Oui, Stripe est un fournisseur de services de niveau 1 PCI mais selon votre intégration, votre entreprise reste responsable de garantir la conformité avec la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS).
La norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) est un ensemble de normes de sécurité conçues pour protéger les informations de carte pendant et après une transaction financière. Pour atteindre la conformité, vous devez respecter 12 exigences, allant de la mise en œuvre de mesures de contrôle d'accès robustes à la surveillance des modifications des en-têtes HTTPS (PCI 11.6.1 et 6.4.3).
Comment être conforme en utilisant Stripe
Les produits de Stripe sont conçus pour gérer les données de carte sensibles de manière sécurisée, réduisant ainsi la portée de vos responsabilités PCI DSS :
- Stripe Checkout et Elements : Ces outils utilisent des champs de paiement hébergés, garantissant que les informations de paiement sensibles sont transmises directement aux serveurs validés PCI DSS de Stripe sans toucher vos serveurs.
- SDK mobiles et Terminal : Les SDK de Stripe pour les paiements mobiles et en personne envoient également les informations sensibles directement à Stripe, minimisant votre périmètre PCI.
| Intégration Stripe | SAQ requis | Raison |
|---|---|---|
| Stripe Checkout (page de paiement hébergée) | SAQ A | Aucune donnée de titulaire de carte ne touche votre serveur |
| Stripe Elements (champs intégrés)* | SAQ A* | Elements transmet les données de manière sécurisée à Stripe* |
| Stripe.js v2 avec interface personnalisée | SAQ A-EP* | Votre frontend affecte la sécurité des transactions |
| API directe (données de carte sur votre serveur) | SAQ D | Vous stockez, traitez et/ou transmettez des données de carte |
*Vous devez maintenant surveiller les dépendances sur les pages de paiement, voir ci-dessous.
- Si vous utilisez Stripe Checkout (page de paiement hébergée), vous êtes éligible au SAQ A.
- Si vous utilisez Stripe Elements (champs intégrés qui envoient les données directement à Stripe), vous êtes éligible au SAQ A.
- Si vous utilisez les SDK mobiles ou Terminal de Stripe, les données de paiement sont traitées de manière sécurisée par Stripe, vous maintenant dans le SAQ A.
- Si vous collectez et stockez des données de titulaire de carte ou utilisez une intégration API directe, vous devez compléter le SAQ D et mettre en œuvre tous les contrôles PCI.
Si vous êtes éligible au SAQ A, vos responsabilités PCI DSS sont minimales car Stripe gère les données de carte sensibles.
Si vous nécessitez le SAQ A-EP ou le SAQ D, vous assumez plus de responsabilités pour sécuriser les transactions.
Si votre entreprise traite ou stocke des données de titulaire de carte (SAQ D), vous devez :
- Mettre en œuvre un chiffrement robuste pour les données de paiement.
- Configurer des politiques de pare-feu et de contrôle d'accès.
- Effectuer des analyses réseau trimestrielles avec un fournisseur d'analyse approuvé (ASV).
- Réaliser un audit PCI DSS complet si vous êtes un commerçant de niveau 1 (plus de 6 millions de transactions/an).
*Surveillance des dépendances pour la conformité SAQ A
Selon la mise à jour de janvier 2025, le Conseil des normes de sécurité PCI a souligné l'importance de surveiller les dépendances. Cela inclut les scripts propriétaires et tiers sur les sites web. Cette mise à jour exige que les commerçants s'assurent que leurs sites ne sont pas vulnérables aux attaques provenant de ces scripts.
Veuillez trouver la documentation de Stripe concernant PCI DSS ici.
Déterminez votre niveau de conformité PCI
| Niveau | Critères | Exigence de validation |
|---|---|---|
| Niveau 1 | Plus de 6 millions de transactions annuelles | Audit complet sur site par un QSA + SAQ D |
| Niveau 2 | 1 à 6 millions de transactions annuelles | SAQ A, SAQ A-EP ou SAQ D + Attestation de conformité (AOC) |
| Niveau 3 | 20 000 à 1 million de transactions en ligne annuelles | SAQ A, SAQ A-EP ou SAQ D + Attestation de conformité (AOC) |
| Niveau 4 | Moins de 20 000 transactions en ligne OU jusqu'à 1 million de transactions totales | SAQ A, SAQ A-EP ou SAQ D + Attestation de conformité (AOC) |
- Niveau 1 = Doit effectuer un ROC (évaluation PCI DSS complète avec rapport complet de conformité par QSA)
- Niveau 2 = Doit effectuer au moins un SAQ avec attestation QSA ou ISA tierce
- Niveau 3 = Doit effectuer un SAQ
- Niveau 4 = Optionnel
Identifiez votre type d'intégration et la documentation requise
Complétez le SAQ approprié Une fois que vous avez identifié le bon SAQ en fonction de votre méthode d'intégration, complétez-le minutieusement. Stripe fournit un assistant PCI dans votre tableau de bord pour vous guider tout au long de ce processus.
Soumettez votre documentation Après avoir complété le SAQ, soumettez-le avec toute attestation de conformité (AOC) ou rapport de conformité (ROC) requis à Stripe pour examen. Le tableau de bord de Stripe vous permet de télécharger ces documents directement.
Maintenez une conformité continue La conformité PCI n'est pas une tâche ponctuelle mais un processus continu. Surveillez régulièrement vos systèmes, maintenez des pratiques de codage sécurisées et restez à jour avec les exigences PCI DSS pour garantir une conformité continue.
