Si vous acceptez les cartes de crédit et que votre entreprise n’est pas de grande taille, votre banque ou votre prestataire de services de paiement vous a probablement demandé de remplir un « SAQ ». Ce terme est déroutant, et choisir le mauvais formulaire est l’une des erreurs les plus courantes que nous constatons. Ce guide explique ce qu’est un questionnaire d’auto-évaluation (SAQ), comment déterminer celui qui vous concerne et ce qui a changé pour le SAQ A en 2025.
Qu’est-ce qu’un SAQ ?
Un questionnaire d’auto-évaluation (Self-Assessment Questionnaire) est un formulaire, publié par le Conseil des normes de sécurité PCI (PCI SSC), qui permet aux commerçants éligibles de rendre compte de leur propre conformité à la norme PCI DSS. Chaque SAQ ne couvre que les exigences qui s’appliquent à un mode particulier d’acceptation des paiements. Moins vous contrôlez de systèmes de cartes, plus le formulaire est court.
Deux points sont importants avant de commencer. Premièrement, toutes les entreprises ne peuvent pas s’auto-évaluer : le Conseil conseille aux commerçants de contacter leur banque acquéreuse, les réseaux de cartes ou toute autre entité de conformité pour confirmer leur éligibilité et le SAQ approprié. Deuxièmement, le SAQ est un outil de validation. Les exigences de sécurité sous-jacentes s’appliquent toujours, même lorsqu’elles ne figurent pas sur votre formulaire.
Les principaux types de SAQ
L’aperçu des SAQ v4 du Conseil énumère les options suivantes. Les voici en termes simples :
- SAQ A : commerçants effectuant des transactions par carte non présente (en ligne, par courrier ou par téléphone) qui ont entièrement externalisé le traitement des cartes, par exemple en redirigeant les clients vers la page d’un prestataire de paiement ou en utilisant le formulaire intégré du prestataire.
- SAQ A-EP : commerçants de commerce électronique qui externalisent le traitement des paiements mais dont le propre site web peut affecter la sécurité de la transaction de paiement.
- SAQ B : commerçants qui utilisent uniquement des machines à empreinte ou des terminaux autonomes avec numérotation sortante.
- SAQ B-IP : commerçants qui utilisent uniquement des terminaux de paiement autonomes approuvés par PCI et connectés par IP au processeur.
- SAQ C-VT : commerçants qui saisissent les transactions une par une dans le terminal virtuel d’un prestataire sur un ordinateur isolé.
- SAQ C : commerçants disposant de systèmes d’application de paiement connectés à Internet.
- SAQ P2PE : commerçants qui utilisent uniquement une solution de chiffrement de bout en bout (P2PE) validée.
- SAQ SPoC : commerçants utilisant une solution validée de saisie de code PIN par logiciel sur des appareils grand public (COTS), comme l’acceptation de cartes sur un téléphone ou une tablette commerciale.
- SAQ D : tous les autres, et le seul SAQ disponible pour les prestataires de services éligibles.
Un moyen rapide de restreindre votre choix
- Listez tous vos modes d’acceptation des paiements : site web, commandes par téléphone, terminaux en magasin, appareils mobiles, bornes.
- Pour chaque canal, demandez-vous qui touche aux données de carte : vous, vos systèmes, ou seulement un tiers.
- Vérifiez les critères d’éligibilité au début du SAQ que vous pensez être le bon. Si vous ne pouvez pas répondre « oui » à chaque critère, ce SAQ ne s’applique pas.
- Si vous avez plusieurs canaux, demandez à votre acquéreur si vous pouvez remplir plusieurs SAQ ou si vous devez en utiliser un plus large.
Ce qui a changé pour le SAQ A en 2025
La version 4 de la norme PCI DSS a introduit deux exigences visant le « web skimming » : 6.4.3 (gestion des scripts sur les pages de paiement) et 11.6.1 (détection des modifications non autorisées sur les pages de paiement). À l’origine, elles figuraient dans le SAQ A, ce qui inquiétait les petits commerçants en ligne qui s’appuient sur le formulaire de paiement intégré d’un prestataire.
Le 30/01/2025, le Conseil a annoncé une mise à jour du SAQ A qui supprime les exigences 6.4.3, 11.6.1 et 12.3.1 du questionnaire. À leur place, il a ajouté un critère d’éligibilité : le commerçant doit confirmer que son site n’est pas susceptible de subir des attaques par des scripts qui pourraient affecter le ou les systèmes de commerce électronique du commerçant. Le SAQ A mis à jour est entré en vigueur le 31/03/2025.
Le Conseil a ensuite publié la FAQ 1588 le 28/02/2025 pour expliquer comment répondre à ce critère. Un commerçant qui intègre le formulaire de paiement d’un prestataire (par exemple, dans une iframe) peut soit :
- utiliser des techniques telles que celles décrites dans les exigences 6.4.3 et 11.6.1 pour protéger sa propre page contre les attaques par script, ou
- obtenir la confirmation de son prestataire de paiement que la solution intégrée inclut des techniques protégeant la page de paiement du commerçant contre les attaques par script, lorsqu’elle est mise en œuvre conformément aux instructions du prestataire.
La FAQ note également que ce critère s’applique aux commerçants utilisant des formulaires de paiement intégrés, et non à ceux qui redirigent entièrement les clients vers le site du prestataire.
Le Conseil a souligné que ces modifications du SAQ A ne suppriment ni ne diminuent les exigences sous-jacentes de la norme PCI DSS.
Conseils pratiques
- Conservez une confirmation écrite de votre prestataire de paiement dans vos dossiers si vous vous appuyez sur lui pour le critère relatif aux scripts.
- Révisez votre éligibilité chaque année. Un nouveau plug-in, une page de paiement repensée ou un nouveau canal de vente peut vous faire passer à un autre SAQ.
- Ne devinez pas. Remplir le mauvais SAQ peut vous laisser exposé en cas de violation de données.
Notre aperçu de la norme PCI DSS explique le standard plus en détail. Le portail d’auto-évaluation Accel PCI, conçu par notre division Accel PCI, guide les commerçants vers le bon SAQ et les aide à le remplir, et nos modèles de documents montrent ce qui est attendu. Si vous avez besoin d’aide concernant le périmètre, contactez-nous.
Sources
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite