Sécurité et conformité, Guides
PCI DSS, fraude et rétrofacturations. 15 articles dans guides, écrits pour les commerçants canadiens : ce que couvre sécurité et conformité, ce qu’il faut vérifier sur votre propre relevé et les décisions que cela change.
Sécurité et conformité
Sécurité et conformité
PCI DSS, fraude et rétrofacturations.
Sur ce rayon
Un ordinateur portable affiche un tableau de bord à côté d'une main tenant un téléphone 7 mythes sur la conformité PCI qui coûtent de l'argent aux commerçants (ou leur valent une brèche)
La norme PCI DSS s'applique à toute entreprise qui accepte les cartes, quelle que soit sa taille, et les malentendus les plus coûteux sont constants : croire que la conformité du processeur couvre le commerçant, traiter le questionnaire annuel comme l'obligation entière, stocker des numéros de carte « temporairement », et payer des frais de non-conformité plutôt que de remplir un formulaire. La bonne nouvelle réaliste : avec des paiements hébergés et des terminaux validés, les obligations réelles de la plupart des petits commerçants sont modestes.
DécouvrirUn ordinateur portable affiche un tableau de bord à côté d'une main tenant un téléphone Les arnaques qui visent les commerçants : trop-perçu, skimmers, hameçonnage et comment les vaincre
Les commerçants font face à leur propre économie de la fraude : des arnaques au trop-perçu qui transforment votre remboursement en le vrai versement, des skimmers installés sur des lecteurs sans surveillance, de l'hameçonnage qui arrive par courriel, texto et appel téléphonique, des robots de test de cartes qui épuisent votre caisse, et de la fraude au remboursement qui exploite votre bonne foi. Chacune a une contre-mesure ennuyeuse et fiable, et la plupart se résument à la même règle : l'argent qui sort ne voyage que sur le chemin par lequel l'argent est arrivé.
DécouvrirUn ordinateur portable affiche un tableau de bord à côté d'une main tenant un téléphone Cartes de crédit refusées : le guide du commerçant sur les codes, les causes et comment sauver la vente
Un refus, c'est la banque émettrice qui refuse une autorisation, et le code qui revient dit comment réagir. Les refus temporaires — fonds insuffisants, limites de vélocité, conditions de réessayer — peuvent réussir à une reprise ou avec une autre carte; les refus permanents — carte volée, compte fermé, « ne pas honorer » dans ses formes graves — ne doivent jamais être repris. Bien gérer le moment sauve la vente; bien lire les codes protège votre taux d'approbation.
DécouvrirUn ordinateur portable affiche un tableau de bord à côté d'une main tenant un téléphone Carte présente contre sans carte présente : pourquoi la même carte vous coûte des montants différents
Une transaction avec carte présente lit physiquement la carte par effleurement ou par puce, générant un cryptogramme qui prouve que la carte était là; une transaction sans carte présente — en ligne, saisie ou par téléphone — ne peut pas le prouver. Cette seule différence entraîne un interchange plus élevé, une exposition à la fraude plus grande et une responsabilité des rétrofacturations différente sur les paiements CNP, et elle est en partie sous le contrôle du commerçant : chaque paiement qui passe de saisi à effleuré, ou protégé par 3-D Secure et l'AVS, fait pencher les probabilités dans l'autre sens.
DécouvrirPaiements sécurisés protégés par la tokenisation et le chiffrement La conformité PCI pour les commerçants
La norme PCI DSS s’applique à tout accepteur de cartes. La tokenisation réduit la portée; le commerçant conserve ses obligations de personnel et de processus.
Découvrir
Qu'est-ce que 3D Secure, et réduit-il la fraude ou nuit-il à la conversion? Qu'est-ce que 3D Secure, et réduit-il la fraude?
