécanisme de détection des modifications non autorisées, sur les scripts comme sur les en-têtes HTTP.
Le point qui surprend : même un marchand en SAQ A est concerné dès lors que sa page héberge une iframe de paiement. C'est bien sa page qui charge les scripts, donc son périmètre. Combien de sites listent aujourd'hui précisément les scripts de leur page de commande ? Une minorité. La question vaut la peine d'être posée à l'équipe technique, cette semaine plutôt que la prochaine.
Qui porte la responsabilité : la question centrale
Le principe de responsabilité partagée
« Notre prestataire est certifié PCI DSS niveau 1, nous sommes couverts. » Cette phrase revient à chaque audit. Elle est fausse.
La certification du prestataire couvre le périmètre du prestataire. Ses serveurs, ses processus, son infrastructure. Elle ne dit rien du site marchand, des postes de travail des équipes, du CRM qui reçoit des numéros par e-mail, du fichier de réconciliation exporté chaque mois.
La logique est celle du cloud, connue de tous les DSI : le fournisseur sécurise l'infrastructure, le client sécurise ce qu'il y dépose. Un compartiment de stockage laissé public n'est pas une faille du fournisseur. C'est une erreur de configuration du client.
Même mécanisme ici. La conformité s'assemble par morceaux, chacun responsable du sien, et les zones non attribuées reviennent par défaut au commerçant.
La matrice de responsabilité
Ce document existe, il porte parfois le nom de matrice de responsabilité ou de responsibility matrix, et tout prestataire sérieux le fournit sur demande. Il liste les exigences PCI DSS une par une et indique, pour chacune : à la charge du prestataire, à la charge du client, ou partagée.
Le réclamer avant de signer, systématiquement. Un prestataire qui traîne à le fournir, qui renvoie vers un PDF marketing de quatre pages, ou qui répond que « tout est géré », vient de livrer une information utile sur son sérieux.
À la lecture, quelques points appellent une vigilance immédiate. Les lignes « partagées », d'abord, parce qu'elles cachent souvent une ambiguïté qui se révèle au pire moment. Les exigences 6.4.3 et 11.6.1 ensuite, presque toujours côté client. La gestion des accès à l'interface d'administration du prestataire, ensuite : côté client dans l'écrasante majorité des cas. La conservation des journaux, enfin, dont la durée effective réserve des surprises.
Une heure de lecture attentive. Le meilleur retour sur temps investi de tout le projet.
Ce qui reste toujours à la charge du commerçant
Une liste courte, mais non négociable, et valable quel que soit le modèle d'intégration.
La gestion des accès : qui dispose d'un compte sur le back-office de paiement, avec quels droits, depuis quand, et surtout, les comptes des personnes parties sont-ils désactivés ? Le stagiaire de l'été dernier a-t-il encore un identifiant actif ? La question fait sourire jusqu'au moment où l'on vérifie.
La sécurisation du site marchand : correctifs appliqués, CMS et extensions à jour, absence de vulnérabilités exploitables. Un site compromis reste un site compromis, même si aucune donnée de carte n'y transite.
La formation des équipes, notamment le service client, premier exposé aux demandes qui violent la norme.
Le contrôle des sous-traitants, y compris ceux du second rang. Le PSP recourt à un hébergeur, à un fournisseur anti-fraude, à un service d'authentification. Cette chaîne se documente. Une exigence entière de la norme y est consacrée.
Le plan de réponse à incident, enfin. Qui appeler à 23 heures un samedi ? Dans quel ordre ? Avec quels contacts ? Improviser ce jour-là coûte cher.
Les zones grises fréquentes
Elles réintègrent le commerçant dans le périmètre sans que personne ne l'ait décidé. Le site est parfaitement externalisé, le SAQ A signé, et pourtant.
La prise de commande par téléphone. Un client appelle, dicte son numéro, un collaborateur le saisit. Que se passe-t-il ensuite ? Le post-it, le carnet, le champ « commentaire » du CRM, la note dans le fichier partagé. Le périmètre vient de s'étendre à l'ensemble du système d'information.
