# Cybersécurité du commerce de détail : magasin et vente en ligne

Source : https://cybercaribou.com/blogue/cybersecurite-commerce-detail-ecommerce · Cyber Caribou

> Terminaux de paiement, boutique en ligne, PCI DSS 4.0.1, fraude et Loi 25 : le plan de cybersécurité réaliste pour un commerce de détail québécois.

Un lundi de décembre, dans une boutique de vêtements du Plateau-Mont-Royal. Trois clientes appellent : des achats inconnus sont apparus sur leur carte de crédit. L'enquête révélera qu'un script, glissé dans le site par une extension mal entretenue, affichait un faux formulaire de paiement depuis des semaines. Les commandes passaient normalement. Personne n'avait rien remarqué.

Le commerce de détail réunit deux mondes qui attirent les fraudeurs : le magasin, avec ses terminaux, sa caisse et son Wi-Fi, et la boutique en ligne, avec sa plateforme et ses comptes d'administration. Ajoutez la liste de clients du programme de fidélité : de l'argent et des données, exactement ce que les criminels cherchent.

La bonne nouvelle, c'est que les mesures les plus efficaces sont souvent les moins coûteuses : bien choisir sa façon d'accepter les paiements, verrouiller les comptes et séparer les réseaux.

- Moins votre commerce touche aux numéros de cartes, plus votre conformité PCI DSS est simple et plus votre risque est faible.
- En magasin : terminaux fournis par votre fournisseur de paiement, réseau séparé du Wi-Fi des clients, un compte par employé à la caisse.
- En ligne : authentification multifacteur sur tous les comptes d'administration, inventaire des extensions et surveillance des scripts sur les pages de paiement.
- Les données de vos clients sont des renseignements personnels visés par la Loi 25.

## Où se cachent les risques dans un commerce de détail

Avant d'acheter quoi que ce soit, faites la carte de vos points d'exposition.

| Zone | Menace typique | Mesure prioritaire |
|---|---|---|
| Terminaux de paiement | Terminal manipulé ou remplacé, terminal branché sur le même réseau que tout le reste | Terminaux fournis par votre fournisseur de paiement, inspection régulière, réseau séparé |
| Système de caisse (point de vente) | Rançongiciel, accès à distance du fournisseur laissé ouvert | Mises à jour, accès à distance activé sur demande, MFA |
| Boutique en ligne | Script malveillant sur la page de paiement, extension vulnérable | Paiement hébergé par le fournisseur, inventaire des scripts |
| Comptes d'administration | Hameçonnage, mot de passe réutilisé | MFA, comptes nominatifs, droits minimaux |
| Données des clients | Exportation oubliée dans un dossier partagé, fuite | Minimisation, accès restreints |
| Cartes-cadeaux et remboursements | Fraude externe ou interne | Double approbation, révision des rapports |

## PCI DSS 4.0.1 : l'essentiel pour un commerçant

La norme PCI DSS est établie par les grands réseaux de cartes. Sa version 4.0.1, publiée en juin 2024, est la seule en vigueur depuis le retrait de la version 4.0 le 31 décembre 2024, et les exigences dites « à date future » s'appliquent depuis le 31 mars 2025.

Ce n'est pas une loi, mais une obligation contractuelle : votre fournisseur de services de paiement, ou le réseau de cartes, détermine comment démontrer votre conformité. En cas de doute, le PCI Security Standards Council recommande de s'adresser à eux.

Pour la majorité des PME, la démonstration prend la forme d'un questionnaire d'autoévaluation (SAQ). Le bon questionnaire dépend de votre façon d'accepter les cartes :

| Votre situation (simplifiée) | Questionnaire probable |
|---|---|
| Boutique en ligne qui redirige vers une page de paiement hébergée par un fournisseur conforme, ou qui l'intègre au complet dans un cadre (iframe) | SAQ A |
| Boutique en ligne dont les pages peuvent influencer le formulaire de paiement | SAQ A-EP |
| Terminaux autonomes approuvés, connectés par IP, reliés à aucun autre système | SAQ B-IP |
| Terminaux inclus dans une solution de chiffrement point à point (P2PE) validée | SAQ P2PE |
| Saisie manuelle, une transaction à la fois, dans un terminal virtuel hébergé | SAQ C-VT |
| Toute autre situation, dont le stockage de numéros de cartes | SAQ D |

Un changement récent touche les boutiques en ligne : depuis le 31 mars 2025, la version révisée du SAQ A exige que le commerçant confirme que son site n'est pas vulnérable aux attaques par scripts pouvant toucher ses systèmes de commerce électronique.

