Quel questionnaire PCI DSS pour votre boutique PrestaShop ?
Quatre questions sur la façon dont votre boutique encaisse les cartes, et vous savez quel questionnaire d'auto-évaluation PCI DSS vous sera probablement demandé, avec les pièces à réunir. Durée : 2 minutes. Le résultat s'affiche immédiatement, sans e-mail.
Pourquoi se poser la question du questionnaire PCI DSS
Toute boutique qui encaisse des cartes bancaires est tenue par PCI DSS, la norme de sécurité des données de carte. Un commerçant en ligne n'a pas à la lire en entier : il justifie de sa conformité auprès de sa banque, le plus souvent en remplissant un questionnaire d'auto-évaluation, le SAQ. La difficulté est qu'il en existe plusieurs. Chacun vise une façon d'encaisser, et ne peut être utilisé que si tous ses critères sont remplis.
Pour une boutique PrestaShop, trois reviennent. Le SAQ A vise le commerçant qui confie tout le traitement des cartes à un prestataire conforme. Le SAQ A-EP vise celui dont le site ne reçoit pas les données de carte, mais commande la façon dont elles sont envoyées au prestataire. Le SAQ D s'applique à ceux qui ne remplissent les critères d'aucun autre questionnaire, par exemple parce que leur site reçoit ou conserve des données de carte. Le bon questionnaire ne dépend donc pas de la taille de la boutique, mais du module de paiement et de la façon dont il est installé.
Un point a changé en 2025. Les exigences 6.4.3 et 11.6.1 de la norme, qui portent sur la sécurité de la page de paiement, ont été retirées du SAQ A dans sa version entrée en vigueur le 31 mars 2025. Elles y sont remplacées par un critère : le commerçant confirme que son site n'est pas exposé aux attaques par script. Ce critère ne concerne que les boutiques qui intègrent le formulaire du prestataire dans une de leurs pages ; celles qui redirigent leur client vers le site du prestataire n'y sont pas soumises. Les exigences restent dans la norme : seul le SAQ A a changé.
L'outil pose quatre questions sur la façon dont votre boutique encaisse, et rend le questionnaire probable, les pièces à réunir et les trois actions à mener d'abord. Il sert à préparer l'échange avec votre banque ou votre prestataire de paiement, qui restent seuls à dire quel questionnaire vous devez remettre.
Méthode, sources et logique
La logique du résultat
Le résultat applique, dans l'ordre, les critères publiés par le PCI Security Standards Council. Des numéros de carte conservés, une saisie qui passe par le serveur de la boutique ou un prestataire non conforme mènent au SAQ D. Un formulaire affiché par la boutique mène au SAQ A-EP. Une redirection, ou un cadre hébergé par le prestataire sur une page protégée contre les scripts, mène au SAQ A. Une réponse « Je ne sais pas » sur l'endroit de la saisie ou sur la conservation des cartes ne mène à aucun questionnaire : ces deux faits sont à établir d'abord.
La méthode
Les critères appliqués sont ceux que publie le PCI Security Standards Council pour les questionnaires SAQ A, A-EP et D de PCI DSS 4.0.1, et ses deux publications de 2025 sur la mise à jour du SAQ A. L'outil ne porte que sur l'encaissement en ligne : il ne dit rien d'un encaissement en magasin. Il ne regarde pas la boutique : il tire sa conclusion de vos quatre réponses.
Estimation déclarative fondée sur vos réponses, qui ne remplace pas un audit. Résultat indicatif : c'est votre banque ou votre prestataire de paiement qui dit quel questionnaire vous devez remettre. Vos réponses servent à établir ce résultat, puis ne sont pas conservées.
Les sources
- PCI Security Standards Council, mise à jour du SAQ A · publié le 30/01/2025
- PCI Security Standards Council, FAQ 1588 sur le critère des scripts · publié le 28/02/2025
- PCI Security Standards Council, questionnaires SAQ A, A-EP et D de PCI DSS 4.0.1 · consulté en 10/2026
Version 2026-10, mise à jour du 12 oct. 2026.