L'enregistrement des appels. Beaucoup de centres enregistrent pour la qualité. Si le client dicte sa carte pendant l'appel, le cryptogramme se retrouve stocké dans un fichier audio. Or la norme interdit formellement la conservation du cryptogramme après autorisation, y compris sous forme sonore. Ce cas est explicitement traité, et il est fréquent.
La saisie manuelle en back-office. Elle passe par un poste de travail, dans un réseau bureautique, avec une messagerie, un navigateur et des extensions. Ce poste entre dans le périmètre.
Les tickets de support. Le client colle son numéro dans le formulaire de contact, croyant bien faire. Le ticket part dans l'outil, la copie dans les boîtes mail, la sauvegarde chez l'hébergeur. Une politique de purge automatique et une détection en amont deviennent nécessaires.
Les exports comptables, enfin. Certains contiennent des données partielles. Ils circulent par mail, atterrissent chez l'expert-comptable, dorment sur un partage réseau.
Le point commun de ces cinq situations : personne ne les a décidées. Elles se sont installées par commodité, une à une, sans arbitrage.
Les conséquences concrètes d'une non-conformité
Sanctions financières et contractuelles
Les réseaux sanctionnent l'acquéreur, qui répercute au commerçant. Le contrat d'acceptation le prévoit expressément, il suffit de relire les clauses correspondantes.
Les pénalités mensuelles pour non-conformité prolongée se comptent en milliers d'euros. La majoration des commissions suit, parfois de plusieurs dizaines de points de base, appliquée à l'ensemble du volume et non aux seules transactions litigieuses. Sur un volume annuel significatif, l'addition grimpe vite.
Vient ensuite le placement en programme de surveillance renforcée, avec obligations de reporting, délais contraints, audits imposés. Et au bout de la chaîne, la résiliation du contrat d'acceptation.
Cette dernière sanction mérite qu'on s'y arrête. Se voir résilier n'est pas seulement perdre un prestataire : c'est apparaître dans les fichiers partagés entre acquéreurs, et découvrir que le suivant demande des garanties, une réserve, ou refuse. Retrouver une solution d'encaissement après une résiliation pour non-conformité prend des mois.
Articulation avec le RGPD
Un numéro de carte identifie une personne physique. C'est donc une donnée personnelle, et les deux régimes se cumulent, l'un contractuel, l'autre légal.
Conséquence pratique : une compromission déclenche deux chaînes d'obligations en parallèle. Notification à la CNIL sous 72 heures, information des personnes concernées si le risque est élevé, et simultanément déclaration à l'acquéreur avec enclenchement de la procédure des réseaux.
La position de la CNIL sur la conservation des numéros est constante et connue : elle n'est admise que pour une finalité précise, avec le consentement du porteur pour les paiements ultérieurs, et pour une durée limitée. La conservation « au cas où », pour faciliter le service client, ne repose sur aucune base légale.
Deux régimes, deux autorités, deux calendriers. Un seul incident.
Le coût réel d'un incident
L'amende n'est jamais le poste principal. Elle est simplement le plus visible.
L'investigation forensique est obligatoire au-delà d'un certain seuil, menée par un PFI agréé, aux frais du commerçant. Plusieurs dizaines de milliers d'euros, plusieurs semaines de travail, avec des équipes internes largement mobilisées.
La remise en conformité suit, souvent une refonte partielle de l'architecture, dans l'urgence et sans marge de négociation avec les fournisseurs.
L'interruption d'activité pèse. Un site qui ne peut plus encaisser ne vend plus. Selon la saisonnalité, deux semaines d'arrêt peuvent représenter le tiers du chiffre d'affaires annuel.
L'atteinte à la réputation, enfin, ne se chiffre pas mais se constate. Une compromission de données bancaires se raconte dans la presse locale, circule sur les réseaux, remonte dans les résultats de recherche pendant des années. Les clients qui l'apprennent par leur banque ne reviennent pas tous.
