.png)
Protéger l’argent de vos clients, c’est protéger votre activité. C’est précisément l’objectif de la version 4.0.1 de la norme de sécurité des données, plus connue sous le nom de PCI DSS 4.0.1 : un ensemble de règles communes à tout le secteur, conçues pour protéger les paiements contre les cyberattaques. Publiée en juin 2024, elle est devenue la seule version en vigueur en janvier 2025.
PCI 4.0.1 repose sur 12 exigences destinées à garantir un environnement de paiement sécurisé. Cet article vous en propose un tour d’horizon. Checkout.com est pleinement conforme au niveau 1 de la norme PCI DSS, le plus exigeant qui soit. Vous pouvez donc nous confier le traitement de vos paiements en toute sérénité : les données de carte de vos clients sont entre de bonnes mains.
PCI 4.0.1 est la version actuelle de PCI DSS, un ensemble de standards de sécurité que tout commerçant acceptant les paiements par carte de crédit ou de débit doit respecter. Cette norme donne aux entreprises un cadre pour protéger les données sensibles des porteurs de carte. Elle met ainsi vos clients à l’abri des différentes formes de fraude au paiement.
Ses 12 exigences détaillent la marche à suivre pour sécuriser les transactions par carte. Elles portent notamment sur le cryptage des données, la tenue d’une documentation suffisante ou encore la restriction des accès aux informations sensibles.
La norme est maintenue par le PCI Security Standards Council (PCI SSC), un consortium privé chargé de définir les standards de sécurité applicables à la protection des données de compte. Il réunit American Express, Discover, JCB International, Mastercard et Visa.
La version 4.0.1 n’ajoute aucune exigence et n’en supprime aucune par rapport à PCI DSS 4.0. Elle apporte en revanche plusieurs clarifications.
Première précision : l’exigence d’authentification multifacteur (MFA) pour les accès non administrateurs à l’environnement de données de porteur de carte (exigence 8.4.2) ne s’applique pas aux comptes dont l’authentification repose exclusivement sur des méthodes que l’hameçonnage ne peut pas contourner.
Pour les organisations qui déploient des clés de sécurité matérielles ou des passkeys, cette distinction change la manière de délimiter et de documenter leurs contrôles MFA.
Seconde précision : la norme corrige une lecture erronée de PCI DSS 4.0 concernant l’application des correctifs de sécurité. Beaucoup y voyaient une extension du délai d’installation de 30 jours à un périmètre de vulnérabilités bien plus large que prévu. PCI DSS 4.0.1 lève l’ambiguïté : ce délai de 30 jours vise spécifiquement les vulnérabilités critiques.
Toute entité qui traite, stocke ou transmet des données de carte de paiement doit respecter les standards de sécurité PCI. Les niveaux d’exigence varient selon le rôle que vous jouez dans l’acceptation ou l’envoi des paiements. Vos obligations précises dépendent de la taille de votre entreprise, de vos volumes de transactions et de votre degré d’accès aux données de paiement des porteurs de carte.
Votre certification PCI DSS doit être réexaminée et validée chaque année. Nous vous recommandons de faire appel à un expert indépendant et certifié pour évaluer le niveau de conformité de votre entreprise. Cet article ne constitue qu’un aperçu général, fourni à titre informatif.
Les Qualified Security Assessors (QSA) sont des professionnels et des organismes indépendants agréés par le PCI Security Standards Council. Ils valident votre conformité PCI DSS, vous aident à choisir le questionnaire d’auto-évaluation (SAQ) adapté à votre activité et vous accompagnent tout au long de la démarche.
Chez Checkout.com, nous travaillons avec SecurityMetrics, une société QSA, pour accompagner les commerçants dans leur mise en conformité PCI DSS. Si vous avez choisi de faire appel à eux lors de votre demande, SecurityMetrics vous contactera chaque année pour réexaminer et valider votre certification.
Pour toute question précise sur votre périmètre de conformité, SecurityMetrics reste votre meilleur interlocuteur. Rendez-vous sur leur site pour les contacter.
Comme évoqué plus haut, PCI DSS 4.0.1 constitue une révision mineure de la version 4.0. La quasi-totalité des dispositions de la v4.0 s’appliquent donc à la v4.0.1. Ensemble, elles remplacent la dernière mise à jour majeure de la norme, PCI DSS 3.2.1.
