Le CDE (Cardholder Data Environment), ou environnement de données des titulaires de carte, est l'ensemble des systèmes, réseaux et processus qui stockent, traitent ou transmettent des données de carte de paiement. Tout ce qui se trouve dans le CDE est soumis aux 12 exigences PCI DSS — c'est pourquoi la réduction de son périmètre est la stratégie de conformité la plus efficace.
Définition du CDE : quels systèmes entrent dans le périmètre ?
Le CDE comprend tous les composants systèmes, personnes et processus qui stockent, traitent ou transmettent des données de titulaires de carte (CHD) ou des données d'authentification sensibles (SAD). Les données de titulaires de carte incluent le PAN (numéro de carte complet), le nom du titulaire, la date d'expiration et le code de service. Les données d'authentification sensibles incluent les données complètes de la piste magnétique, les codes PIN et les codes CVV/CVC.
Entrent dans le périmètre CDE : les serveurs web et d'application qui traitent les paiements, les bases de données qui stockent les données de carte ou des tokens, les systèmes de point de vente (TPE, caisse), les réseaux et sous-réseaux connectés à ces systèmes, les systèmes de sécurité (pare-feu, IDS/IPS) protégeant ces environnements, et toute personne ayant accès à ces données dans le cadre de ses fonctions.
Il est important de comprendre que le périmètre CDE s'étend au-delà des systèmes qui touchent directement les données de carte : les systèmes connectés — ceux qui peuvent communiquer avec les systèmes CDE même sans traiter de données de carte directement — sont également inclus dans le périmètre. C'est pourquoi la segmentation réseau est une exigence fondamentale pour limiter l'extension du périmètre.
Coûts de maintenance d'un CDE étendu
Maintenir un CDE étendu est extrêmement coûteux. Chaque système dans le périmètre doit satisfaire l'ensemble des 12 exigences PCI DSS : gestion des vulnérabilités, contrôle des accès, surveillance des logs, tests de pénétration annuels, etc. Pour une entreprise avec 50 serveurs dans le périmètre, le coût annuel de conformité peut atteindre plusieurs centaines de milliers d'euros.
Au-delà des coûts directs d'audit et de conformité, un CDE étendu génère des coûts opérationnels continus : patch management accéléré pour les systèmes CDE, restrictions sur les changements d'infrastructure (tout changement dans le périmètre doit être documenté et évalué pour impact sur la conformité), contraintes sur le recrutement (le personnel accédant au CDE doit faire l'objet de vérifications approfondies), et surcoût d'assurance cyber.
Les entreprises ayant subi une compromission de données avec un CDE étendu font face à des conséquences encore plus sévères : amendes des réseaux de paiement (de 5 000 à 100 000 € par mois), coûts d'investigation forensique, notification obligatoire aux titulaires de carte, et dommages réputationnels. La prévention via la réduction du périmètre est infiniment moins coûteuse.
Les trois stratégies de réduction du périmètre CDE
La première stratégie est la tokenisation : remplacer les PAN par des tokens dès leur saisie. Avec une solution comme PCI Proxy EU, les données de carte ne transitent jamais par vos serveurs — seuls des tokens y circulent. Vos serveurs sortent du périmètre CDE, réduisant ainsi le nombre de systèmes soumis aux exigences PCI DSS de manière drastique.
La deuxième stratégie est la segmentation réseau : isoler les systèmes CDE restants dans des sous-réseaux séparés, protégés par des pare-feux dédiés. Cette segmentation empêche les systèmes hors périmètre de communiquer avec les systèmes CDE, réduisant ainsi le nombre de systèmes "connectés" qui entreraient sinon dans le périmètre.
La troisième stratégie est l'externalisation : déléguer le traitement des paiements à un prestataire certifié PCI DSS de niveau 1. Cette approche transfère la responsabilité de conformité du périmètre CDE au prestataire. Elle est souvent combinée avec la tokenisation pour maximiser la réduction du périmètre.
Comment la tokenisation réduit le CDE à presque zéro
Avec une implémentation correcte de la tokenisation via PCI Proxy EU, votre périmètre CDE peut être réduit à un niveau minimal. Les données de carte sont saisies via une iFrame hébergée par PCI Proxy EU, ce qui signifie que votre serveur web ne traite jamais de PAN. La page de paiement sur votre site ne fait qu'afficher l'iFrame : elle est hors périmètre CDE.
Vos bases de données ne stockent que des tokens — des identifiants sans valeur en dehors du système de PCI Proxy EU. Vos serveurs d'application n'effectuent que des appels API pour initier des paiements via les tokens, sans jamais manipuler de PAN. Dans ce scénario, la quasi-totalité de votre infrastructure sort du périmètre CDE, et vous pouvez vous qualifier pour une SAQ-A ou SAQ-A-EP, les questionnaires les plus simples.
Le CDE résiduel se limite à la gestion des identifiants API de PCI Proxy EU et aux logs d'accès à ces identifiants — un périmètre minuscule comparé à une infrastructure de traitement de paiements traditionnelle. Cela réduit les coûts d'audit annuels de 80 à 95 % pour la plupart des marchands.
Documenter et valider votre périmètre réduit
Une fois votre périmètre CDE réduit, il est essentiel de le documenter correctement pour votre SAQ ou votre audit QSA. Vous devez produire un diagramme de flux de données de carte montrant que les PAN ne transitent pas par vos systèmes, un diagramme réseau illustrant la segmentation entre vos systèmes et ceux de PCI Proxy EU, et une liste de tous les composants dans le périmètre résiduel.
PCI Proxy EU fournit une attestation de conformité (AOC) de niveau 1 que vous pouvez soumettre à votre acquéreur pour prouver que votre prestataire de tokenisation est certifié PCI DSS. Cette documentation est indispensable pour démontrer que vous avez délégué le traitement des données de carte à un tiers qualifié et que votre périmètre est effectivement réduit.
Réduisez votre CDE dès aujourd'hui et simplifiez votre conformité PCI DSS : découvrir PCI Proxy EU.