La jetonisation PCI est la pratique qui consiste à remplacer un numéro de compte principal (PAN) par une valeur de substitution (un jeton) qui n'a aucune valeur exploitable. La jetonisation est devenue le mécanisme typique pour satisfaire aux exigences de protection des données du titulaire de la carte de la norme Payment Card Industry Data Security Standard (PCI DSS), car un système qui ne contient que des jetons n'est généralement pas assujetti à l'ensemble de la norme.

Cette distinction, entre les systèmes qui touchent aux numéros de carte bruts et les systèmes qui ne voient que des jetons, détermine dans quelle mesure la norme PCI DSS s'applique à une entreprise donnée. Cela est important pour la sécurité des paiements, étant donné que le coût d'une violation de données PCI peut aller de 5 000 $ à plus de 500 000 $.

Ci-dessous, nous discuterons de la façon dont la jetonisation PCI favorise la conformité, de ce qui se passe sur le plan technique entre le moment où une carte est saisie et celui où un jeton est renvoyé, et des avantages que les jetons de réseau offrent par rapport aux jetons émis par une entreprise.

Points clés à retenir

• Les jetons remplacent les PAN par des valeurs de substitution qui ne peuvent pas être inversées en dehors d'une chambre forte certifiée.

• Les entreprises qui cessent de conserver des PAN bruts peuvent souvent se qualifier pour un questionnaire d'auto-évaluation (SAQ) PCI DSS plus court.

• Les jetons de réseau ajoutent une liaison cryptographique et des mises à jour automatiques du cycle de vie que les jetons émis par les entreprises ne fournissent pas à eux seuls.

Qu'est-ce que l'utilisation de jetons PCI?

L'utilisation de jetons PCI remplace les chiffres imprimés sur une carte de paiement par un jeton : une valeur de substitution qui ressemble à un numéro de carte, mais qui ne possède aucune valeur exploitable en soi. Le jeton est ce qui circule dans les systèmes d'une entreprise, tandis que les PAN sont stockés séparément dans un coffre-fort.

De quelle façon l'utilisation de jetons PCI réduit-elle la portée de la norme PCI DSS?

Dès lors qu'un système cesse de stocker, de traiter ou de transmettre des PAN et qu'il ne traite que des jetons, la majeure partie de cette infrastructure peut être déplacée à l'extérieur de l'environnement de données de titulaire de carte et n'est pas assujettie à la norme PCI DSS. Si un système ne contient que des jetons, il n'y a pas de PAN à chiffrer, aucune clé de chiffrement à gérer sur ce système et aucun élément pertinent à inclure dans la surveillance de l'intégrité des fichiers. Visa et Mastercard reconnaissent toutes deux l'utilisation de jetons comme un contrôle approuvé dans leurs propres normes de sécurité. La norme PCI DSS fait directement référence à l'utilisation de jetons dans ses directives visant à rendre les PAN illisibles peu importe où ils sont stockés.

Avec l'utilisation de jetons, le coffre-fort de jetons lui-même, tout système qui traite la capture de la carte avant l'utilisation de jetons et tout élément doté de la capacité technique de reconvertir un jeton en PAN doivent rester dans le champ d'application. L'opérateur du coffre-fort doit obtenir sa propre validation PCI DSS, généralement en tant que prestataire de services de niveau 1, ce qui nécessite un rapport de conformité annuel rédigé par un évaluateur de sécurité qualifié plutôt qu'une auto-évaluation. Une entreprise qui s'en remet à un coffre-fort tiers hérite d'une partie de cette assurance, mais doit tout de même documenter la relation dans sa propre attestation, généralement au moyen d'une matrice de responsabilité partagée qui explique quelles exigences sont couvertes par l'opérateur du coffre-fort et lesquelles incombent à l'entreprise.

