Presque tous les restaurateurs découvrent la conformité PCI de la même manière : une ligne sur leur relevé de paiement intitulée « frais de non-conformité », d’un montant de 30 dollars par mois, qui apparaît sans aucune explication. Certains appellent leur prestataire de paiement, qui leur demande de remplir un questionnaire ; ils ouvrent alors un fichier PDF de 300 questions destiné aux banques, puis le referment aussitôt. Les frais continuent d’être prélevés. Telle est la réalité de la norme PCI dans le secteur de la restauration : une obligation annuelle que la plupart des exploitants ignorent ou simulent, jusqu’à ce qu’une violation de données de cartes de paiement en fasse le seul sujet de conversation. Cela n’a pas besoin d’être aussi compliqué. Pour la plupart des restaurants, la réponse honnête se résume à un questionnaire d’une trentaine de questions, à quelques réglages réseau et à une configuration des paiements qui empêche d’emblée les données de cartes bancaires d’entrer dans vos locaux. Si le traitement des paiements de votre restaurant s’effectue de manière cryptée au sein même du terminal, vous avez déjà accompli la partie la plus difficile sans même vous en rendre compte.
Ce guide explique ce qu’exige réellement la norme, quel questionnaire s’applique à votre configuration, comment réduire vos responsabilités, quelles questions poser à vos fournisseurs, et ce que coûte réellement la non-conformité en cas de problème. Le facteur le plus déterminant est d’ordre architectural plutôt que procédural : la manière dont le système de point de vente de votre restaurant et vos terminaux traitent les données de carte détermine si la conformité se résume à un simple formulaire annuel ou s’il s’agit d’un véritable projet.
Qu’est-ce que la norme PCI DSS, et qui la fait réellement respecter ?
PCI DSS signifie « Payment Card Industry Data Security Standard » (norme de sécurité des données de l’industrie des cartes de paiement). Il s’agit d’un ensemble d’exigences techniques et opérationnelles s’appliquant à toute entité qui accepte, traite, stocke ou transmet des données de cartes de paiement. La version actuelle est la 4.0.1, et les exigences qui ont été progressivement mises en place dans le cadre de la version 4 sont devenues obligatoires le 31 mars 2025 ; il n’y a donc plus de délai de grâce sur lequel s’appuyer.
Voici ce qui prête à confusion : la norme PCI n’est pas une loi et aucune autorité publique ne veille à son application. Il s’agit d’une norme contractuelle créée par les réseaux de cartes (Visa, Mastercard, American Express, Discover et JCB), qui vous est imposée par le biais du contrat de commerçant que vous avez signé avec votre banque acquéreuse ou votre prestataire de paiement. C’est en raison de ce contrat que la conformité n’est pas facultative, même si aucun inspecteur ne viendra jamais frapper à votre porte. Votre acquéreur peut vous infliger une amende, augmenter vos tarifs ou vous priver de la possibilité d’accepter les cartes.
Plusieurs pays ont ajouté des dispositions légales spécifiques à cette norme. Dans l’Union européenne et au Royaume-Uni, une violation liée aux cartes de paiement constitue également une violation des données à caractère personnel au sens du RGPD, assortie d’une obligation de notification dans les 72 heures et de sanctions d’une ampleur tout à fait différente. Aux États-Unis, la plupart des États ont adopté des lois sur la notification des violations, et quelques-uns ont directement intégré la norme PCI dans leur législation. En pratique, la norme PCI est donc contractuelle, mais ses conséquences sont souvent de nature juridique.
Votre niveau de commerçant détermine la manière dont vous devez prouver votre conformité. Le niveau 4, qui concerne les commerces effectuant moins de 20 000 transactions de commerce électronique ou moins d’un million de transactions par carte au total par an, couvre la grande majorité des restaurants indépendants et des petits groupes ; il implique de remplir chaque année un questionnaire d’auto-évaluation que vous devez signer. Le niveau 1, au-delà de 6 millions de transactions par an, implique un audit sur site réalisé par un évaluateur de sécurité qualifié. Si vous exploitez moins d’une douzaine d’établissements, vous relevez presque certainement du niveau 4, ce qui correspond davantage à une démarche administrative et de configuration qu’à un véritable audit.
Pourquoi les restaurants sont-ils plus touchés que la plupart des autres secteurs ?
Le secteur de l’hôtellerie-restauration figure en tête des statistiques de fraude à la carte depuis deux décennies, et les raisons sont d’ordre structurel plutôt que liées à la négligence.
Vous traitez un volume très élevé de transactions par carte physique portant sur de petits montants, ce qui fait de vous une cible de choix pour les criminels qui collectent des numéros de carte en masse. Vous exploitez un réseau qui doit remplir plusieurs fonctions à la fois : caisses, écrans de cuisine, back-office, réservations, musique, caméras et Wi-Fi client, souvent via un seul routeur configuré par la personne qui a installé la connexion Internet. Le taux de rotation du personnel est élevé, ce qui fait que le nombre de personnes ayant eu un accès physique à vos terminaux au cours des cinq dernières années est important. Votre équipement se trouve dans une salle ouverte au public, sans surveillance pendant certaines périodes de la journée. Et la plupart des restaurants ne disposent d’aucun service informatique, ce qui signifie que personne n’est responsable du firmware du routeur, du système d’exploitation des caisses, ni de la question de savoir qui détient encore un mot de passe.
Les violations de données qui font la une des journaux relèvent généralement de l’un des trois cas suivants. Un logiciel malveillant sur le terminal de paiement qui extrait les données des cartes de la mémoire avant leur chiffrement, ce qui est arrivé à une longue liste de chaînes. Des skimmers physiques ou des terminaux substitués, installés en quelques secondes par une personne se faisant passer pour un technicien. Ou encore un outil d’accès à distance non mis à jour, souvent celui utilisé par votre fournisseur de terminaux de point de vente pour l’assistance, laissé avec un mot de passe par défaut ou partagé.
Notez que ces trois types d’attaques visent la même chose : le moment où des données de carte lisibles se trouvent quelque part sous votre contrôle. Cette observation est la clé pour rendre la conformité PCI gérable.
Les douze exigences, en langage accessible aux restaurateurs
La norme PCI DSS comporte douze exigences de premier niveau regroupées en six objectifs. Traduites hors du jargon d’audit, elles se résument comme suit :
1. Installez et maintenez des contrôles de sécurité réseau. Disposez d’un pare-feu entre Internet et les appareils qui traitent les données de cartes bancaires. Le Wi-Fi réservé aux clients ne doit pas se trouver sur le même réseau que vos caisses.
2. Appliquer des configurations sécurisées. Modifier tous les mots de passe et paramètres par défaut sur les routeurs, les terminaux et le système de point de vente lui-même. Les identifiants par défaut restent l’une des causes les plus courantes de violation de sécurité.
3. Protégez les données de compte stockées. Ne stockez pas les numéros de carte. Si vous y êtes vraiment contraint, ils doivent être chiffrés, et le code de sécurité au dos ne doit jamais être conservé après l’autorisation, pas même pendant une minute, ni même dans une note.
4. Chiffrez les données en transit. Les données de carte transitant par un réseau ouvert doivent être chiffrées à l’aide des protocoles actuels.
5. Protégez-vous contre les logiciels malveillants. Installez un anti-malware sur tout ordinateur à usage général utilisé dans l’environnement de paiement, et veillez à ce qu’il soit régulièrement mis à jour.
6. Développez et maintenez des systèmes sécurisés. Installez les correctifs de sécurité. Si vous gérez une page de commande en ligne, la version 4 a ajouté des obligations spécifiques concernant la gestion et la surveillance des scripts s’exécutant sur vos pages de paiement.
7. Limitez l’accès au strict nécessaire. Le plongeur n’a pas besoin d’accéder au menu administrateur de la caisse.
8. Identifiez les utilisateurs et authentifiez les accès. Utilisez des identifiants individuels, pas de comptes partagés, et une authentification multifactorielle pour tout accès à distance ou administratif. Le mot de passe unique du responsable collé à l’intérieur du tiroir-caisse ne répond absolument pas à ces exigences.
9. Limitez l’accès physique. Contrôlez qui peut manipuler les terminaux et inspectez-les pour détecter toute tentative de manipulation frauduleuse.
10. Enregistrez et surveillez les accès. Conservez des traces des actions effectuées par chaque utilisateur sur les systèmes traitant les données de cartes bancaires.
11. Tester régulièrement la sécurité. Effectuer des analyses de vulnérabilité externes tous les trimestres si des systèmes connectés à Internet sont concernés.
12. Mettre en place une politique de sécurité de l’information. La consigner par écrit, former le personnel chaque année et disposer d’un plan d’intervention en cas d’incident.
Présentées sous forme de liste, ces mesures ressemblent à un programme informatique d’entreprise. Dans un restaurant qui a veillé à ce que les données de cartes bancaires ne transitent pas par ses propres systèmes, la plupart de ces exigences sont déjà satisfaites par l’équipement que vous avez déjà acheté ; votre travail consiste donc à le vérifier et à le documenter, plutôt qu’à mettre en place de nouvelles solutions.
Quel questionnaire vous concerne ?
Le questionnaire d’auto-évaluation, ou SAQ, existe en plusieurs versions, et choisir la bonne représente les dix minutes les plus utiles de tout ce processus. La différence entre le plus court et le plus long est d’environ 30 questions contre plus de 300.
Le SAQ P2PE est la solution idéale. Il s’applique si vous acceptez les paiements uniquement via des terminaux matériels faisant partie d’une solution de chiffrement point à point validée et répertoriée par le Conseil PCI. Il comporte environ 33 questions. Les données de carte sont chiffrées à l’intérieur du lecteur avant même que vos systèmes n’y aient accès ; par conséquent, presque aucun élément de votre restaurant n’est concerné.
Le SAQ B-IP s’applique aux terminaux autonomes, homologués PTS, connectés via IP, sans stockage électronique des données de carte. Environ 80 questions ; ce cas de figure est très courant pour les petits établissements indépendants.
Le SAQ C s’applique lorsqu’une application de paiement sur un système connecté traite les données de carte, que le terminal communique via votre point de vente et que rien n’est stocké. Environ 160 questions. C’est dans cette catégorie que se retrouvent par défaut de nombreux restaurants.
Le SAQ A s’applique uniquement aux activités de paiement sans présentation de la carte, toutes les fonctions de paiement étant entièrement externalisées à un tiers conforme. Si votre système de commande en ligne redirige vers une page de paiement hébergée, cela couvre ce cas de figure.
Le SAQ A-EP s’applique au commerce électronique lorsque votre propre site ne reçoit pas les données de carte mais influence la page de paiement, par exemple via un iframe intégré sous votre contrôle.
Le SAQ D couvre tous les autres cas de figure, et il est long. Si l’on vous indique que vous devez remplir le SAQ D, considérez cela comme un signal vous invitant à modifier votre configuration plutôt que de commencer à remplir des formulaires.
La plupart des restaurants acceptent les paiements via plusieurs canaux : terminaux en présentiel, commandes en ligne et réservations par téléphone nécessitant une carte pour garantir la réservation. Chaque canal fait l’objet d’une évaluation ; vous devrez donc peut-être remplir plusieurs questionnaires. Le canal téléphonique est celui que les exploitants ont tendance à oublier, et c’est souvent celui qui présente le plus de lacunes.
Réduisez le périmètre avant de remplir quoi que ce soit
Le principe central de la norme PCI moderne est que celle-ci s’applique aux systèmes qui stockent, traitent ou transmettent des données de cartes bancaires. Retirez les données de cartes d’un système et ce dernier sort du champ d’application. Faites-le minutieusement et cet exercice annuel passera d’un projet à un simple formulaire.
Chiffrement point à point (P2PE). Avec une solution P2PE validée, le lecteur de carte chiffre les données au moment où la carte est approchée ou insérée, à l’aide de clés que vos systèmes ne détiennent pas. Ce qui transite par votre réseau et votre point de vente est un texte chiffré illisible. Votre caisse, votre routeur et votre back-office ne sont plus concernés par les données elles-mêmes. Exigez spécifiquement une solution certifiée par le Conseil PCI, car de nombreux fournisseurs décrivent leur chiffrement comme « de bout en bout » sans disposer de cette certification.
Tokenisation. Au lieu d’un numéro de carte, votre système stocke un jeton dénué de sens que seul votre processeur peut associer au numéro d’origine. C’est ce qui rend sûres les opérations liées aux cartes enregistrées pour les habitués, aux notes de bar, à la protection contre les absences et aux abonnements. Le numéro de carte ne figure jamais dans votre base de données.
EMV et sans contact. Les transactions par puce et sans contact ne peuvent pas être clonées comme le sont les données de bande magnétique. Au-delà de la sécurité, la norme EMV revêt une importance commerciale en raison du transfert de responsabilité : en cas de fraude avec carte présente, la partie disposant de la technologie la moins sécurisée supporte la perte ; ainsi, un restaurant qui continue à lire les bandes magnétiques choisit d’assumer des rétrofacturations qu’il aurait pu éviter.
Segmentation du réseau. Placez les terminaux de paiement sur leur propre segment de réseau, séparé du Wi-Fi client, des caméras, du système audio et des ordinateurs de bureau. Ce simple changement limite à la fois la portée et l’ampleur des répercussions en cas de problème survenant ailleurs.
Si vous maîtrisez ces quatre points, un restaurant qui se voyait contraint de remplir le SAQ C ou D peut souvent se contenter du SAQ P2PE ou B-IP à la place. C’est la différence entre un après-midi de travail et la facture d’un consultant.
Questions à poser à votre fournisseur de TPV et à votre prestataire de services de paiement
Les fournisseurs vous diront que leur produit est conforme à la norme PCI. Cette affirmation ne signifie pas grand-chose en soi, car la conformité est une caractéristique de l’ensemble de votre environnement, et non d’un simple appareil. Posez des questions plus précises et obtenez les réponses par écrit.
Votre solution de paiement figure-t-elle sur la liste des solutions P2PE validées par le Conseil PCI, et pouvez-vous m’envoyer la référence de cette liste ? Quel type de SAQ la configuration que vous recommandez me permet-elle de remplir ? Les numéros de carte sont-ils tokenisés, et où se trouve le coffre-fort de tokens ? Des données de carte transitent-elles par du matériel situé dans mon restaurant ou y sont-elles stockées ? Comment gérez-vous l’accès à l’assistance à distance ? S’agit-il d’une authentification multifactorielle avec des comptes individuels plutôt que d’un mot de passe partagé ? Comment les correctifs logiciels et du système d’exploitation sont-ils déployés, et quel est le calendrier prévu ? Fournirez-vous une attestation de conformité pour votre rôle de prestataire de services ? Qu’advient-il des données de paiement stockées si je cesse de faire appel à vos services ?
Deux types de réponses devraient vous inquiéter. Un prestataire incapable de préciser quel SAQ sa configuration prend en charge n’a pas réfléchi à vos obligations. Et un prestataire qui maintient un tunnel d’accès à distance permanent avec des identifiants partagés décrit le vecteur de violation le plus courant du secteur.
Demandez séparément à votre prestataire de traitement quels sont les frais facturés en cas de non-conformité, s’il inclut un portail de conformité et des analyses trimestrielles, et s’il propose une couverture des coûts liés aux violations de données. Beaucoup intègrent gratuitement un prestataire de scan, et les exploitants paient deux fois pour ce service simplement parce que personne ne s’en est inquiété. Il est également utile de se renseigner sur la manière dont le prestataire gère la sécurité des données et l’hébergement de manière plus générale, car les mêmes pratiques qui protègent les données de carte protègent également les données de vos clients et vos chiffres d’affaires.
Le réseau que personne ne surveille
Dans la plupart des restaurants, le maillon faible est un routeur rangé dans un placard derrière des cartons de serviettes, installé il y a des années, fonctionnant avec le firmware d’origine, et dont le mot de passe est inscrit sur un autocollant.
Corrigez les problèmes évidents. Modifiez les identifiants d’administrateur par défaut sur le routeur, les points d’accès et chaque terminal. Mettez à jour le micrologiciel, puis programmez cette mise à jour tous les trimestres. Placez le Wi-Fi client sur un réseau véritablement distinct plutôt que d’utiliser un mot de passe différent sur le même réseau, et ne laissez jamais un appareil de paiement se connecter au réseau client. Désactivez l’administration à distance depuis Internet, sauf si vous avez une raison valable de la maintenir. Tenez un inventaire écrit de tous les appareils utilisés pour les paiements, y compris les tablettes et les terminaux portables, car vous ne pouvez pas sécuriser ce qui n’est pas répertorié.
Prêtez attention à l’ordinateur du back-office. Il s’agit généralement de la machine la plus ancienne du bâtiment ; elle est utilisée pour la planification, la facturation, la messagerie électronique et la navigation personnelle, et elle se trouve souvent sur le même réseau plat que les caisses. Si un membre du personnel ouvre une pièce jointe infectée sur cette machine et que vos caisses ne sont qu’à un saut de là, le réseau n’aura rien fait pour vous protéger. Segmentez-le ou remplacez-le.
Les anciens systèmes d’exploitation méritent une mention particulière. Les terminaux de point de vente fonctionnant sous des versions de Windows qui ne reçoivent plus de mises à jour de sécurité depuis des années sont encore remarquablement courants dans le secteur de l’hôtellerie-restauration, et aucune quantité de paperasse ne peut les rendre conformes. Si votre fournisseur de TPV continue de livrer des terminaux équipés d’un système d’exploitation non pris en charge, c’est une raison de changer de fournisseur, et non une raison de mettre en place un contrôle compensatoire.
Le personnel, les skimmers et le problème des commandes par téléphone
L’exigence n° 9 porte sur la sécurité physique, ce qui, dans un restaurant, se traduit par une brève routine qui fonctionne réellement.
Tenez un inventaire des appareils indiquant la marque, le modèle et le numéro de série, et vérifiez les terminaux par rapport à cet inventaire. Une vérification hebdomadaire visant à repérer les numéros de série qui ne correspondent pas, les accessoires inconnus, les boîtiers mal fixés ou les nouveaux câbles ne prend que deux minutes et permet de détecter la grande majorité des tentatives de skimming. Formez le personnel à veiller à ce que personne ne touche, n’échange ou n’intervienne sur un terminal sans rendez-vous programmé, vérifié par un responsable en appelant le fournisseur à un numéro connu. Les attaquants déguisés en techniciens constituent une méthode avérée et efficace précisément parce que le personnel du secteur de l’hôtellerie-restauration est formé pour se montrer serviable.
Le paiement à table joue également un rôle important ici. Remettre un terminal sans fil à un client au lieu de s’éloigner avec sa carte élimine toute une catégorie de risques, y compris le skimming par le personnel, et les clients y voient un signe de professionnalisme plutôt qu’un motif de suspicion.
Vient ensuite le problème des appels téléphoniques. Les restaurants prennent constamment des numéros de carte par téléphone, pour les réservations importantes, les acomptes, les services traiteur et la protection contre les non-présentations, et le numéro est noté sur une feuille de réservation, saisi dans une note de réservation ou répété à voix haute dans une pièce équipée d’une caméra. Noter des numéros de carte dans un agenda constitue une violation de la norme PCI et un véritable risque de responsabilité. La conservation du code de sécurité à trois chiffres après l’autorisation est formellement interdite, sans aucune exception. Remplacez cette pratique : envoyez un lien de paiement sécurisé, utilisez une pré-autorisation hébergée depuis votre système de réservation, ou tokenisez la carte au moment où elle est enregistrée. Ce simple changement élimine davantage de risques réels dans la plupart des restaurants que toutes les autres mesures de la liste.
Une formation annuelle de sensibilisation à la sécurité est également obligatoire, et elle n’a pas besoin d’être élaborée. Quinze minutes lors d’une réunion du personnel pour aborder les skimmers, le fait de ne jamais partager ses identifiants, de ne jamais noter les numéros de carte, et savoir à qui s’adresser immédiatement si quelque chose semble anormal, suivies d’une feuille de présence signée, satisfont à la fois à la norme et au bon sens.
