# PCI DSS 4.0.1 : le guide des PME qui acceptent les cartes

Source : https://cybercaribou.com/blogue/pci-dss-4-pme-paiement-carte · Cyber Caribou

> PCI DSS 4.0.1 expliqué aux PME : quel questionnaire SAQ remplir, ce qui est obligatoire depuis le 31 mars 2025 et comment réduire votre portée de conformité.

Une boutique de vêtements du Plateau, une érablière de la Beauce qui vend son sirop en ligne, un garage de Lévis qui prend les paiements par téléphone : tous ont signé une convention de commerçant. Quelque part dans ce contrat, une clause les oblige à respecter la norme PCI DSS.

Un jour, un courriel de l'acquéreur arrive : « Veuillez remplir votre questionnaire d'autoévaluation annuel. » Chez certains fournisseurs, des frais mensuels s'ajoutent au relevé tant que la validation n'est pas faite.

Bonne nouvelle : pour la plupart des PME, la conformité PCI DSS est plus simple qu'elle en a l'air. Tout dépend de la façon dont vous acceptez les cartes.

- PCI DSS 4.0.1 est la seule version en vigueur depuis le retrait de la version 4.0, le 31 décembre 2024. Les exigences dites « à date future » sont obligatoires depuis le 31 mars 2025.
- Ce n'est pas une loi : c'est une obligation contractuelle envers votre acquéreur.
- La plupart des PME valident leur conformité avec un questionnaire d'autoévaluation (SAQ), choisi selon leur façon d'accepter les cartes.
- La stratégie la plus rentable : ne jamais toucher aux numéros de carte, pour réduire la portée.

## PCI DSS : de quoi parle-t-on, et qui l'impose ?

PCI DSS (Payment Card Industry Data Security Standard) est publiée par le PCI Security Standards Council, un organisme créé par les grands réseaux de cartes : Visa, Mastercard, American Express, Discover et JCB. Elle s'applique à toute entreprise qui stocke, traite ou transmet des données de titulaires de cartes.

Ces données comprennent le numéro de carte (le PAN), le nom du titulaire et la date d'expiration. Les données d'authentification sensibles, comme le code de sécurité ou le NIP, ne doivent jamais être conservées après l'autorisation, même chiffrées.

L'obligation suit une chaîne de contrats : les réseaux imposent la norme aux acquéreurs (l'institution ou le fournisseur de traitement qui a ouvert votre compte marchand), qui l'imposent aux commerçants. C'est donc votre acquéreur qui fixe votre niveau de commerçant, selon votre volume de transactions, et la façon de prouver votre conformité. Les petits commerçants sont presque toujours au niveau le plus bas, où un SAQ suffit généralement.

## Ce qui a changé avec la version 4.0.1

La version 4.0.1, publiée en juin 2024, est une révision limitée : elle clarifie des formulations, sans ajouter ni retirer d'exigences. La version 4.0 a été retirée le 31 décembre 2024, et les exigences à date future sont obligatoires depuis le 31 mars 2025. En juin 2026, le Conseil a lancé une consultation en vue de la prochaine version ; d'ici sa publication, la 4.0.1 reste la norme en vigueur.

Voici les exigences qui touchent le plus souvent les PME :

| Exigence | Ce qu'elle demande | Qui est touché |
|---|---|---|
| 8.3.6 | Mots de passe d'au moins 12 caractères (8 si le système ne le permet pas), avec lettres et chiffres | Tous ceux qui ont des comptes dans la portée |
| 8.4.2 | Authentification multifacteur pour tout accès non-console à l'environnement des données de cartes | Commerçants avec systèmes de caisse ou réseau dans la portée |
| 5.4.1 | Processus et mécanismes automatisés pour détecter l'hameçonnage et en protéger le personnel | Surtout les questionnaires plus complets (SAQ D, etc.) |
| 12.6.3.1 | Formation de sensibilisation qui couvre l'hameçonnage et l'ingénierie sociale | Idem |
| 6.4.3 et 11.6.1 | Inventaire et autorisation des scripts des pages de paiement, détection des modifications au moins chaque semaine (ou selon une analyse de risque ciblée) | Sites transactionnels qui hébergent ou influencent la page de paiement |

Le SAQ A, celui des boutiques en ligne qui confient entièrement le paiement à un fournisseur, a été révisé en janvier 2025. Les exigences 6.4.3 et 11.6.1 n'y figurent plus. Elles sont remplacées par un critère d'admissibilité : vous devez confirmer que votre site n'est pas susceptible aux attaques par scripts qui pourraient toucher votre système de commerce électronique. Ce critère vise surtout les sites qui intègrent un formulaire de paiement dans leurs propres pages (un iframe, par exemple).

