Vous avez créé une boutique WooCommerce, connecté une passerelle de paiement et commencé à prendre des commandes. Puis un processeur de paiement ou un audit de sécurité a évoqué la conformité PCI, et soudain surgissent des acronymes — DSS, SAQ, QSA, ROC — sans que l’on sache lesquels vous concernent.
Pour la plupart des propriétaires de petites boutiques, la réalité est plus simple qu’il n’y paraît. Mais plus simple ne veut pas dire facultatif, et l’environnement d’hébergement compte plus que la plupart des gens ne l’imaginent. Voici comment fonctionnent les niveaux, ce qu’ils exigent et ce qu’il faut attendre d’un hébergeur.
Ce qu’est la conformité PCI, et pourquoi elle vous concerne
PCI DSS est la norme de sécurité des données de l’industrie des cartes de paiement (Payment Card Industry Data Security Standard), créée par les grands réseaux de cartes pour garantir que toute entreprise acceptant les cartes protège les données de paiement. Si votre boutique accepte les cartes de crédit ou de débit sous quelque forme que ce soit, elle s’applique — quels que soient votre taille ou votre volume de ventes.
Même si vous ne voyez jamais un numéro de carte, vous faites partie de la chaîne de paiement. Dès que votre site collecte, transmet ou redirige des données de titulaire de carte, il entre dans le périmètre.
Les quatre niveaux de commerçants
Les niveaux reposent principalement sur le nombre annuel de transactions par carte, mais c’est votre banque acquéreuse ou votre processeur qui tranche officiellement. Même le niveau 4 n’est pas exempté — la validation est simplement plus légère. Une violation, ou un processeur qui vous juge plus risqué, peut vous faire monter de niveau.
Niveau 1Plus de 6 M par an
Ou tout commerçant ayant subi une violation. Audit annuel sur site par un QSA, rapport de conformité (ROC), scans ASV trimestriels et test d’intrusion annuel.
Niveau 21 M–6 M par an
Questionnaire d’auto-évaluation annuel, scans ASV trimestriels et parfois attestation par un QSA selon la banque.
Niveau 320 k–1 M en e-commerce
SAQ annuel, scans ASV trimestriels et attestation de conformité.
Niveau 4Moins de 20 k en e-commerce
La plupart des petites boutiques en ligne. SAQ annuel, scans ASV trimestriels selon les exigences de la banque et attestation de conformité.
La plupart des petites boutiques WooCommerce relèvent du niveau 4 et sont validées par de la documentation et des scans plutôt que par des audits sur site. Vos obligations réelles dépendent toutefois de la configuration du paiement et du fait que des données de carte transitent ou non par votre serveur.
Qu’est-ce qu’un questionnaire d’auto-évaluation ?
Pour les niveaux 2 à 4, le SAQ est le principal moyen de valider votre conformité — une checklist structurée couvrant la protection des données, le contrôle d’accès, la configuration et la gestion des vulnérabilités. La version à remplir dépend entièrement de la façon dont le paiement traite les données de carte, et c’est votre processeur qui la confirme.
Type de SAQTouchez pour ouvrir
SAQ A
Pour les commerçants qui externalisent entièrement le traitement des paiements auprès d’un tiers conforme PCI et ne stockent, ne traitent ni ne transmettent jamais de données de carte sur leurs propres systèmes. L’option la plus simple, au périmètre le plus réduit.
SAQ A-EP
Pour les commerçants qui externalisent le traitement mais dont le site joue encore un rôle dans la page de paiement — en intégrant ou en hébergeant un formulaire de paiement. Davantage d’exigences, car votre site reste dans le périmètre.
Une confusion fréquente : les boutiques qui utilisent des champs intégrés comme Stripe Elements ou les hosted fields de Braintree supposent parfois relever du SAQ A, mais selon l’implémentation, le SAQ A-EP peut s’appliquer. Vérifiez auprès de votre processeur avant de remplir quoi que ce soit.
La place de l’hébergement
Les exigences PCI s’étendent aux serveurs qui font tourner votre site, et pas seulement à votre passerelle. Si des données de carte transitent par votre serveur, sont redirigées par lui ou sont influencées par lui, votre hébergement fait partie de l’équation de conformité.
Hébergement mutualiséIsolation minimale
De nombreux sites partagent un même serveur. Moins cher, mais un voisin compromis peut mettre votre site en danger selon la configuration.
Hébergement VPSIsolé
Votre propre environnement virtuel, avec davantage de contrôle sur les pare-feu, les mises à jour et les accès.
Hébergement dédiéContrôle total
Un serveur physique entièrement isolé pour un contrôle maximal et des besoins de conformité plus élevés.