Ce que coûte réellement la non-conformité
Le coût visible est faible, ce qui explique précisément pourquoi il est ignoré. Les prestataires de services de paiement facturent des frais de non-conformité d’environ 20 à 50 dollars par mois ; ainsi, un exploitant qui ne remplit jamais le questionnaire paie peut-être 400 dollars par an et considère cela comme une dépense accessoire.
Le coût après une violation relève d’une tout autre catégorie. Les évaluations menées par les marques de cartes et répercutées par votre acquéreur s’élèvent généralement entre 5 000 et 100 000 dollars, en fonction du volume et de la durée de l’exposition. Une enquête judiciaire menée par un enquêteur agréé est obligatoire au-delà de certains seuils et coûte généralement entre 10 000 et 50 000 dollars, à votre charge. Viennent ensuite les frais de réémission des cartes, facturés par carte, les pertes liées à la fraude, ainsi que les coûts opérationnels liés à la mise hors service de vos terminaux pendant la durée de l’enquête. Dans l’UE et au Royaume-Uni, il faut ajouter l’obligation de notification prévue par le RGPD dans un délai de 72 heures, ainsi que les risques réglementaires qui en découlent.
Il est judicieux de souscrire une assurance responsabilité civile cyber et d’en lire attentivement les conditions. De nombreuses polices contiennent une clause exigeant la conformité PCI, ce qui signifie qu’un assureur peut refuser une demande d’indemnisation émanant d’un commerçant ayant signé une attestation inexacte. Une auto-évaluation mensongère est pire que l’absence d’auto-évaluation, car elle transforme une défaillance technique en une fausse déclaration documentée.
Il existe également un coût moins visible. Une violation de données dans un restaurant de quartier fait la une de l’actualité locale, et la confiance qui a mis des années à se construire avec les habitués ne résiste pas à une lettre de leur banque expliquant que leur carte a été compromise.
La routine annuelle et ce qu’il faut faire cette semaine
Une fois votre configuration en place, le maintien de la conformité s’inscrit dans un cycle court et récurrent. Chaque année : remplissez le SAQ approprié, signez l’attestation de conformité, téléchargez-la sur le portail de votre prestataire de paiement, revoyez et mettez à jour votre politique de sécurité, et organisez une formation pour votre personnel. Chaque trimestre : effectuez des analyses de vulnérabilité externes via un prestataire de scan agréé si vous disposez de systèmes connectés à Internet concernés par la conformité, vérifiez les micrologiciels et les correctifs, et passez en revue les droits d’accès de chacun. Chaque semaine : comparez les terminaux à votre inventaire des appareils. À chaque départ d’un membre du personnel : supprimez son compte le jour même ; c’est la mesure de contrôle que la plupart des restaurants négligent et la plus facile à mettre en place.
Si vous partez de zéro, procédez dans cet ordre. Appelez votre prestataire de services de paiement et demandez-lui quel questionnaire d’auto-évaluation (SAQ) vous devez remplir et si vos terminaux figurent sur une liste P2PE validée, car cet appel pourrait bien faire capoter tout le processus. Dressez l’inventaire des appareils. Séparez le Wi-Fi client des terminaux de paiement. Modifiez tous les mots de passe par défaut et attribuez à chaque personne son propre identifiant de connexion. Cessez de noter les numéros de carte sur papier et mettez plutôt en place des liens de paiement ou des réservations tokenisées. Remplissez ensuite le questionnaire en toute honnêteté, et considérez toute question à laquelle vous ne pouvez pas répondre sincèrement comme une tâche à accomplir plutôt que comme une case à cocher.
Si vous procédez dans cet ordre, cela vous prendra un après-midi de travail et vous permettra de réduire véritablement votre profil de risque, plutôt que de vous livrer à un simple exercice administratif qui ne protège personne. Les restaurants qui en font les frais sont rarement ceux qui ont lu la norme et l’ont trouvée difficile. Ce sont ceux qui ont signé le formulaire sans même le lire.
À lire ensuite : la gestion des rétrofacturations dans la restauration, les frais de traitement des paiements et le passage au sans-espèces.
