Article · 4 novembre 2026
PCI DSS v4.0.1 : obligations et priorités en 2026
PCI DSS v4.0.1 : qui est concerné, 12 exigences, mesures obligatoires depuis mars 2025, sécurité des pages de paiement, SAQ ou ROC et consultation 2026 sur la prochaine version.
PCI DSS v4.0.1 est la seule version en vigueur du standard de sécurité des données de carte de paiement. Depuis le 31 mars 2025, les 51 exigences qui étaient encore facultatives sont obligatoires lors des évaluations. Et le PCI SSC a lancé en 2026 la consultation qui préparera la prochaine version.
Qu'est-ce que PCI DSS ?
PCI DSS est publié par le PCI Security Standards Council (PCI SSC), fondé en 2006 par American Express, Discover, JCB, Mastercard et Visa. Il s'applique à toute entité qui stocke, traite ou transmet des données de carte, ou qui peut affecter la sécurité de l'environnement où elles circulent : commerçants, processeurs, acquéreurs, émetteurs et prestataires de services (Bright Defense).
Ce n'est pas une loi. Son application passe par les règles des réseaux de cartes, les banques acquéreuses et les contrats commerçants. Le PCI SSC ne publie pas de grille d'amendes unique : les conséquences d'un défaut de conformité vont de frais de traitement plus élevés à une enquête forensique après incident, jusqu'à la perte du droit d'accepter les paiements par carte (Bright Defense).
Le calendrier
| Date | Étape |
|---|---|
| 31 mars 2022 | Publication de PCI DSS v4.0 |
| 31 mars 2024 | Retrait de la v3.2.1 |
| 11 juin 2024 | Publication de la v4.0.1 : corrections et clarifications, sans exigence ajoutée ni supprimée |
| 31 décembre 2024 | Retrait de la v4.0 : la v4.0.1 devient la seule version active |
| 30 janvier 2025 | Modification du questionnaire d'auto-évaluation SAQ A |
| 31 mars 2025 | Les 51 exigences « à date future » deviennent obligatoires |
| 3 juin – 20 juillet 2026 | Consultation publique (RFC) sur la v4.0.1 pour préparer la prochaine version |
Sources : Bright Defense, PCI SSC.
Les 12 exigences
- Installer et maintenir des contrôles de sécurité réseau.
- Appliquer des configurations sécurisées à tous les composants.
- Protéger les données de compte stockées.
- Chiffrer les données de carte lors de leur transmission sur les réseaux ouverts.
- Protéger les systèmes et réseaux contre les logiciels malveillants.
- Développer et maintenir des systèmes et logiciels sécurisés.
- Restreindre l'accès aux données selon le besoin d'en connaître.
- Identifier les utilisateurs et authentifier les accès.
- Restreindre l'accès physique aux données de carte.
- Journaliser et surveiller tous les accès.
- Tester régulièrement la sécurité des systèmes et des réseaux.
- Soutenir la sécurité par des politiques et un programme organisationnels.
Ce que la v4 a vraiment changé
La v4.0 a introduit 64 nouvelles exigences, dont 51 n'étaient obligatoires qu'à partir du 31 mars 2025. Les plus structurantes (Bright Defense) :
- Exigence 6.4.3 : inventorier, autoriser et justifier chaque script exécuté sur les pages de paiement.
- Exigence 11.6.1 : détecter toute modification non autorisée des pages de paiement et des en-têtes HTTP de sécurité. Ces deux mesures visent l'e-skimming, le vol de données de carte par des scripts malveillants dans le navigateur du client.
- Authentification renforcée, avec une extension de l'authentification multifacteur.
- Analyses de risques ciblées, qui permettent d'adapter la fréquence de certains contrôles.
- Approche personnalisée : la possibilité de démontrer qu'un contrôle différent atteint l'objectif d'une exigence, à condition de le documenter.
- Supervision des prestataires qui interviennent sur l'environnement de paiement.
Pour les petits e-commerçants qui externalisent entièrement le paiement, le PCI SSC a retiré les exigences 6.4.3, 11.6.1 et 12.3.1 du questionnaire SAQ A, en contrepartie d'un nouveau critère d'éligibilité lié aux scripts. Les exigences elles-mêmes restent inchangées (Bright Defense).
Comment Domyno le traite
Un seul référentiel, des agents qui préparent le travail et un expert dédié qui valide.
Valider sa conformité : SAQ ou ROC
Selon votre volume de transactions, votre profil de risque et les exigences de votre acquéreur ou des réseaux de cartes, vous validez votre conformité :
- soit par un questionnaire d'auto-évaluation (SAQ), dont le modèle dépend de la façon dont vous acceptez les paiements ;
- soit par un rapport de conformité (ROC) établi par un évaluateur qualifié (QSA).
Dans les deux cas, une attestation de conformité (AOC) est produite. C'est votre acquéreur qui fixe la méthode attendue.
Ce qui arrive : la prochaine version se prépare
Du 3 juin au 20 juillet 2026, le PCI SSC a invité ses parties prenantes à commenter la v4.0.1 pour lancer la prochaine itération du standard. Le Conseil a explicitement demandé des retours sur l'évolution du standard face aux technologies futures et à l'innovation liée à l'IA (PCI SSC).
Cette consultation ne constitue ni un report ni une tolérance : la v4.0.1 reste la référence pour toutes les évaluations en cours (Bright Defense).
Par où commencer
- Délimiter précisément votre environnement de données de carte (CDE) : où les données sont stockées, traitées, transmises, et quels systèmes peuvent l'affecter.
- Inventorier les scripts de vos pages de paiement et mettre en place une détection des modifications.
- Vérifier la couverture de l'authentification multifacteur sur tous les accès au CDE.
- Formaliser la répartition des responsabilités avec chaque prestataire de paiement, d'hébergement ou d'infogérance.
- Collecter les preuves en continu plutôt qu'à la veille de l'évaluation : scans, tests d'intrusion, revues d'accès, journaux.
- Confirmer avec votre acquéreur le type de validation attendu (SAQ ou ROC).
Comment Domyno vous accompagne
PCI DSS v4 exige une conformité continue, pas un sprint avant l'évaluation. Domyno a été conçue pour ça : une plateforme incroyable qui s'adapte à votre modèle de paiement, du petit e-commerçant au prestataire de services. Avec le custom framework, vous combinez les 12 exigences PCI DSS, les attentes de votre acquéreur et vos règles internes dans un référentiel sur mesure.
Le plan de contrôle est votre meilleur allié pour la v4 : scans, tests d'intrusion, revues d'accès et analyses de risques ciblées sont planifiés, attribués et documentés tout au long de l'année. La gestion des actifs vous aide à cerner votre environnement de données de carte, et la gestion des vulnérabilités, des incidents et des prestataires complète le tableau.
En option, notre solution de sensibilisation cyber vous aide à faire vivre le programme de sensibilisation exigé par le standard. L'IA de Domyno et un expert conformité dédié vous accompagnent jusqu'à la validation, SAQ ou ROC.