Oui, PayPal (et Braintree) est conforme à PCI DSS en tant que fournisseur de services de niveau 1 mais selon votre intégration, vous êtes toujours tenu de compléter un SAQ annuel afin d'être vous-même conforme à PCI. Cela dépend de la façon dont vous intégrez PayPal dans votre entreprise. Voici comment :
La norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) est un ensemble de normes de sécurité conçues pour protéger les informations de carte pendant et après une transaction financière. La conformité implique le respect de 12 exigences, allant de l'installation et du maintien d'un réseau sécurisé à la tenue d'un inventaire des scripts tiers s'exécutant sur vos pages web (PCI 6.4.3 et 11.6.1).
Comment être conforme en utilisant PayPal
Selon les directives officielles de PayPal, vos exigences de conformité PCI DSS dépendent de la façon dont votre entreprise traite les données de paiement. Si vous redirigez les utilisateurs vers le paiement hébergé de PayPal, votre périmètre PCI est minimal (SAQ A). Cependant, si vous traitez des données de carte brutes, vous devez compléter le SAQ D et suivre des contrôles de sécurité plus stricts.
Il existe trois principales façons dont les entreprises utilisent PayPal :
| Type d'intégration | Périmètre PCI | SAQ requis |
|---|---|---|
| PayPal Standard, Express Checkout ou Smart Button (redirection vers PayPal) | Minimal - Aucune donnée de titulaire de carte sur vos serveurs | SAQ A |
| Interface utilisateur drop-in Braintree avancée de PayPal* | Minimal - Champs hébergés, aucune donnée de titulaire de carte sur vos serveurs* | SAQ A* |
| Intégration API directe (PayPal Pro, Braintree, API ou stockage de données de carte) | Élevé - Les données de titulaire de carte transitent par votre serveur | SAQ D |
*Vous devez maintenant surveiller les dépendances sur les pages de paiement, plus de détails ci-dessous.
- Si vous redirigez les utilisateurs vers le paiement hébergé de PayPal, vous êtes éligible au SAQ A.
- Si vous utilisez des champs hébergés (par exemple, l'interface utilisateur drop-in Braintree), vous êtes éligible au SAQ A.
- Si vous collectez et stockez des données de titulaire de carte, vous devez compléter le SAQ D et mettre en œuvre tous les contrôles PCI.
Si votre entreprise traite ou stocke des données de titulaire de carte (SAQ D), vous devez :
- Mettre en œuvre un chiffrement robuste pour les données de paiement.
- Configurer des politiques de pare-feu et de contrôle d'accès.
- Effectuer des analyses réseau trimestrielles avec un fournisseur d'analyse approuvé (ASV).
- Compléter un audit PCI DSS complet si vous êtes un commerçant de niveau 1 (6M+ transactions/an).
Braintree appartient à PayPal et fonctionne comme sa filiale. Cette relation a un impact direct sur la conformité PCI, selon le produit PayPal ou Braintree que vous utilisez. Braintree fournit des options de traitement de paiement plus directes, ce qui signifie que vous pourriez avoir besoin du SAQ D si les données de carte interagissent avec vos serveurs.
*Surveillance des dépendances pour la conformité SAQ A
Conformément à la mise à jour de janvier 2025, le PCI Security Standards Council a souligné l'importance de surveiller les dépendances. Cela inclut les scripts propriétaires et tiers sur les sites web. Cette mise à jour exige que les commerçants s'assurent que leurs sites ne sont pas susceptibles d'être attaqués par ces scripts.
Veuillez trouver la documentation de PayPal concernant PCI DSS ici.
Déterminez votre niveau de conformité PCI
| Niveau | Critères | Exigence de validation |
|---|---|---|
| Niveau 1 | Plus de 6 millions de transactions par an | Audit complet sur site par un QSA + SAQ D |
| Niveau 2 | 1 à 6 millions de transactions par an | SAQ A, SAQ A-EP ou SAQ D + Attestation de conformité (AOC) |
| Niveau 3 | 20 000 à 1 million de transactions en ligne par an | SAQ A, SAQ A-EP ou SAQ D + Attestation de conformité (AOC) |
| Niveau 4 | Moins de 20 000 transactions en ligne OU jusqu'à 1 million de transactions totales | SAQ A, SAQ A-EP ou SAQ D + Attestation de conformité (AOC) |
- Niveau 1 = Doit effectuer un ROC (évaluation PCI DSS complète avec rapport complet sur la conformité par QSA)
- Niveau 2 = Doit effectuer au moins un SAQ avec attestation QSA ou ISA tierce
- Niveau 3 = Doit effectuer un SAQ
- Niveau 4 = Optionnel
Soumettre la certification de conformité PCI
Pour les commerçants SAQ A :
- Complétez le SAQ A via le portail de conformité PCI de PayPal.
- Assurez-vous qu'aucun script n'interfère avec les champs hébergés de PayPal.
- Conservez la documentation pour les examens annuels.
Pour les commerçants SAQ D :
- Effectuez des analyses réseau trimestrielles via un fournisseur d'analyse approuvé (ASV).
- Mettez en œuvre les contrôles de sécurité PCI (pare-feu, chiffrement, contrôle d'accès).
- Subissez un audit QSA sur site si nécessaire.
Une fois que vous avez identifié le SAQ correct en fonction de votre méthode d'intégration, complétez-le minutieusement. Stripe fournit un assistant PCI dans votre tableau de bord pour vous guider tout au long de ce processus.