Méthode de sélection d'un prestataire
Cadrer son besoin avant de comparer
Comparer des offres sans avoir formalisé le besoin conduit à choisir la mieux commercialisée. Quelques paramètres suffisent à cadrer, et ils tiennent sur une page.
Volume annuel et panier moyen, d'abord, parce qu'ils déterminent le niveau PCI et le pouvoir de négociation. Saisonnalité ensuite : un pic à Noël qui multiplie le volume par six change les exigences de disponibilité et déclenche parfois des contrôles automatiques de risque chez le prestataire.
Marchés géographiques et devises : vendre en Allemagne suppose des moyens de paiement locaux, vendre au Brésil suppose autre chose encore. La carte n'est pas universelle, loin de là.
Modèle de vente : achat unique, abonnement récurrent, place de marché avec redistribution. Ces trois modèles n'appellent pas les mêmes solutions, ni le même cadre réglementaire.
Canaux physiques éventuels, enfin. Un point de vente ajoute des terminaux, une norme complémentaire, et l'exigence d'une réconciliation unifiée.
Les critères de conformité et de sécurité
L'attestation de conformité à jour, l'AOC, se demande directement. Vérifier la date, mais surtout le périmètre décrit : une attestation peut couvrir une partie seulement des services proposés. Contrôler que la solution effectivement utilisée y figure.
Le statut de prestataire de niveau 1 implique un audit annuel sur site. C'est le standard attendu pour un acteur qui traite du volume.
La gestion de l'authentification forte mérite un examen sérieux. La DSP2 l'impose, mais la qualité d'exécution varie considérablement d'un prestataire à l'autre. Un moteur d'exemption bien réglé évite une friction inutile sur les transactions à faible risque. Un moteur mal réglé déclenche l'authentification systématiquement et ampute la conversion de plusieurs points. Demander les taux d'exemption obtenus, en chiffres.
Les dispositifs anti-fraude : règles paramétrables, scoring, listes, apprentissage automatique, et surtout la capacité à ajuster finement. Un filtre trop strict refuse des clients légitimes, ce qui coûte plus cher que la fraude évitée.
La tokenisation, enfin, avec une question précise : le jeton est-il propriétaire, et que devient-il en cas de départ ?
Les critères économiques
La tarification affichée cache presque toujours plusieurs strates. Les décomposer.
La commission variable et la part fixe par transaction : sur des paniers faibles, la part fixe domine complètement. Un commerçant à 12 euros de panier moyen doit regarder la part fixe en priorité, pas le pourcentage.
Les frais d'interchange reviennent à la banque émettrice, les frais de scheme aux réseaux. Ces deux composantes ne sont pas négociables. Ce qui l'est, c'est la marge du prestataire. Une tarification dite « interchange++ » sépare explicitement les trois lignes et permet de voir cette marge. Une tarification forfaitaire la masque. La transparence a un coût administratif, elle a aussi une valeur.
Les impayés et rétrofacturations : frais fixes par contestation, généralement entre 10 et 25 euros, appliqués même quand le commerçant obtient gain de cause. Sur certains secteurs, ce poste devient significatif.
Les frais de change pour les ventes en devise étrangère, souvent 2 à 3 % au-dessus du taux interbancaire, rarement mis en avant.
L'abonnement de plateforme pour finir, avec ses paliers et ses modules facturés séparément.
Le calcul honnête se fait sur le volume réel des douze derniers mois, ligne par ligne, avec plusieurs scénarios. Il révèle parfois qu'un taux affiché plus élevé aboutit à une facture plus basse.
Les critères opérationnels
Ce sont les critères que l'on découvre après la signature, quand il est trop tard pour en tenir compte.
Les délais de versement pèsent directement sur la trésorerie. J+2, J+7, J+30 ne produisent pas le même besoin en fonds de roulement. Certains prestataires imposent une réserve glissante sur les activités jugées risquées, ce qui immobilise un pourcentage du chiffre d'affaires pendant des mois.