3D Secure (3DS) est une étape d'authentification supplémentaire où la banque du titulaire confirme que le client est réel — par approbation dans l'application, code à usage unique ou biométrie — avant d'approuver un paiement en ligne. Il réduit la fraude par carte volée et les rétrofacturations non autorisées, mais l'imposer à chaque commande ajoute de la friction. Le 3DS fondé sur le risque ne défie que les commandes à risque moyen et élevé, protégeant les revenus sans nuire à la conversion.
Découvrir
Comment devenir conforme à la norme PCI : guide étape par étape pour les commerçants canadiens Comment devenir conforme à la norme PCI : guide étape par étape
Pour devenir conforme à la norme PCI, déterminez d'abord votre niveau marchand selon votre volume de transactions annuel, puis remplissez le questionnaire d'auto-évaluation (SAQ) qui correspond à votre environnement de paiement, effectuez des analyses de vulnérabilité trimestrielles auprès d'un fournisseur d'analyse approuvé PCI si vous traitez des données de carte en ligne, corrigez tout problème de sécurité relevé, et soumettez chaque année vos documents de conformité à votre banque acquéreuse et à votre processeur de paiement.
Découvrir
Simplifier la conformité PCI pour les commerçants canadiens La conformité PCI pour les commerçants canadiens, simplifiée
La conformité à la norme PCI DSS est obligatoire pour toute entreprise qui traite, stocke ou transmet des données de carte de crédit ou de débit, peu importe sa taille ou son secteur. Les 12 exigences de la norme couvrent les pare-feu, le chiffrement, les contrôles d'accès et la surveillance. La non-conformité peut entraîner des amendes de 5 000 $ à 100 000 $ par mois, des frais de transaction plus élevés et la perte de votre compte marchand, tandis que faire affaire avec un processeur certifié PCI de niveau 1 vous décharge de la majeure partie du fardeau technique.
Découvrir
Meilleures pratiques pour gérer les renseignements de carte de crédit en commerce électronique Meilleures pratiques pour gérer les données de carte en commerce électronique
Pour gérer les renseignements de carte de crédit en toute sécurité en commerce électronique, respectez la norme PCI DSS, chiffrez les données en transit avec TLS et au repos avec AES, tokenisez les numéros de carte stockés, intégrez une passerelle de paiement conforme PCI, restreignez l'accès au personnel autorisé, effectuez des vérifications de sécurité régulières, formez les employés aux menaces comme l'hameçonnage, et maintenez un plan de réponse aux incidents pour les brèches.
Découvrir
Lignes directrices sur la conformité PCI DSS pour l'intégration des paiements par carte de crédit sur les sites Web Lignes directrices sur la conformité PCI DSS pour les sites Web
PCI DSS est la norme de sécurité des données de l'industrie des cartes de paiement, un ensemble d'exigences de sécurité pour toute entreprise qui stocke, traite ou transmet des données de carte de crédit. Les sites Web atteignent la conformité en déterminant leur niveau selon le volume annuel de transactions, en effectuant une analyse des écarts, en chiffrant et en tokenisant les données du titulaire de carte, en restreignant l'accès, en formant le personnel et en auditant régulièrement la sécurité.
Découvrir
Faire face aux cybermenaces : guide des protocoles de sécurité de la passerelle de paiement Protocoles de sécurité de la passerelle de paiement : guide sur les cybermenaces
La sécurité de la passerelle de paiement repose sur quatre protocoles fondamentaux : le chiffrement (comme l'AES) qui rend les données de carte illisibles, la tokenisation qui remplace les données sensibles par des jetons sans valeur, les canaux SSL/TLS qui protègent les données en transit contre les attaques de l'intercepteur, et l'authentification multifacteur qui vérifie les utilisateurs. Ces mesures sont renforcées par la conformité à la norme PCI DSS et à la LPRPDE, des audits de sécurité réguliers, la formation du personnel, la planification de la réponse aux incidents, et des outils émergents comme la détection des menaces par IA et la biométrie.