La meilleure stratégie reste de réduire la portée. Une quincaillerie de Saint-Jérôme notait sur papier les numéros de cartes reçus par téléphone, puis les saisissait le soir. Avec un terminal virtuel et des liens de paiement envoyés par courriel, elle ne conserve plus aucun numéro de carte et son questionnaire s'est simplifié. Pour le détail des exigences, consultez notre guide [PCI DSS 4.0.1 pour les PME](https://cybercaribou.com/blogue/pci-dss-4-pme-paiement-carte).

## Le magasin : terminaux, caisse et Wi-Fi

**Les terminaux.** Utilisez ceux que fournit votre fournisseur de paiement et tenez-en l'inventaire : modèle, numéro de série, emplacement. PCI DSS exige de les protéger contre la manipulation et la substitution. En pratique, un employé vérifie chaque semaine les scellés, les câbles et l'apparence des appareils, et personne ne remet un terminal à un « technicien » sans rendez-vous confirmé auprès du fournisseur.

**Le réseau.** Le Centre canadien pour la cybersécurité recommande de segmenter les terminaux de point de vente et d'installer le Wi-Fi des invités sur un point d'accès distinct. Le Wi-Fi offert aux clients ne doit jamais voir la caisse. Notre article sur la [sécurité du Wi-Fi d'entreprise](https://cybercaribou.com/blogue/securite-wifi-entreprise) détaille la marche à suivre.

**La caisse.** Un compte par employé, pas de code partagé collé sous le tiroir. Les mises à jour du logiciel de caisse sont appliquées, et l'accès à distance du fournisseur est activé seulement sur demande, avec authentification multifacteur.

## La boutique en ligne : comptes, extensions et scripts

Plateforme hébergée ou serveur à vous, quatre réflexes s'imposent.

1. **Protéger les comptes d'administration.** MFA obligatoire pour le compte propriétaire, le personnel et l'agence Web. Chacun a son propre compte, avec seulement les droits dont il a besoin.
2. **Faire le ménage des extensions.** Chaque application ou module ajouté est du code de quelqu'un d'autre qui tourne sur votre site. Supprimez ce qui ne sert plus et appliquez les mises à jour rapidement.
3. **Surveiller les scripts.** L'attaque de la boutique du Plateau repose sur un script indésirable. Tenez la liste des scripts autorisés sur vos pages de paiement et utilisez une politique de sécurité du contenu (CSP). Notre [vérificateur d'en-têtes de sécurité](https://cybercaribou.com/outils/verificateur-en-tetes-securite) indique en quelques secondes si votre site en a une.
4. **Bloquer les tests de cartes.** Des robots essaient des cartes volées au moyen de petits achats en rafale. Activez les filtres antifraude de votre fournisseur de paiement, limitez les tentatives et ajoutez une vérification anti-robot au paiement.

Si votre boutique est développée sur mesure, un [test d'intrusion d'application Web](https://cybercaribou.com/blogue/test-intrusion-application-web-owasp-top-10) révèle les failles avant les fraudeurs. Comme tout test d'intrusion, il exige une autorisation écrite (Code criminel, art. 342.1), y compris celle de votre hébergeur au besoin.

## Fraude : cartes-cadeaux, remboursements et faux fournisseurs

Toute la fraude ne passe pas par l'informatique. Trois scénarios reviennent souvent :

- **Les cartes-cadeaux.** Un faux « gérant de district » appelle la caisse et demande d'activer des cartes pour un client important. Règle simple : aucune activation sans paiement réel, peu importe qui appelle.
- **Les remboursements.** Fixez un seuil au-delà duquel un deuxième employé approuve, et révisez chaque semaine le rapport des remboursements et des annulations.
- **Les faux fournisseurs.** Un courriel annonce un changement de coordonnées bancaires d'un grossiste. Confirmez toujours par téléphone, au numéro que vous aviez déjà au dossier.

