Avant de mettre votre intégration de tokenisation en production, vous devez la tester — et ce, sans utiliser de vraies données de carte. PCI DSS exige explicitement que les environnements de test soient séparés des environnements de production et qu'aucun vrai PAN ne soit utilisé en développement. Un environnement sandbox PCI est la solution : un espace isolé qui simule le comportement du vault de production sans stocker de vraies données de carte.
Qu'est-ce qu'un environnement sandbox PCI ?
Un sandbox PCI est un environnement de test isolé qui permet aux développeurs de tester les flux de tokenisation sans utiliser de vraies données de carte. PCI Proxy EU fournit un sandbox complet avec des identifiants de test, des numéros de carte fictifs et une simulation complète des réponses API.
Contrairement à une simple maquette, le sandbox PCI Proxy EU réplique fidèlement le comportement de l'environnement de production : même structure de tokens, mêmes formats de réponses, même gestion des erreurs. Cela garantit que le code testé en sandbox fonctionnera sans modification en production.
PCI DSS (exigences 6.3.2 et 6.4.1) impose cette séparation : les environnements de développement et de test doivent être distincts de la production, avec des contrôles d'accès séparés et l'interdiction formelle d'utiliser des données de production réelles à des fins de test.
Pourquoi utiliser une sandbox avant la mise en production ?
Tester en sandbox évite les bugs qui pourraient exposer de vraies données de carte, valide la logique d'intégration et s'assure que les réponses API sont traitées correctement avant le passage en production. Un bug découvert en sandbox coûte infiniment moins cher qu'un incident de sécurité en production.
De plus, de nombreux partenaires et acquéreurs exigent une validation complète en environnement de test avant d'accorder l'accès à la production. Disposer d'une sandbox fonctionnelle avec des scénarios de test documentés accélère ce processus de validation et démontre la maturité de votre intégration.
- Détection précoce des erreurs d'intégration sans risque pour les vraies cartes
- Validation des flux complets : tokenisation, paiement, remboursement, annulation
- Test des cas d'erreur (carte refusée, CVV invalide, fonds insuffisants)
- Vérification de la gestion des webhooks et des signatures
- Documentation des tests pour les auditeurs PCI DSS
Cartes de test disponibles dans la sandbox PCI Proxy EU
La sandbox supporte des numéros de carte de test standard qui passent la validation Luhn et simulent différents scénarios. Les cartes de test les plus courantes incluent :
- 4111 1111 1111 1111 — Visa, approbation standard
- 5500 0000 0000 0004 — Mastercard, approbation standard
- 4000 0000 0000 0002 — Visa, simulation de refus
- 4000 0000 0000 9995 — Visa, simulation de fonds insuffisants
N'importe quelle date d'expiration future et n'importe quel CVV à 3 chiffres peuvent être utilisés avec ces numéros. Ces cartes ne sont pas de vraies cartes de paiement : elles ne peuvent pas être utilisées hors de l'environnement sandbox et ne génèrent aucune transaction financière réelle.
Flux API en mode sandbox
Tous les endpoints API fonctionnent de manière identique en mode sandbox. La seule différence est l'URL de base (sandbox.pci-proxy.eu au lieu de api.pci-proxy.eu) et l'utilisation des identifiants de test. La structure des requêtes, les en-têtes d'authentification et les formats de réponse sont strictement identiques.
Cela signifie que votre code de production peut être configuré pour utiliser le sandbox simplement en changeant une variable d'environnement — aucune modification de la logique applicative n'est nécessaire. Cette approche est recommandée : maintenez une configuration par environnement (dev/staging/production) et basculez entre eux via des variables d'environnement.
- Tokenisation : Soumettez un numéro de carte de test, recevez un token structurellement identique à ceux de production
- Paiement par token : Utilisez le token pour initier une transaction de test simulée
- Gestion du token : Testez la mise à jour, l'expiration et la suppression des tokens
- Webhooks : Recevez des notifications de test pour valider votre gestion des événements
Bonnes pratiques d'intégration
Pour tirer le meilleur parti du sandbox et garantir une intégration robuste, testez tous les cas d'erreur (cartes expirées, fonds insuffisants, CVV invalide), vérifiez les signatures de webhook, et assurez-vous que les tokens sont stockés correctement dans votre base de données.
- Ne jamais logger les données de carte : même en sandbox, évitez de logger les numéros de carte dans vos fichiers de log
- Tester les timeouts : simulez des délais réseau pour valider la gestion des erreurs de connexion
- Valider les tokens stockés : vérifiez que votre base de données ne stocke que des tokens, jamais des PAN
- Tester les scénarios de retry : validez votre logique de nouvelle tentative en cas d'erreur temporaire
- Documenter les tests : conservez une trace des tests effectués pour les auditeurs PCI DSS
Passer du sandbox à la production
Lorsque tous les tests passent avec succès en sandbox, le passage à la production est simple. Il vous suffit de remplacer l'URL de base sandbox par l'URL de production et vos identifiants de test par vos identifiants de production. Aucune modification du code applicatif n'est requise.
PCI Proxy EU recommande un déploiement progressif : commencez par un faible volume de transactions réelles en production pour valider le comportement en conditions réelles, avant d'ouvrir à l'ensemble de votre trafic. Gardez également votre environnement sandbox actif pour les tests de régression lors des futures mises à jour.
Questions fréquentes
Les tokens sandbox sont-ils différents des tokens de production ?
Les tokens sandbox ont la même structure que les tokens de production, mais ils sont générés dans un espace de noms isolé. Un token sandbox ne peut pas être utilisé en production et vice versa. Cette isolation est garantie au niveau de l'infrastructure.
Puis-je utiliser le sandbox pour les tests de charge ?
Le sandbox est conçu pour les tests fonctionnels et d'intégration. Pour les tests de charge et de performance, contactez PCI Proxy EU pour discuter des options disponibles, car des limites de débit s'appliquent en sandbox pour protéger l'infrastructure partagée.
Intégrez la tokenisation en toute sécurité et conformément à PCI DSS : le sandbox PCI Proxy EU vous offre un environnement de test complet sans aucune donnée de carte réelle. Découvrir PCI Proxy EU.