La documentation technique se juge en quinze minutes de lecture. Exemples fonctionnels, environnement de test complet, gestion des erreurs documentée, changelog tenu. Une documentation médiocre annonce des semaines de développement supplémentaires.
La disponibilité mesurée plutôt que promise : réclamer l'historique réel, pas l'engagement contractuel. Une page de statut publique avec archivage des incidents en dit beaucoup.
Le support en français, avec des horaires compatibles et un canal d'escalade identifié. Un incident de paiement un samedi de forte activité ne se règle pas par formulaire.
La réconciliation comptable, enfin : exports exploitables, correspondance claire entre transactions et versements, intégration avec l'outil comptable. Le service financier vous en sera reconnaissant tous les mois.
Les critères souvent oubliés
Ceux-là ne figurent dans aucune grille commerciale, et ce sont eux qui font mal.
La portabilité des tokens constitue le point le plus critique, et pourtant le moins abordé. Un commerçant avec 50 000 cartes enregistrées pour ses abonnements a-t-il le droit de récupérer ces jetons chez un autre prestataire ? La migration existe, elle est encadrée par les réseaux, elle se pratique. Mais elle suppose que le prestataire sortant coopère. Cette clause se négocie avant la signature, jamais après.
L'hébergement des données : localisation effective, sous-traitants concernés, exposition à des législations extraterritoriales.
La dépendance à un acteur unique. Un seul prestataire signifie qu'une panne prolongée arrête les ventes. Certains commerçants maintiennent un second acquéreur en secours, activable en quelques minutes. Coût modeste, assurance réelle.
La politique de gel de fonds, à lire dans les conditions générales, en entier. Dans quels cas ? Pour combien de temps ? Avec quel préavis ? Ces clauses sont souvent larges, surtout chez les agrégateurs, et elles s'appliquent réellement.
Grille de comparaison
Une grille pondérée, notée de 1 à 5, ajustée selon le contexte de l'entreprise.
| Axe | Pondération indicative | Question à poser |
|---|---|---|
| Conformité et sécurité | 25 % | AOC à jour ? Périmètre couvert ? Matrice de responsabilité fournie ? |
| Coût complet | 20 % | Simulation sur 12 mois réels, toutes lignes incluses ? |
| Conversion et acceptation | 20 % | Taux d'acceptation constaté sur le secteur ? Taux d'exemption 3DS ? |
| Intégration et maintenance | 15 % | Charge initiale ? Rythme des évolutions imposées ? |
| Opérationnel | 10 % | Délais de versement ? Support ? Réconciliation ? |
| Réversibilité | 10 % | Portabilité des tokens contractualisée ? Préavis ? |
Trois questions à glisser dans tout appel d'offres, et qui départagent vite : quel est votre taux d'acceptation moyen sur notre secteur d'activité ? Pouvez-vous fournir votre matrice de responsabilité PCI DSS complète ? Quelles sont les modalités contractuelles de migration des tokens en cas de résiliation ?
La qualité des réponses est en soi une réponse.
Panorama des familles de solutions
Les agrégateurs tout-en-un
Inscription en ligne, validation en quelques jours, premières transactions dans la semaine. Le périmètre PCI reste minimal, la documentation est généralement excellente, l'écosystème d'extensions couvre tous les CMS courants.
Pour une entreprise qui démarre ou qui teste un marché, difficile de faire mieux.
Les limites apparaissent avec la croissance. Tarification linéaire, peu ou pas négociable avant un volume conséquent. Et surtout, ce risque de suspension de compte qui hante les forums de e-commerçants : décision automatisée sur signal de risque, fonds gelés, recours par formulaire. Le commerçant est sous-marchand, pas titulaire d'un contrat d'acquisition. La différence devient très concrète le jour où le compte se bloque.
Les PSP avec contrat d'acquisition dédié
Un contrat au nom du commerçant, avec un acquéreur identifié. Négociation possible dès quelques centaines de milliers d'euros de volume annuel, stabilité contractuelle, préavis encadrés.