Parmi les principales évolutions entre les versions 3.2.1 et 4.0 figure l’ajout de deux nouvelles exigences : 6.4.3 et 11.6.1. Elles sont destinées à contrer les attaques par web-skimming, où un code JavaScript malveillant intercepte les données de paiement saisies par vos clients sur la page.
Ce sont les plus lourdes à mettre en œuvre pour les acteurs du e-commerce, et celles qui imposent le plus souvent de nouveaux outils et de nouveaux processus.
Vous trouverez ci-dessous une synthèse des exigences de PCI DSS 4.0.1. Elle n’a pas vocation à être exhaustive : pour aller plus loin, consultez les ressources disponibles sur le site du PCI SSC.
La première exigence porte sur le bon usage des pare-feu pour surveiller et contrôler le trafic réseau entrant et sortant.
Vous devez segmenter suffisamment votre environnement de données de porteur de carte (CDE, pour Cardholder Data Environment) par rapport à vos autres réseaux d’entreprise, et encadrer avec rigueur les communications entrantes et sortantes du CDE. Ces règles de sécurité le protègent de tout accès non autorisé.
Entre PCI DSS 3.2.1 et PCI DSS 4.0, le vocabulaire a évolué : on ne parle plus de « pare-feu » et de « routeurs », mais de « contrôles de sécurité réseau ». Dans les faits, des pare-feu robustes restent aujourd’hui indispensables pour protéger votre CDE, même si vous pouvez leur adjoindre d’autres solutions logicielles ou matérielles.
Deux idées structurent cette exigence : sécuriser les paramètres d’accès aux comptes et maintenir activement la sécurité de vos systèmes dans la durée. Vous devrez procéder au durcissement de l’ensemble de vos applications, pilotes et services, afin de réduire le nombre de points d’entrée exploitables par un cybercriminel pour dérober vos données. Concrètement, désinstallez tout script ou service dont vous n’avez pas l’usage.
Concernant les identifiants et mots de passe fournis par défaut par les éditeurs, qu’il s’agisse d’équipements réseau, d’applications, de serveurs, de pare-feu, de routeurs ou de tout autre logiciel utilisé par votre entreprise, PCI 4.0.1 impose de les remplacer systématiquement par vos propres mots de passe, plus robustes.
Pourquoi ? Parce que ces produits sont généralement livrés avec des mots de passe faibles et faciles à deviner, souvent publiés en ligne et accessibles à tous. Y compris aux acteurs malveillants.
Enfin, vous devez tenir un inventaire de l’ensemble du matériel et des logiciels rattachés à votre CDE, documenter vos procédures et désigner des responsables chargés de leur maintenance.
L’exigence 3 porte sur la protection des données de compte et de porteur de carte que vous détenez, afin d’éviter toute fuite involontaire. Quatre actions structurent la démarche : identifier précisément où vos données de paiement sont stockées, cartographier leurs flux, vérifier que vous êtes bien autorisé à conserver chaque type de données, et déterminer lesquelles doivent être chiffrées.
Prenons un exemple volontairement caricatural, mais qui dit l’essentiel : vous ne pouvez pas conserver une liste de numéros de carte dans un tableur, sur l’ordinateur du bureau. Le niveau de sécurité est tout simplement insuffisant pour protéger les comptes de vos clients. Les portes d’entrée sont trop nombreuses, et un acteur malveillant aurait vite fait d’exploiter ce qu’il y trouverait.
Si vous traitez vos transactions par carte de crédit et de débit via un prestataire de services de paiement comme Checkout.com, nous stockons ces données pour vous, en toute sécurité. Votre charge de conformité s’en trouve nettement allégée.
Si vous conservez malgré tout des données de compte et de porteur de carte, comme le numéro de compte principal (PAN, pour Primary Account Number), PCI 4.0.1 impose de les rendre illisibles et de vérifier régulièrement qu’elles restent protégées. Plusieurs méthodes efficaces existent, à commencer par la tokenisation, qui remplace le PAN par une chaîne alphanumérique aléatoire.
Là où l’exigence 3 protège les données de porteur de carte au repos, l’exigence 4 impose leur cryptage en transit.
Vous devez examiner avec attention les destinations vers lesquelles vos réseaux acheminent des données de paiement sensibles : chaque déplacement de données ouvre une possibilité d’interception. D’où l’obligation, posée par PCI 4.0.1, de recourir à une « cryptographie forte » pour toute transmission sur des réseaux ouverts et publics comme Internet.