## Quel questionnaire (SAQ) remplir ?

Le SAQ dépend de votre façon d'accepter les cartes. Les critères exacts figurent au début de chaque questionnaire, et votre acquéreur a le dernier mot. À titre indicatif :

| Votre façon d'accepter les cartes | SAQ probable |
|---|---|
| Boutique en ligne : la page de paiement est entièrement hébergée par un fournisseur conforme (redirection ou formulaire intégré) | A |
| Site qui héberge ou contrôle lui-même des éléments de la page de paiement | A-EP |
| Terminal autonome relié au processeur par IP, sans stockage électronique des données | B-IP |
| Terminal faisant partie d'une solution de chiffrement point à point (P2PE) validée et listée par le Conseil | P2PE |
| Commandes téléphoniques saisies une à une dans le terminal virtuel Web d'un fournisseur | C-VT |
| Système de caisse ou application de paiement connecté à Internet, sans stockage électronique | C |
| Téléphone ou tablette avec lecteur de carte sécurisé, dans une solution SPoC listée | SPoC |
| Toute autre situation, ou si vous conservez des numéros de carte | D |

Une microbrasserie de Sherbrooke qui vend au comptoir, en ligne et par téléphone doit déclarer ses trois canaux. Selon l'acquéreur, cela peut exiger plus d'un questionnaire, voire le SAQ D, en plus de l'attestation de conformité (AOC). Pour le reste de vos enjeux de commerçant, voyez aussi notre article sur la [cybersécurité du commerce de détail et en ligne](https://cybercaribou.com/blogue/cybersecurite-commerce-detail-ecommerce).

## Réduire la portée : la stratégie la plus rentable

Chaque système qui voit passer un numéro de carte entre dans la portée de la norme. Moins il y en a, plus votre questionnaire est court.

- **Ne stockez jamais de numéros de carte.** Pour les paiements récurrents, utilisez la jetonisation offerte par votre fournisseur : vous conservez un jeton, pas le numéro.
- **Confiez la page de paiement à un fournisseur conforme.** Demandez-lui son attestation de conformité et conservez-la au dossier.
- **Isolez les terminaux.** Le terminal de paiement ne devrait pas partager le réseau Wi-Fi des clients ni celui des postes de travail.
- **Bannissez le papier et le courriel.** Pas de numéros notés sur un bloc-notes à côté du téléphone, ni dictés par clavardage.
- **Préférez une solution P2PE** si vous changez de terminaux : elle réduit nettement les exigences à respecter au comptoir.

Exemple : un restaurant de Québec notait les numéros de carte des réservations de groupe dans un chiffrier. En passant au lien de paiement de son fournisseur, il a sorti le chiffrier, le poste de la réception et la boîte de courriel de la portée.

## Sites transactionnels : scripts, en-têtes et tests

Les attaques de type « écrémage Web » (e-skimming) injectent un script malveillant dans la page de paiement pour copier les numéros au moment où le client les tape. C'est précisément ce que visent les exigences 6.4.3 et 11.6.1.

Quelques mesures concrètes :

- Tenez la liste des scripts chargés sur vos pages de paiement et sur celles qui y mènent, avec la justification de chacun.
- Retirez les extensions et les gadgets inutiles de votre plateforme de commerce.
- Ajoutez des en-têtes de sécurité, dont une politique de sécurité du contenu (CSP) qui limite les sources de scripts. Notre [vérificateur d'en-têtes de sécurité](https://cybercaribou.com/outils/verificateur-en-tetes-securite) vous montre où vous en êtes en quelques secondes.
- Protégez l'administration du site avec une authentification multifacteur.