La contrepartie tient au dossier d'ouverture : documents financiers, justificatifs sur l'activité, parfois garanties. Le délai se compte en semaines, l'intégration demande davantage de travail.
Le seuil de bascule se situe généralement entre un et trois millions d'euros de volume annuel, avec de fortes variations selon le secteur et le profil de risque. En dessous, l'économie ne compense pas la complexité. Au-dessus, elle devient difficile à ignorer.
Les solutions bancaires historiques
Proposées par la banque d'entreprise, avec l'avantage d'un interlocuteur déjà connu et d'une réconciliation naturelle avec le compte courant. Robustes, éprouvées, rarement défaillantes.
Les limites se situent sur le fonctionnel. L'international, les moyens de paiement locaux, la gestion de l'abonnement, les API modernes : ces solutions ont pris du retard, même si l'écart se réduit. Pour une activité franco-française avec un modèle de vente classique, elles restent parfaitement pertinentes. Pour une plateforme en croissance sur plusieurs pays, elles montrent leurs limites assez vite.
Les cas particuliers
Les places de marché obligent au cantonnement des fonds. Encaisser pour le compte de vendeurs tiers relève des services de paiement et suppose un agrément, ou le recours à un prestataire spécialisé qui porte cet agrément. Le sujet est réglementaire avant d'être technique, et il se traite en amont du développement, pas après.
La vente par abonnement se joue sur la gestion du cycle de vie des cartes : expiration, renouvellement, mise à jour automatique via les services des réseaux, relances intelligentes sur échec. Un moteur de recouvrement bien conçu récupère plusieurs points de churn involontaire. Ce n'est pas un détail, c'est une ligne de chiffre d'affaires.
Les activités à risque réglementé, enfin, jeux, actifs numériques, compléments alimentaires, contenus pour adultes, voyage : le nombre de prestataires acceptant se compte sur les doigts d'une main, les taux sont plus élevés, les réserves fréquentes. Vérifier l'acceptation du secteur avant d'engager la moindre intégration évite des semaines perdues.
Le rôle du prestataire digital dans le projet
Ce que l'agence ou l'intégrateur prend en charge
Le cadrage du besoin d'abord, avec cette question centrale du modèle d'intégration, posée avec ses conséquences de conformité sur la table plutôt qu'en note de bas de page.
L'intégration technique ensuite : mise en œuvre propre, gestion des cas d'erreur, tests sur environnement de recette, webhooks fiabilisés, journalisation exploitable.
La sécurisation du site marchand, en parallèle : correctifs, en-têtes de sécurité, inventaire des scripts de la page de paiement, contrôle d'intégrité conforme aux exigences 6.4.3 et 11.6.1.
Les tests, enfin, sur l'ensemble des scénarios réels : refus, authentification forte déclenchée, abandon en cours de parcours, remboursement partiel, double soumission du formulaire.
Et le suivi de la conversion du tunnel après mise en production. Mesurer avant et après, isoler l'effet du changement de solution, corriger. Un tunnel de paiement se règle sur plusieurs semaines, pas le jour de la mise en ligne.
Ce qu'il ne peut pas endosser
Autant le dire franchement : la responsabilité contractuelle de conformité reste chez le commerçant. Toujours.
Le SAQ est signé par le commerçant. L'AOC est établie au nom du commerçant. Le contrat d'acceptation lie le commerçant à son acquéreur. Une agence, aussi compétente soit-elle, ne peut pas se substituer à lui sur ces trois points.
Ce qu'elle peut faire, en revanche : construire une architecture qui réduit le périmètre au minimum, documenter les choix, fournir les éléments techniques nécessaires au questionnaire, alerter sur les dérives. C'est considérable, et c'est différent d'un transfert de responsabilité.
Poser cette limite dès le premier rendez-vous évite le malentendu qui empoisonne la relation dix-huit mois plus tard.
Encadrer la relation
Le contrat de prestation gagne à comporter quelques clauses précises.