Prenons le cas d’un PAN enregistré et utilisé pour facturer un service récurrent, abonnement ou adhésion : la tokenisation des paiements vous aide à sécuriser les données de porteur de carte pendant leur transfert. Veillez également à utiliser les standards de cryptage à jour et homologués pour les paiements effectués depuis votre site.
La cinquième exigence vise à protéger les systèmes et réseaux de votre entreprise inclus dans le périmètre d’évaluation PCI DSS contre les logiciels malveillants, ou malwares. Pour faire face aux menaces émergentes, envisagez d’adopter des technologies avancées telles que l’intelligence artificielle et le machine learning.
Au-delà de l’installation d’une solution anti-malware reconnue, PCI 4.0.1 impose de la maintenir à jour et de l’entretenir avec rigueur.
La sixième exigence vous demande d’appliquer régulièrement les derniers correctifs de sécurité à l’ensemble de vos logiciels et matériels, et de documenter vos procédures de gestion des changements. Les correctifs critiques doivent être installés dans le mois suivant leur publication : à vous de définir une planification manuelle ou automatique.
Le périmètre de l’exigence 6 ne se limite plus aux applications de votre entreprise : il couvre désormais tous les logiciels intervenant dans le processus de paiement, y compris certains de ceux qu’utilisent vos clients.
Cela suppose notamment les actions suivantes :
L’exigence 6.4.3 impose aux commerçants de tenir un inventaire de chaque script exécuté sur leurs pages de paiement, d’autoriser chacun d’eux et de garantir leur intégrité.
Dans la v4.0.1, la responsabilité des scripts est répartie pour les formulaires de paiement intégrés : le commerçant répond des scripts et en-têtes situés hors de l’iframe du prestataire tiers, le prestataire de ceux qui s’y trouvent.
Cette exigence répond directement au web-skimming et aux attaques de type Magecart, du nom des groupes cybercriminels qui injectent du code malveillant dans les pages de paiement et provoquent des fuites massives de données de carte chez les commerçants. Pour beaucoup d’entre eux, s’y conformer suppose de déployer une politique de sécurité de contenu (CSP), une solution de surveillance des scripts, ou les deux.
Votre entreprise doit autoriser ou refuser l’accès aux données de paiement sur la base de permissions strictes. Le principe de l’exigence 7 tient en une phrase : seules les personnes qui en ont besoin accèdent aux données. Personne d’autre.
Autrement dit, l’accès aux données de porteur de carte se fait selon le principe du « besoin d’en connaître », et non au gré de la curiosité de chaque collaborateur.
Vous devez par ailleurs réexaminer régulièrement les comptes et les droits d’accès : évaluez, et corrigez si nécessaire, les rôles et permissions de vos utilisateurs tous les six mois, en appliquant le principe du moindre privilège. Chaque utilisateur ayant accès aux données de porteur de carte ne dispose ainsi que du strict niveau d’accès nécessaire à son travail. Et, bien entendu, vous devez documenter qui accède à quoi.
La huitième exigence impose des identifiants et des mots de passe robustes et uniques pour accéder aux systèmes de données. L’objectif est double : protéger ces données des pirates externes, et pouvoir rattacher chaque action à l’utilisateur qui y a accédé. Une information capitale pour la piste d’audit en cas de violation de données.
Les mots de passe doivent compter au moins 12 caractères, lettres et chiffres confondus. Lorsque le mot de passe constitue l’unique facteur d’authentification, il doit être changé au moins tous les 90 jours, ou faire l’objet d’une analyse dynamique du niveau de sécurité du compte. Les identifiants doivent eux aussi être difficiles à deviner : évitez le nom de l’administrateur ou celui de l’entreprise.
L’authentification multifacteur doit être déployée pour tous les utilisateurs ayant accès aux données de porteur de carte, et non pour les seuls administrateurs. PCI 4.0.1 exige également que les systèmes MFA résistent aux attaques et que les dérogations administratives soient strictement encadrées. Cette règle ne s’applique pas aux comptes qui s’authentifient exclusivement au moyen de méthodes que l’hameçonnage ne peut pas contourner.