Selon votre questionnaire, PCI DSS peut aussi exiger des balayages de vulnérabilités externes trimestriels par un fournisseur de balayage approuvé (ASV) et, pour les environnements plus complexes, des tests d'intrusion. Un [test d'intrusion](https://cybercaribou.com/services/test-intrusion) se fait toujours avec une autorisation écrite de l'entreprise : sans elle, l'accès à un système informatique peut constituer une infraction au Code criminel (art. 342.1).

## La checklist annuelle du commerçant

- [ ] Confirmer avec votre acquéreur votre niveau de commerçant et le SAQ attendu
- [ ] Dresser la liste de tous les canaux par où entrent les cartes : comptoir, téléphone, site, courriel
- [ ] Obtenir l'attestation de conformité de chaque fournisseur de paiement et de caisse
- [ ] Activer l'authentification multifacteur sur les portails de paiement et l'administration du site ([quelle méthode choisir](https://cybercaribou.com/blogue/authentification-multifacteur-choisir-mfa))
- [ ] Imposer des mots de passe d'au moins 12 caractères
- [ ] Changer les mots de passe par défaut des terminaux, routeurs et systèmes de caisse
- [ ] Inspecter périodiquement les terminaux pour détecter l'altération ou la substitution
- [ ] Former les employés à reconnaître l'hameçonnage et les faux techniciens
- [ ] Prévoir l'avis à l'acquéreur dans votre plan de réponse aux incidents
- [ ] Remplir le SAQ et l'attestation, puis les transmettre avant l'échéance

Ce guide vulgarise la norme et ne remplace ni les documents officiels du Conseil ni un avis juridique : validez vos obligations contractuelles avec votre acquéreur et votre conseiller juridique, surtout en cas d'incident.

## FAQ

**La norme PCI DSS est-elle obligatoire au Canada ?**
Ce n'est ni une loi fédérale ni une loi québécoise. C'est une norme de l'industrie des cartes de paiement que votre convention de commerçant vous oblige à respecter. Votre acquéreur peut exiger une preuve de conformité et appliquer les conséquences prévues au contrat si vous ne la fournissez pas.

**Si mon fournisseur de paiement est conforme PCI DSS, est-ce que je le suis aussi ?**
Pas automatiquement. Un fournisseur conforme réduit beaucoup votre portée, mais vous devez quand même valider votre propre conformité, souvent avec un questionnaire plus court. Il reste à protéger ce qui est chez vous : vos accès au portail du fournisseur, votre site Web, vos terminaux et vos procédures.

**Un client m'a envoyé son numéro de carte par courriel : que faire ?**
Ne saisissez pas le numéro à partir du courriel. Supprimez le message, y compris de la corbeille, et proposez au client un canal prévu pour le paiement, comme un lien de paiement ou un appel. PCI DSS exige qu'un numéro de carte transmis par courriel ou clavardage soit protégé par un chiffrement robuste, ce qui n'est presque jamais le cas d'un courriel ordinaire.

**Une fuite de données de cartes est-elle aussi un incident de confidentialité au sens de la Loi 25 ?**
Généralement oui : un numéro de carte associé à un nom est un renseignement personnel. En plus des obligations prévues à votre convention de commerçant, vous devez évaluer le risque de préjudice sérieux, inscrire l'incident au registre et, s'il y a lieu, aviser la CAI et les personnes concernées. Validez la démarche avec votre conseiller juridique.

## Sources

- [PCI Security Standards Council — Just Published: PCI DSS v4.0.1 (juin 2024)](https://blog.pcisecuritystandards.org/just-published-pci-dss-v4-0-1)
- [PCI Security Standards Council — Request for Comments: PCI DSS v4.0.1 (juin 2026)](https://blog.pcisecuritystandards.org/request-for-comments-pci-data-security-standard-pci-dss-v4.0.1)
- [PCI Security Standards Council — Bibliothèque de documents (norme, SAQ, attestations)](https://www.pcisecuritystandards.org/document_library/)
- [PCI Security Standards Council — Small Merchant Guide to Safe Payments](https://listings.pcisecuritystandards.org/pdfs/Small_Merchant_Guide_to_Safe_Payments.pdf)
- [usd AG — PCI Council Released Update of SAQ A: New Eligibility Criteria (2025)](https://www.usd.de/en/update-pci-saq-a-2025/)