SAQ A contre SAQ A-EP contre SAQ D : lequel s'applique à vous?

SAQ A : fonctions de paiement entièrement externalisées

Le PCI SSC décrit le SAQ A comme couvrant les commerçants dont les fonctions liées aux données de compte sont entièrement externalisées à des tiers validés et conformes à la norme PCI DSS, où le commerçant ne conserve que des rapports ou reçus papier contenant des données de compte. Les commerçants sous SAQ A peuvent être des commerçants en ligne ou par commande postale et téléphonique, et ne stockent, ne traitent ni ne transmettent électroniquement des données de compte sur leurs systèmes ou dans leurs locaux. En janvier 2025, le PCI SSC a retiré du SAQ A les exigences 6.4.3 et 11.6.1 sur les scripts de page de paiement, ainsi que l'exigence connexe d'analyse de risque 12.3.1, et a ajouté un critère d'admissibilité : le commerçant doit confirmer que son site n'est pas vulnérable aux attaques par scripts qui pourraient affecter ses systèmes de commerce en ligne.

Le critère de script du SAQ A, expliqué

La FAQ 1588 du PCI SSC dit que le critère de script s'applique seulement aux commerçants en commerce en ligne dont la page Web comprend une page ou un formulaire de paiement intégré d'un fournisseur, comme un iframe. Il ne s'applique pas aux commerçants qui redirigent les clients vers le fournisseur (par exemple avec une redirection HTTP 30x, une balise meta de redirection ou une redirection JavaScript), ni à ceux qui externalisent entièrement le paiement, par exemple en envoyant par courriel aux clients un lien pour payer sur le site du fournisseur. Un commerçant peut répondre au critère soit en utilisant des techniques comme celles des exigences 6.4.3 et 11.6.1 de la norme PCI DSS pour protéger la page contre les scripts ciblant les données de compte, déployées par le commerçant ou un tiers, soit en obtenant la confirmation de son fournisseur conforme à la norme PCI DSS que son formulaire intégré, mis en œuvre comme indiqué, comprend une protection contre les attaques par scripts. La FAQ ajoute qu'un fournisseur de scripts non liés au paiement, qui ne peut pas affecter la sécurité des données de carte, n'est pas traité comme un fournisseur de services tiers pour le SAQ A.

SAQ A-EP : votre site Web façonne la page de paiement

Le SAQ A-EP de la norme PCI DSS v4.0 décrit les commerçants dont le site Web ne reçoit pas lui-même de données de compte mais qui influe sur la sécurité de la transaction de paiement ou l'intégrité de la page qui accepte les données de carte. Ses critères comprennent : le commerçant n'accepte que des transactions en commerce en ligne; tout le traitement des données de compte, sauf la page de paiement, est externalisé à un fournisseur conforme à la norme PCI DSS; le site Web ne reçoit pas de données de compte mais contrôle la façon dont les clients ou leurs données sont redirigés vers le fournisseur; tout fournisseur hébergeant le site Web est conforme; et chaque élément de la page de paiement livrée au navigateur du client provient soit du site Web du commerçant, soit d'un fournisseur conforme. Le bulletin d'octobre 2024 du PCI SSC dit que les SAQ v4.0.1 ont précisé les critères d'admissibilité dans les SAQ A, A-EP et C-VT, alors lisez la version v4.0.1 actuelle dans la bibliothèque de documents du PCI SSC avant de vous fier à ces critères.

SAQ D : tout le reste

Le SAQ D pour commerçants de la norme PCI DSS v4.0 s'applique aux commerçants admissibles à l'auto-évaluation qui ne répondent aux critères d'aucun autre SAQ. Ses exemples comprennent les commerçants en commerce en ligne qui acceptent des données de titulaire de carte sur leur site Web, les commerçants qui stockent électroniquement des données de titulaire de carte, les commerçants qui ne stockent pas électroniquement des données de carte mais qui ne répondent aux critères d'aucun autre SAQ, et les commerçants dont l'environnement pourrait répondre aux critères d'un autre SAQ mais qui ont des exigences supplémentaires de la norme PCI DSS applicables. La FAQ 1133 du PCI SSC note que le SAQ D pour fournisseurs de services est le seul SAQ pour les fournisseurs de services admissibles; tous les autres SAQ sont pour les commerçants. D'autres SAQ pour commerçants couvrent d'autres environnements, comme le SAQ B-IP, que le PCI SSC dit destiné uniquement aux appareils de paiement autonomes approuvés PCI non connectés à d'autres types d'appareils dans la même zone de réseau, et le SAQ SPoC pour les solutions logicielles approuvées de saisie de NIP sur téléphones ou tablettes.

Comment les changements à la caisse vous font passer d'un SAQ à l'autre

Votre SAQ peut changer lorsque votre caisse change. Exemple illustratif seulement : une boutique en ligne utilisant la page de paiement hébergée de son processeur redirige les clients ailleurs pour payer, donc le critère de script du SAQ A ne s'applique pas à cette redirection. Si elle passe à un iframe intégré pour garder les clients sur son site, elle peut toujours être admissible au SAQ A mais doit confirmer le critère de script. Si un développeur construit plus tard un formulaire de carte qui envoie les numéros de carte au propre serveur de la boutique, la boutique accepte des données de titulaire de carte sur son site Web, l'un des exemples du PCI SSC pour le SAQ D. Avant de changer la conception de la caisse, demandez à votre fournisseur et à votre acquéreur comment le changement affecte votre questionnaire. Si vous prenez des cartes par plus d'un canal, demandez à votre acquéreur comment valider chacun. Ceci est une information générale, pas un avis juridique (17 septembre 2026).