Infogéré conforme PCIInfrastructure couverte
Correctifs, surveillance, détection d’intrusion et gestion des vulnérabilités pris en charge pour vous.
Attention : la couche applicative reste sous votre responsabilité.
Le modèle de responsabilité partagée
Un hébergeur conforme PCI ne rend pas automatiquement votre boutique conforme. La responsabilité est partagée :
- Votre hébergeur gère l’infrastructure : sécurité du data center, contrôles réseau, durcissement des serveurs et application des correctifs système.
- Votre passerelle de paiement traite les données de carte sur sa propre infrastructure certifiée, sans qu’elles passent par votre serveur.
- Vous êtes responsable de la couche applicative : configuration de WooCommerce, extensions installées, gestion des accès et rapidité de correction des vulnérabilités.
Par exemple, votre hébergeur peut appliquer les correctifs du système d’exploitation dans les temps, mais si vous utilisez une version obsolète de WooCommerce ou une extension vulnérable, cette faille vous revient.
Ce qu’il faut attendre d’un hébergeur conforme PCI
Votre hébergeur peut-il répondre à ces questions ?0 sur 6 validés
Cochez chaque point que votre hébergeur peut documenter.
Obtenir un audit gratuitSi un hébergeur ne peut pas répondre à ces questions, c’est une raison suffisante pour chercher ailleurs.
La voie la plus simple pour la plupart des petites boutiques
< 20KNiveau 4
Transactions e-commerce
Par an. Là où se situent la plupart des petites boutiques WooCommerce.
SAQ APérimètre minimal
Paiement entièrement externalisé
Les données de carte ne touchent jamais votre serveur.
TrimestrielSouvent oublié
Scans ASV
L’une des exigences les plus souvent négligées par les petites boutiques.
- Utilisez une passerelle entièrement hébergée et certifiée PCI comme Stripe, PayPal ou Square, pour que les données de carte ne touchent jamais votre serveur.
- Confirmez votre type de SAQ auprès de votre processeur ou de votre banque — souvent le SAQ A pour un paiement entièrement externalisé.
- Choisissez un hébergement à la sécurité alignée sur PCI, même si votre périmètre est restreint.
- Remplissez le SAQ annuel et effectuez les scans ASV trimestriels pour que votre conformité reste documentée.
Extensions qui favorisent la conformité PCI et la sécurité
Les extensions ne vous rendent pas conforme, mais les bonnes renforcent la couche applicative qui relève de votre responsabilité.
WooCommerce Stripe Payment GatewayPasserelle
Externalise le traitement des cartes auprès de Stripe. Les hosted fields ou le paiement par redirection aident la plupart des petites boutiques à relever du SAQ A. Apple Pay, Google Pay, 3D Secure et cartes enregistrées tokenisées.
Attention : les champs intégrés peuvent impliquer le SAQ A-EP. Vérifiez auprès de Stripe.
WooCommerce PayPal PaymentsPasserelle
Un paiement hébergé hors site qui tient les données de carte brutes à l’écart de votre serveur. Paiement différé (Pay Later), Venmo, stockage sécurisé des moyens de paiement et outils antifraude intégrés.
Wordfence SecuritySécurité
Pare-feu applicatif web, analyse antimalware, limitation des connexions, authentification à deux facteurs et blocage d’IP en temps réel.
Sucuri SecuritySécurité
Surveillance de l’intégrité des fichiers, analyse antimalware, audit de l’activité et assistance à la remédiation après piratage.
WP Activity LogJournalisation
Journaux détaillés de l’activité des administrateurs et des utilisateurs, suivi des événements WooCommerce, alertes et conservation des journaux.
Prendre en main votre conformité
L’erreur la plus courante consiste à croire que la passerelle ou l’hébergeur couvre tout. Aucun des deux ne le fait. Un point de départ concret :
- Confirmez votre niveau de commerçant et votre type de SAQ auprès de votre processeur ou de votre banque. Cette seule conversation clarifie l’essentiel de ce qui s’applique.
- Auditez votre parcours de paiement. Sachez exactement où vont les données de carte lorsqu’un client paie.
- Examinez votre hébergement. Demandez une AOC documentée, les fonctions de sécurité incluses et ce qui reste à votre charge.
- Planifiez des scans ASV trimestriels. Souvent oubliés, et simples une fois le bon hébergeur ou prestataire en place.
- Remplissez le SAQ annuel. Le PCI Security Standards Council publie les formulaires sur pcisecuritystandards.org.
Savoir ce qui est exigé et agir en conséquence, de manière constante : voilà à quoi ressemble la conformité en pratique.