Des engagements de sécurité explicites : pratiques de développement, gestion des accès aux environnements, traitement des vulnérabilités signalées, délais d'intervention.
Les obligations de sous-traitance, avec la liste des intervenants, l'accord préalable en cas de changement, et la répercussion des mêmes exigences en cascade.
La réversibilité du code : accès aux dépôts, documentation d'architecture, procédure de déploiement. Une intégration de paiement que personne d'autre ne peut reprendre constitue une dépendance dangereuse.
La documentation livrée enfin, tenue à jour, incluant le schéma des flux de données de carte. Ce schéma sera le premier document réclamé lors du prochain audit.
Feuille de route de mise en conformité
Cartographier les flux de données de carte
Impossible de sécuriser ce qu'on n'a pas recensé. Le premier travail consiste à suivre la donnée partout où elle passe, sans exception ni approximation.
Le site, évidemment. Mais aussi le téléphone : qui prend des commandes, avec quel outil, où sont notés les numéros ? Le courrier électronique : combien de messages contiennent des données de carte dans les boîtes du service client ? Le papier : bons de commande, formulaires de mandat, documents scannés. Les systèmes internes : CRM, ERP, outil de ticketing, entrepôt de données, sauvegardes.
La méthode qui fonctionne : interroger les équipes plutôt que les schémas d'architecture. Demander comment les choses se passent réellement, pas comment elles devraient se passer. Les écarts sont systématiques, et ce sont eux qui définissent le vrai périmètre.
Le livrable tient sur un schéma d'une page. S'il tient sur trois, le périmètre est probablement trop large.
Réduire le périmètre avant de le sécuriser
Le principe directeur mérite d'être affiché : la meilleure donnée de carte est celle qu'on ne détient jamais.
Sécuriser un stockage coûte cher, indéfiniment, et échoue tôt ou tard. Supprimer ce stockage coûte une fois. La logique s'impose d'elle-même quand on la formule ainsi.
Concrètement : tokeniser tout ce qui doit être conservé pour des paiements ultérieurs, en laissant le prestataire porter la donnée réelle. Externaliser les canaux résiduels, notamment le téléphone, via une solution de saisie sécurisée où le client tape son numéro sur son clavier sans que l'opérateur l'entende ni le voie. Supprimer les stockages historiques : anciennes bases, exports, sauvegardes, archives, en documentant chaque suppression.
Cette phase produit les gains les plus rapides. Elle est aussi la plus souvent reportée, parce qu'elle touche à des habitudes de travail installées et qu'elle oblige à dire non à des demandes internes légitimes en apparence.
Formaliser et maintenir
La conformité n'est pas un état atteint une fois, c'est un régime de fonctionnement. Cette phrase paraît creuse jusqu'au jour où l'attestation expire sans que personne ne l'ait vu venir.
Une politique de sécurité écrite, courte, applicable, revue annuellement. Un registre des prestataires avec leur statut de conformité et la date de leur dernière attestation. Une revue annuelle formalisée du périmètre : les flux changent, un nouveau canal apparaît, un outil est ajouté.
Des scans trimestriels par un ASV agréé, avec traitement effectif des vulnérabilités remontées. Un rapport de scan classé sans lecture ne sert à rien, sinon à documenter la négligence.
Un plan de réponse à incident testé, au moins une fois. Une simulation d'une heure révèle immanquablement que le numéro de contact d'urgence de l'acquéreur n'est nulle part, que personne ne sait qui déclare à la CNIL, et que le prestataire forensique n'a jamais été identifié.
Deux jours par an, à peu près, pour une PME correctement organisée. À comparer aux semaines de gestion de crise que cela évite.
Erreurs récurrentes à éviter
Choisir sur le seul taux de commission. Un dixième de point sur un million d'euros représente mille euros. Un jour d'indisponibilité en pleine saison, ou trois points d'acceptation en moins, coûtent bien davantage. Le taux est le critère le plus visible, il est rarement le plus déterminant.
Croire qu'un module e-commerce vaut conformité. Installer une extension officielle ne produit ni SAQ ni AOC. Le module gère la technique, pas la démarche. Cette confusion est probablement la plus répandue chez les PME.
Conserver des numéros de carte en base pour le service client. « C'est plus pratique pour les remboursements. » Cette phrase a coûté très cher à un certain nombre d'entreprises. Le prestataire gère les remboursements depuis son back-office, sans que le commerçant détienne quoi que ce soit.
Négliger l'authentification forte et son effet sur la conversion. Elle est obligatoire, mais son paramétrage se travaille. Les exemptions existent, elles sont légales, elles se pilotent. Un prestataire qui ne sait pas en parler avec précision devrait inquiéter.
Signer sans lire la matrice de responsabilité. Le document existe, il est fourni sur demande, il fait quelques pages. Ne pas le lire revient à découvrir ses obligations le jour de l'audit, ou pire, le jour de l'incident.
Ignorer la sous-traitance de second rang. Le prestataire du prestataire fait partie de la chaîne. Une exigence entière de la norme y est consacrée, et c'est un point d'audit classique.
Questions fréquentes
La certification de mon prestataire suffit-elle ?
Non. Elle couvre le périmètre du prestataire, pas celui du commerçant. Le site marchand, les accès, les canaux annexes et la gestion des scripts restent à la charge de l'entreprise, quelle que soit la qualité du prestataire.
Un site vitrine avec un simple bouton de paiement est-il concerné ?
Oui, dès la première transaction. Le volume détermine le mode de validation, pas l'assujettissement. Un bouton de redirection place généralement le marchand en SAQ A, le plus léger, mais le questionnaire doit être rempli et l'attestation transmise à l'acquéreur.
Peut-on conserver les quatre derniers chiffres d'une carte ?
Oui, l'affichage des quatre derniers chiffres est admis, à l'inverse du numéro complet non protégé. Le cryptogramme, en revanche, ne peut jamais être conservé après autorisation, sous aucune forme, y compris dans un enregistrement d'appel.
Que faire en cas de suspicion de compromission ?
Alerter immédiatement l'acquéreur, préserver les journaux sans les modifier, éviter de « nettoyer » les serveurs avant l'investigation, et déclencher le plan de réponse. En parallèle, évaluer l'obligation de notification RGPD sous 72 heures. La rapidité de la déclaration pèse ensuite dans l'appréciation des réseaux.
À quelle fréquence renouveler son attestation ?
Chaque année, avec des scans trimestriels par un ASV agréé lorsqu'ils s'appliquent. Tout changement significatif d'architecture, de prestataire ou de canal de vente impose par ailleurs de revalider le périmètre sans attendre l'échéance annuelle.
Deux décisions, et une qui ne se délègue pas
Tout se ramène à ceci.
Le modèle d'intégration détermine la charge de conformité. Redirection, iframe, API directe : ce choix technique, souvent tranché en quelques minutes par une équipe de développement, fixe pour des années le volume de travail administratif, le coût des audits et l'ampleur de la surface exposée. Le rapport de un à quinze entre SAQ A et SAQ D justifie d'y consacrer une vraie réunion.
La responsabilité ne se délègue jamais entièrement. Le meilleur prestataire du marché sécurise son périmètre. Le reste, accès, site, équipes, canaux annexes, sous-traitants, appartient au commerçant. Cette part résiduelle est plus large qu'on ne l'imagine, et c'est presque toujours par elle que les incidents arrivent.
Une bonne nouvelle pour finir : ces sujets se traitent. Une cartographie sérieuse des flux, un modèle d'intégration choisi en connaissance de cause, une matrice de responsabilité lue ligne à ligne, et l'essentiel du risque disparaît.
Un audit du tunnel de paiement existant permet de situer précisément où en est l'entreprise : périmètre réel, questionnaire applicable, écarts à combler, arbitrages techniques à prendre. Quelques jours de travail, et un dossier qui cesse de traîner en fond de tableau.
