PCI DSS au Maroc : ce que doivent faire les commerçants et sites e-commerce

La réponse courte : au Maroc, un commerçant qui accepte la carte bancaire, en boutique ou en ligne, doit respecter la norme PCI DSS, aujourd’hui en version 4.0.1. Personne ne vous demandera pour autant un audit de grand groupe : l’effort dépend surtout de la façon dont vous encaissez. Un site qui redirige le client vers la page de paiement sécurisée de l’acquéreur a très peu à prouver ; un site qui affiche lui-même le formulaire de carte, ou qui conserve des numéros de carte, en a beaucoup plus. La première décision est donc d’architecture, pas d’outillage.

Ce guide explique qui est concerné, comment identifier votre questionnaire d’auto-évaluation (SAQ), ce qui a changé avec les exigences sur les scripts des pages de paiement, et le plan d’action que nous appliquons. Les éléments techniques cités viennent des publications du PCI Security Standards Council (PCI SSC) et du Centre Monétique Interbancaire (CMI). Ce guide ne remplace pas les consignes de votre acquéreur, qui restent la référence pour votre contrat.

PCI DSS en deux minutes

PCI DSS (Payment Card Industry Data Security Standard) est publié par le PCI SSC, l’organisme fondé par les grands réseaux de cartes. La norme s’organise en douze exigences principales, regroupées en six objectifs : réseau sécurisé, protection des données de compte, gestion des vulnérabilités, contrôle d’accès, surveillance et tests, politique de sécurité.

Trois points à retenir :

• Ce n’est pas une loi marocaine. C’est une obligation contractuelle : les réseaux de cartes l’imposent aux acquéreurs, qui la répercutent sur leurs commerçants.
• Une seule version est en vigueur. La version 4.0 a été retirée fin 2024 ; la 4.0.1 est désormais la seule version active soutenue par le PCI SSC.
• Les exigences dites « datées » s’appliquent depuis le 31 mars 2025. Elles étaient recommandées jusque-là et sont devenues obligatoires à cette date, notamment celles sur les pages de paiement et l’authentification.

Qui est concerné au Maroc

Toute entité qui accepte, traite, stocke ou transmet des données de carte. Concrètement :

• Les boutiques et restaurants équipés d’un terminal de paiement.
• Les sites e-commerce, y compris ceux qui passent par la passerelle du CMI.
• Les hôtels, cliniques, écoles et cabinets qui encaissent à distance, par lien de paiement ou par téléphone.
• Les prestataires qui hébergent ou maintiennent ces systèmes, pour la partie qui les concerne.

Le CMI, acquéreur historique créé par les banques marocaines, se présente comme partenaire des commerçants depuis 2004. Sur sa page dédiée au e-commerce, il conseille fortement aux e-commerçants affiliés d’adopter 3-D Secure, l’authentification du porteur par un code avant l’autorisation. 3-D Secure réduit la fraude, mais ne remplace pas PCI DSS : il authentifie le client, il ne protège pas votre site.

Trouver votre questionnaire SAQ

Les petits et moyens commerçants prouvent en général leur conformité par un questionnaire d’auto-évaluation, le SAQ, accompagné d’une attestation. Le PCI SSC publie plusieurs SAQ, chacun réservé à un type d’environnement décrit dans ses critères d’éligibilité. Votre acquéreur vous dit lequel remplir ; voici comment se repérer.

Votre façon d’encaisser	SAQ le plus probable	Effort
Site qui redirige vers la page de paiement de l’acquéreur, ou paiement entièrement externalisé	SAQ A	Faible
Site qui affiche ou contrôle lui-même la page de paiement, même si les données partent chez un prestataire	SAQ A-EP	Élevé
Terminaux de paiement autonomes, sans stockage de cartes	SAQ B	Faible
Terminaux reliés au prestataire par le réseau IP	SAQ B-IP	Moyen
Saisie manuelle dans le terminal virtuel web d’un prestataire, sur un poste dédié	SAQ C-VT	Moyen
Application de caisse connectée à internet	SAQ C	Élevé
Terminaux à chiffrement de bout en bout validé (P2PE)	SAQ P2PE	Faible
Stockage de numéros de carte, ou cas qui n’entre dans aucun autre	SAQ D	Très élevé

La lecture de ce tableau donne la stratégie : chaque ligne vers le haut retire des systèmes du périmètre. Passer d’un formulaire de carte intégré au site à une redirection vers la page de l’acquéreur fait passer d’un SAQ A-EP à un SAQ A. C’est souvent la mesure la plus rentable de tout le projet.

Les pages de paiement : le point qui a le plus changé

Les attaques de type « skimming » numérique injectent quelques lignes de JavaScript dans un site marchand pour copier les numéros de carte saisis par les clients. Deux exigences de la version 4 y répondent, applicables depuis le 31 mars 2025 :

• Exigence 6.4.3 : chaque script exécuté dans le navigateur sur la page de paiement doit être inventorié, autorisé, et son intégrité vérifiée, avec une justification écrite de sa présence.
• Exigence 11.6.1 : un mécanisme doit détecter et alerter en cas de modification non autorisée de la page de paiement telle que le navigateur la reçoit, y compris ses en-têtes HTTP de sécurité.

En janvier 2025, le PCI SSC a retiré ces deux exigences (et l’analyse de risque 12.3.1 associée) du questionnaire SAQ A, tout en précisant que les exigences elles-mêmes restent dans la norme. En échange, le SAQ A comporte un nouveau critère d’éligibilité : le commerçant doit confirmer que son site n’est pas exposé aux attaques par scripts qui pourraient toucher son système de paiement. Autrement dit, même avec une redirection vers le CMI, un site WordPress ou WooCommerce jamais mis à jour ne remplit pas les conditions.

Ce que nous mettons en place sur un site marchand :

1. Inventaire des scripts tiers (statistiques, chat, publicité) et suppression de ceux qui n’ont rien à faire sur les pages du tunnel d’achat.
2. En-tête Content-Security-Policy qui limite les sources de scripts autorisées.
3. Intégrité des sous-ressources (attribut integrity) pour les scripts externes qui le permettent.
4. Surveillance des modifications des pages sensibles, avec alerte.
5. Mises à jour du CMS, du thème et des extensions, comme expliqué dans notre guide pour sécuriser un site WordPress d’entreprise ; l’actualité le rappelle régulièrement, voir notre alerte sur la faille WordPress CVE-2026-119977.
6. Un pare-feu applicatif web (WAF) devant le site, pour filtrer les attaques connues.

Les autres exigences qui concernent une PME

Selon le SAQ, d’autres exigences de la version 4.0.1 s’appliquent. Celles que nous rencontrons le plus souvent :

Exigence	Ce qu’elle demande	Mise en œuvre courante
1.x	Contrôles de sécurité réseau autour des systèmes de paiement	Pare-feu et segmentation : terminaux et caisse sur un VLAN séparé
3.3	Ne jamais conserver les données d’authentification sensibles après autorisation	Aucune copie du code de sécurité, ni papier ni fichier
5.x	Protection contre les logiciels malveillants	Antivirus ou EDR administré sur les postes concernés
6.3.3	Correctifs de sécurité appliqués	Politique de mise à jour suivie et documentée
8.3.6	Mots de passe d’au moins 12 caractères	Politique de mots de passe ou gestionnaire
8.4.2	Authentification multifacteur pour les accès à l’environnement de paiement	MFA sur l’administration du site et des serveurs
10.x	Journalisation et revue des événements	Centralisation des journaux, alertes
11.3.2	Scans de vulnérabilités externes trimestriels par un prestataire agréé (ASV)	Selon le SAQ, sur les adresses exposées
12.10	Plan de réponse aux incidents	Procédure écrite, contacts de l’acquéreur

Pour l’authentification forte, notre guide de déploiement du MFA en entreprise détaille la méthode. Pour la segmentation et le pare-feu, voir le guide d’achat d’un pare-feu d’entreprise au Maroc ; nous déployons des FortiGate en tant qu’intégrateur Fortinet au Maroc.

Les erreurs que nous voyons chez les commerçants

1. Numéros de carte reçus par e-mail ou WhatsApp pour une réservation, puis conservés dans la boîte de réception ou sur un téléphone.
2. Fiches papier avec le code de sécurité gardées « pour débiter plus tard ».
3. Terminal de paiement branché sur le même réseau que le WiFi invités ou les caméras.
4. Formulaire de carte intégré au site sans raison métier, ce qui fait passer du SAQ A au SAQ A-EP.
5. Compte administrateur du site partagé par l’agence web, le stagiaire et le prestataire, sans MFA.
6. Aucune procédure en cas de fuite : on ne sait pas qui prévenir chez l’acquéreur.

PCI DSS, loi 09-08 et cadre national

PCI DSS protège les données de carte. Les données personnelles de vos clients (nom, adresse, téléphone) relèvent aussi de la loi 09-08 et de la CNDP, voir nos repères sur la loi 09-08. Une entreprise déjà engagée dans une démarche ISO 27001 peut réutiliser une grande partie de ses politiques, de son inventaire et de sa gestion des risques : les deux référentiels se recoupent largement, sans se remplacer.

Plan d’action en six étapes

1. Cartographier les flux de paiement : par où entrent les cartes (site, terminal, téléphone, e-mail), où elles passent, où elles pourraient être copiées.
2. Réduire le périmètre : redirection vers la page de l’acquéreur, terminaux P2PE ou réseau séparé, jetons au lieu des numéros de carte, suppression des cartes stockées.
3. Confirmer le SAQ avec l’acquéreur, CMI ou banque, et récupérer son calendrier de validation.
4. Corriger les écarts : mises à jour, MFA, segmentation, scripts de la page de paiement, journalisation.
5. Tester : scans de vulnérabilités, et si besoin un test d’intrusion du site.
6. Maintenir : la conformité se renouvelle, et un site modifié chaque semaine doit être surveillé en continu.

Comment nous accompagnons les commerçants

ALLSAFE SOLUTIONS n’est ni un auditeur QSA ni un prestataire de scan agréé ASV : nous n’émettons pas d’attestation PCI DSS. Notre rôle est de préparer et sécuriser l’environnement pour que votre questionnaire soit exact et défendable. Nous cartographions vos flux, réduisons le périmètre, sécurisons le site marchand, le réseau et les postes, et mettons en place MFA, pare-feu et supervision. Les équipements critiques sont supervisés 24/7, et un incident critique est pris en charge en moins de 15 minutes.

Pour la démarche globale, consultez notre offre de cybersécurité des entreprises au Maroc et notre guide pour choisir une solution SIEM. Puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées avec la liste des écarts et un plan d’action priorisé.