Découvrir
L'importance du chiffrement SSL pour assurer un processus de paiement en ligne sécurisé Le chiffrement SSL pour un paiement en ligne sécurisé
Le chiffrement SSL sécurise la connexion entre le navigateur de l'acheteur et la boutique en ligne, brouillant les numéros de carte de crédit et les renseignements personnels pour qu'ils ne puissent être interceptés durant le paiement. Pour les entreprises canadiennes de commerce électronique, un certificat SSL protège les données de la clientèle, appuie la conformité à la LPRPDE, et affiche le cadenas et les indicateurs HTTPS que la clientèle recherche avant de confier un paiement à un site.
Découvrir
Le rôle de la tokenisation dans le traitement sécurisé des cartes de crédit La tokenisation dans le traitement sécurisé des cartes de crédit
La tokenisation remplace le numéro de carte de crédit réel d'un client par un jeton généré aléatoirement, inutile aux attaquants. Puisque le jeton ne peut être inversé et que les données de carte brutes ne sont jamais stockées sur vos systèmes, la tokenisation réduit fortement le risque de brèche, simplifie la conformité PCI DSS, et garde le paiement fluide sur les canaux en ligne, en magasin, et mobile.
Découvrir
5 conseils pour assurer un traitement sécuritaire des cartes de crédit dans votre boutique en ligne Traitement sécuritaire des cartes de crédit : 5 conseils pour boutiques en ligne
Le traitement sécuritaire des cartes de crédit pour une boutique en ligne repose sur cinq pratiques : choisir une passerelle de paiement réputée qui chiffre les données des clients, mettre en place le chiffrement SSL pour que les numéros de carte soient brouillés en transit, respecter les normes PCI DSS, surveiller les transactions avec des outils antifraude comme l'AVS et les contrôles de vélocité, et former le personnel et les clients aux meilleures pratiques de sécurité.
Découvrir
Démystifier le CVV des cartes de crédit : ce qu'il faut savoir Qu'est-ce que le CVV sur une carte de crédit?
Le CVV (Card Verification Value) est le code à trois chiffres au dos des cartes Visa et Mastercard, ou le code à quatre chiffres au recto des cartes American Express, qui vérifie que le titulaire détient physiquement la carte. Il est généré par l'émetteur au moyen d'algorithmes cryptographiques, n'est jamais stocké sur la bande magnétique ou la puce, et est requis principalement pour les transactions en ligne et les autres transactions sans carte présente.
Découvrir
Questions fréquentes
RapidCents est-elle conforme à PCI DSS?
Oui. RapidCents maintient de façon indépendante une validation PCI DSS de niveau 1 pour son environnement de traitement et peut fournir l’attestation qu’un vérificateur attend. Cette validation couvre l’environnement RapidCents; votre propre questionnaire et votre attestation demeurent à remplir chaque année.
Quel questionnaire PCI s’applique à mon entreprise?
Il découle de votre intégration, pas de votre secteur. Une manipulation des cartes entièrement déléguée — checkout hébergé ou champs hébergés — relève du SAQ A; des terminaux homologués autonomes sans stockage électronique, du SAQ B; toute situation où vos propres systèmes stockent, traitent ou transmettent des données de carte, du SAQ D avec analyses trimestrielles. La page sur la conformité PCI présente la correspondance.
Que ne faut-il jamais stocker, même chiffré?
Les codes de vérification de carte, les NIP, les données de puce EMV et les données complètes de bande magnétique. Si l’un d’eux se retrouve dans un journal, un billet, une feuille de calcul ou un enregistrement d’appel, supprimer la donnée est la moitié du correctif; changer ce qui l’y a mise est l’autre moitié.
Que faire si je soupçonne une atteinte?
Écrivez sans tarder à [email protected] et à [email protected] : notre équipe de sécurité vous accompagne. Confinez plutôt qu’effacer — retirez le système du réseau, remplacez les clés, révoquez les sessions — et ne réinstallez pas et ne supprimez pas les journaux, parce qu’un enquêteur judiciaire a besoin précisément de ce qu’une reconstruction propre détruit.