La conformité à PCI 4.0.1 ne se joue pas seulement sur le terrain numérique : vous devez aussi encadrer l’accès physique aux données de porteur de carte, en empêchant tout accès non autorisé aux dossiers papier, aux postes de travail et aux serveurs qui stockent ou transmettent des informations sensibles. Mettez en place un système de contrôle d’accès dans vos locaux et assurez une couverture vidéo suffisante des zones sensibles.
Vous devez également documenter qui peut accéder aux matériels stockant des données sensibles, ainsi que les conditions et les lieux d’utilisation de ces équipements. Prévoyez enfin une procédure claire pour les cas où les droits d’accès d’un collaborateur doivent évoluer, par exemple lors d’un départ de l’entreprise ou d’un changement d’équipe.
La dixième exigence impose la journalisation de vos ressources réseau et de vos données de porteur de carte : vous devez conserver une trace fiable de chaque accès à ces informations au sein de votre organisation. Toute activité suspecte doit déclencher une alerte, par exemple une tentative d’accès non autorisée.
Bien menée, cette journalisation vous aide aussi à maintenir une documentation précise sur vos données sensibles : pourquoi et comment elles sont traitées, où elles sont stockées et vers qui elles sont transmises.
PCI 4.0.1 impose aux organisations les obligations suivantes :
La sécurité de vos systèmes et de vos réseaux doit être testée régulièrement. Parmi les méthodes recommandées figurent l’analyse de vulnérabilités, interne et externe, ainsi que les tests d’intrusion. L’investissement peut être important, et les grandes organisations doivent compter plusieurs semaines pour mener un test d’intrusion complet.
Vous devrez également analyser régulièrement vos réseaux sans fil, en général chaque trimestre, et faire appel à un Approved Scanning Vendor (ASV), prestataire d’analyse agréé par le PCI SSC, pour contrôler vos adresses IP et vos domaines externes.
Identifier les vulnérabilités ou les failles de votre dispositif de sécurité ne suffit pas : il vous revient aussi de les corriger. C’est à cette condition que vos systèmes restent sûrs et que les données de vos clients le sont aussi.
L’exigence 11.6.1 impose un mécanisme capable de détecter toute modification non autorisée des en-têtes HTTP et du contenu des pages de paiement, avec des contrôles exécutés au moins tous les 7 jours. Là encore, il s'agit de contrer le web-skimming, et s'y conformer suppose soit une solution de surveillance dédiée, soit un développement sur mesure solidement conçu.
Avec la révision du SAQ A pour la v4.0.1, publiée le 30 janvier 2025 et applicable depuis le 31 mars 2025, les exigences 6.4.3 et 11.6.1 en ont été retirées, de même que l’analyse de risque ciblée prévue par l’exigence 12.3.1. Un critère d’éligibilité les remplace : le commerçant atteste que son site n’est pas exposé aux attaques par script.
L’exigence 11.6.1 continue en revanche de s’appliquer aux SAQ A-EP, SAQ D commerçants et SAQ D prestataires de services, ainsi qu’aux évaluations sur site validées par une attestation de conformité.
La dernière exigence demande à votre organisation d’élaborer et de faire vivre une politique complète de sécurité de l’information. Passez-la en revue au moins tous les 12 mois et actualisez-la si nécessaire. Veillez à obtenir l’adhésion de vos collaborateurs, de votre direction et des tiers concernés.
La formation de vos équipes est déterminante : mettez en place un programme de sensibilisation à la sécurité pour que chacun sache détecter, traiter et signaler une cyberattaque potentielle. Renforcez également vos procédures de réponse aux incidents, afin que vos équipes réagissent vite et bien en cas de fuite de numéros de carte. Prévoyez enfin une formation annuelle à l’ingénierie sociale et à l’hameçonnage.
Vous devrez par ailleurs tenir la liste de tous vos prestataires de services tiers et documenter une procédure de suivi de la conformité PCI de chacun d’eux.
Les conséquences peuvent être lourdes pour votre entreprise :
PCI DSS 4.0.1 n’a certes pas force de loi, mais le coût de la non-conformité est tel que la distinction n’a rien de rassurant. Ne pas obtenir la certification PCI DSS adaptée à votre activité peut tout simplement lui être fatal.
Rassurez-vous : aucune entreprise n’est seule face à cet enjeu. Les ressources et les accompagnements ne manquent pas pour rester conforme et protéger les données de vos clients. Pour aller plus loin sur la conformité PCI DSS, contactez SecurityMetrics.
.png)
_conversion%20tactics.png)
