Tout modèle d'abonnement qui charge automatiquement une carte de paiement implique le stockage de données de carte — et donc une exposition au scope PCI DSS. La tokenisation card-on-file est la seule approche qui permet de gérer la facturation récurrente de manière sécurisée, conforme, et sans stocker de PAN sur vos systèmes.
Pourquoi les abonnements créent-ils un risque PCI DSS particulier ?
Dans un paiement ponctuel, les données de carte ne transitent qu'une fois. Dans un modèle d'abonnement, les données de carte doivent être disponibles pour chaque cycle de facturation — mensuellement, annuellement, ou à chaque événement déclencheur. Cela crée une obligation de stockage qui n'existe pas dans les paiements ponctuels.
Si vous stockez des numéros de carte (PAN) pour les débits récurrents, vous êtes obligatoirement dans le scope PCI DSS le plus étendu. Cela signifie des obligations de chiffrement, de contrôle d'accès, de surveillance, d'audit — et en cas de violation, une exposition maximale.
Qu'est-ce que la tokenisation card-on-file ?
La tokenisation card-on-file consiste à remplacer le PAN par un token lors du premier enregistrement de la carte du client. Ce token est une référence opaque qui permet de déclencher des paiements ultérieurs sans avoir besoin du PAN original. Le vault de tokens (géré par PCI Proxy EU) conserve le lien entre token et PAN de manière sécurisée, hors de votre système.
Pour chaque cycle de facturation, votre système envoie le token (et non le PAN) à votre acquéreur ou PSP. PCI Proxy EU déréférence le token et transmet le PAN réel au réseau de paiement de manière sécurisée, en dehors de votre environnement. Vous ne voyez jamais le PAN lors des débits récurrents.
Obligations PCI DSS spécifiques aux paiements récurrents
PCI DSS impose des exigences spécifiques pour les paiements récurrents. La Requirement 3 interdit le stockage des données d'authentification sensibles (CAV2, CVV, code PIN) après autorisation — y compris pour les transactions récurrentes. Seul le PAN (protégé) et certaines données d'expiration peuvent être conservés.
- Req. 3.2 : Ne jamais stocker le CVV/CVC après autorisation, même pour les abonnements
- Req. 3.3 : Masquer le PAN lors de l'affichage (max. 6 premiers et 4 derniers chiffres)
- Req. 3.4 : Rendre le PAN illisible où qu'il soit stocké (chiffrement, hachage ou tokenisation)
- Req. 3.5 : Documenter et gérer les procédures de protection des données stockées
PSD2 et paiements récurrents : les exemptions SCA
En Europe, PSD2 ajoute une couche de complexité aux abonnements. La règle générale est que l'authentification forte du client (SCA) est requise pour les paiements en ligne. Cependant, les abonnements récurrents de montant fixe bénéficient d'une exemption : seul le premier paiement nécessite la SCA, les paiements ultérieurs peuvent être traités sans.
La tokenisation card-on-file de PCI Proxy EU s'intègre parfaitement dans ce cadre : lors du premier paiement (avec SCA), la carte est tokenisée. Les débits récurrents ultérieurs utilisent le token et sont exemptés de SCA conformément à la directive PSD2, à condition que le montant soit fixe et le bénéficiaire identifié.
Account Updater : maintenir les cartes à jour automatiquement
Un défi majeur des abonnements est la gestion des cartes expirées ou remplacées. L'Account Updater est un service proposé par Visa et Mastercard qui met automatiquement à jour les informations de carte enregistrées chez les marchands lorsqu'une carte est renouvellée ou remplacée.
PCI Proxy EU supporte l'Account Updater : les tokens dans votre vault sont automatiquement mis à jour lorsque la carte sous-jacente change. Vous n'avez pas à redemander les informations de carte à vos clients lors du renouvellement de leur carte bancaire, réduisant ainsi le churn involontaire dans votre base d'abonnés.
Migrer vers la tokenisation card-on-file
Si vous stockez actuellement des PAN pour vos abonnements, la migration vers la tokenisation card-on-file est un projet structuré mais réalisable. La première étape est de tokeniser les nouvelles cartes dès leur enregistrement via PCI Proxy EU. La deuxième étape est de migrer progressivement les PAN existants vers des tokens — PCI Proxy EU fournit des outils de migration sécurisée pour cette opération.
Une fois la migration complète, vos bases de données ne contiennent plus de PAN. Votre scope PCI DSS est drastiquement réduit, votre SAQ simplifié, et votre risque de violation de données considérablement diminué. Pour vos clients, aucun changement visible : leurs abonnements continuent exactement comme avant.
Gérez vos abonnements de manière sécurisée et conforme PCI DSS avec la tokenisation card-on-file PCI Proxy EU. Découvrir PCI Proxy EU.