Même si l'utilisation de jetons permet de gérer la majeure partie de la protection des données des titulaires de carte, certaines catégories d'exigences ne disparaissent pas pour autant. L'exigence 12, qui porte sur la politique de sécurité et la réponse aux incidents, s'applique toujours à toute entreprise qui accepte les paiements par carte. La segmentation du réseau en vertu de l'exigence 1, la sécurité physique autour des terminaux pour cartes présentes, les contrôles d'accès des employés ainsi que l'hygiène générale, l'application de correctifs, les pare-feu et les logiciels antivirus sur tout système concerné par le processus de paiement avant l'utilisation de jetons sont toujours en place.

L'utilisation de jetons peut également avoir une incidence sur la façon dont une entreprise valide sa conformité à la norme PCI DSS, ce qui se fait par l'intermédiaire d'un SAQ ou d'un rapport de conformité. Une entreprise qui stocke des PAN complets sur ses propres serveurs relève généralement du SAQ D, qui couvre l'ensemble des exigences complètes de la norme PCI DSS. Une entreprise qui utilise des jetons au point d'entrée et ne stocke jamais de PAN non chiffré peut souvent se qualifier pour les versions plus simples, SAQ A ou SAQ A-EP, à la place.

Comment fonctionne l'utilisation de jetons PCI dans la pratique?

La mécanique de l'utilisation de jetons PCI se résume à quatre étapes : la capture, l'échange, le stockage et la réutilisation.

Dans un premier temps, le système confirme que l'entrée est un numéro de carte structurellement valide, contenant généralement de 13 à 19 chiffres, et il identifie la marque de la carte et le réseau émetteur. Ensuite, il crée le jeton de substitution, qui est soit aléatoire, soit préservant le format (afin que le jeton puisse transiter par les bases de données et les outils de création de rapports existants sans briser les hypothèses de longueur ou de format intégrées aux anciens systèmes).

Le véritable PAN et son jeton correspondant sont inscrits dans un coffre-fort chiffré; les clés de chiffrement sont gérées séparément, souvent à l'intérieur d'un module de sécurité matériel. La valeur de substitution reste dans les autres systèmes de l'entreprise, où elle remplace le PAN pour toute référence future.

Lorsqu'un paiement doit être effectué, le système de jetonisation déjetonise la valeur en interne, achemine le vrai PAN au réseau de la carte pour obtenir l'autorisation et ne l'expose jamais aux systèmes qui ont initié la requête. Les outils de rapprochement peuvent associer les transactions à l'aide du jeton, car il est systématiquement mappé au même PAN sous-jacent pendant toute la durée de cette relation de carte.

En quoi l'utilisation de jetons de réseau diffère-t-elle de l'utilisation de jetons PCI du marchand?

Un jeton émis par l'entreprise, généré par l'entreprise elle-même ou par un prestataire de services de paiement en son nom, existe entièrement dans la suite d'outils de paiement de cette entreprise. Il correspond à un PAN à l'intérieur d'un coffre-fort exploité par l'entreprise ou son prestataire, et il ne fonctionne généralement qu'au sein de ce système. Il résout bien le problème du stockage de la norme PCI DSS, mais il ne fait pas grand-chose au-delà.

Un jeton de réseau provient du réseau de la carte lui-même. Ces jetons sont liés de façon cryptographique à un appareil, à une entreprise ou à un canal en particulier par l'intermédiaire d'un identifiant de demandeur de jeton; ainsi, un jeton fourni pour le paiement d'une entreprise ne peut pas être réutilisé ailleurs, même s'il a fait l'objet d'une fuite. Les jetons de réseau se mettent également à jour eux-mêmes : si la carte d'un client est réémise après un signalement de carte perdue ou si elle expire, le réseau pousse automatiquement le jeton mis à jour.

Les deux approches sont conformes, car elles retirent toutes deux le PAN brut de l'environnement de l'entreprise. La différence se situe au-delà de la conformité. Les jetons de réseau tendent à produire des taux d'autorisation plus élevés puisque les émetteurs peuvent vérifier la liaison cryptographique et faire confiance au contexte de la transaction, en plus de minimiser les échecs de renouvellement causés par les refus liés aux cartes expirées.

L'utilisation de jetons PCI convient-elle à votre entreprise?

La réponse honnête dépend de la quantité de données de titulaires de la carte qui transite actuellement par les propres systèmes de l'entreprise.

Voici quelques scénarios dans lesquels l'utilisation de jetons est la plus avantageuse :

• Transactions récurrentes ou avec des cartes sauvegardées : Les entreprises proposant des abonnements, les plateformes d'adhésion et toute entreprise qui conserve une carte au dossier pour des paiements futurs tirent le plus grand parti du retrait des numéros de compte principal (PAN) de leurs propres environnements.

• Multiples systèmes internes utilisant les données de paiement : Si les outils de service à la clientèle, d'analyse et de gestion des commandes doivent tous faire référence à une transaction, les jetons leur permettent de le faire sans avoir à étendre l'environnement des données de titulaires de carte pour couvrir chacun d'eux.

• Ressources de sécurité internes limitées : Les entreprises qui ne disposent pas d'équipes spécialisées ont avantage à confier le stockage des PAN et la gestion des clés à un opérateur de coffre-fort certifié plutôt que de concevoir cette infrastructure elles-mêmes.

• Offres visant à réduire les taux de refus de paiement pour les cartes au dossier : Les entreprises qui éprouvent des problèmes d'autorisation ou de renouvellement en raison de cartes expirées doivent confirmer que leurs systèmes d'utilisation de jetons prennent en charge les jetons de réseau et non seulement les jetons d'entreprise.

Les entreprises qui utilisent Stripe bénéficient déjà par défaut de l'utilisation de jetons PCI, laquelle est intégrée aux intégrations de paiement, aux champs hébergés et aux modes de paiement enregistrés. Généralement, la décision pratique ne consiste pas à déterminer s'il faut utiliser des jetons, mais plutôt à savoir si l'intégration actuelle permet de conserver les PAN bruts entièrement hors des propres serveurs de l'entreprise; confirmer cela, de même que le questionnaire d'auto-évaluation (SAQ) applicable, couvre la majeure partie de l'évaluation pragmatique.

Comment Stripe Payments peut vous aider

Stripe Payments offre une solution de paiement unifiée et mondiale qui permet à toutes les entreprises, des jeunes entreprises en démarrage aux entreprises internationales, d’accepter des paiements en ligne et en personne, partout dans le monde.

Stripe Payments peut vous aider à :

• Optimisez votre expérience de paiement : Créez une expérience client sans friction et économisez des milliers d'heures d'ingénierie grâce à des interfaces utilisateur de paiement prédéfinies, à un accès à plus de 125 modes de paiement et à Link, un portefeuille numérique conçu par Stripe.

• Pénétrer plus rapidement de nouveaux marchés : touchez des clients dans le monde entier grâce aux options de paiement transfrontalier. Réduisez la complexité et le coût de la gestion multidevises dans 195 pays et plus de 135 devises.

• Harmoniser les paiements en magasin et en ligne : créez une expérience de commerce unifié sur les canaux en ligne et en magasin pour personnaliser les interactions, récompenser la fidélité et augmenter vos revenus.

• Améliorer le rendement des paiements : augmentez les revenus grâce à une gamme d’outils de paiement personnalisables et faciles à configurer, y compris une protection contre la fraude sans codage et des fonctionnalités avancées pour améliorer les taux d’autorisation.

• Avancer plus rapidement grâce à une plateforme flexible et fiable pour soutenir votre croissance : bâtissez sur une plateforme conçue pour se développer avec vous, offrant un taux de disponibilité historique de 99,999 % et une fiabilité de premier ordre dans le secteur.

Découvrez comment Stripe Payments peut propulser vos paiements en ligne et en personne ou commencez dès aujourd’hui.