## Les données de vos clients et la Loi 25

Programme de fidélité, infolettre, comptes clients, livraisons : votre commerce détient plus de renseignements personnels qu'il n'y paraît. La Loi 25 vous oblige à les protéger, à tenir un registre de tous les incidents de confidentialité et, si un incident présente un risque de préjudice sérieux, à aviser avec diligence la Commission d'accès à l'information et les personnes concernées.

Concrètement : ne recueillez que ce qui sert, limitez qui peut exporter la liste de clients, et supprimez les vieux fichiers exportés qui traînent dans un dossier partagé. Validez votre démarche avec votre conseiller juridique.

## Votre checklist de commerçant

- [ ] Savoir quel questionnaire PCI DSS s'applique à vous, et le remplir chaque année.
- [ ] Aucun numéro de carte conservé sur papier, dans un tableur ou dans un courriel.
- [ ] Inventaire des terminaux et inspection hebdomadaire.
- [ ] Terminaux et caisse sur un réseau séparé du Wi-Fi des clients.
- [ ] Un compte par employé à la caisse et sur la plateforme en ligne.
- [ ] MFA sur tous les comptes d'administration et sur le courriel.
- [ ] Liste des extensions et des scripts autorisés sur la boutique en ligne.
- [ ] Filtres antifraude du fournisseur de paiement activés.
- [ ] Double approbation pour les remboursements importants et les cartes-cadeaux.
- [ ] Registre des incidents à jour.

Vous voulez savoir où se situent vos vraies failles, de la caisse à la page de paiement ? Notre équipe peut tester votre boutique en ligne dans le cadre d'un [test d'intrusion](https://cybercaribou.com/services/test-intrusion) bien délimité et vous remettre un plan d'action priorisé.

## FAQ

**Une petite boutique doit-elle vraiment se conformer à PCI DSS ?**
Oui, dès qu'elle accepte les cartes de crédit. PCI DSS n'est pas une loi, mais une exigence prévue dans votre entente avec votre fournisseur de services de paiement. Pour la plupart des petits commerçants, la conformité se démontre par un questionnaire d'autoévaluation (SAQ) annuel, dont la longueur dépend de la façon dont vous acceptez les paiements.

**Si ma boutique en ligne est hébergée par une plateforme comme Shopify, la sécurité est-elle entièrement gérée pour moi ?**
Non. La plateforme sécurise son infrastructure, mais vous restez responsable de vos comptes d'administration, des applications et des scripts que vous ajoutez, des accès donnés au personnel et aux agences, et des données de clients que vous exportez. Une prise de contrôle du compte propriétaire suffit pour modifier la boutique ou voler la liste de clients.

**Les données de notre programme de fidélité sont-elles visées par la Loi 25 ?**
Oui. Les noms, courriels, numéros de téléphone et historiques d'achat sont des renseignements personnels au sens de la Loi sur la protection des renseignements personnels dans le secteur privé. Vous devez les protéger, en limiter l'accès et inscrire tout incident à votre registre. Validez les cas particuliers avec votre conseiller juridique.

**Que faire si un client nous signale une transaction frauduleuse après un achat chez nous ?**
Prenez le signalement au sérieux, surtout s'il se répète. Avisez votre fournisseur de services de paiement, vérifiez l'intégrité de vos terminaux et des pages de votre site, puis consignez l'événement. Plusieurs signalements semblables peuvent indiquer un terminal manipulé ou un script malveillant sur votre boutique en ligne.

## Sources

- [PCI Security Standards Council : Just Published: PCI DSS v4.0.1](https://blog.pcisecuritystandards.org/just-published-pci-dss-v4-0-1)
- [PCI Security Standards Council : Important Updates Announced for Merchants Validating to Self-Assessment Questionnaire A](https://blog.pcisecuritystandards.org/important-updates-announced-for-merchants-validating-to-self-assessment-questionnaire-a)
- [PCI Security Standards Council : Merchant Resources](https://www.pcisecuritystandards.org/merchants/)
- [Centre canadien pour la cybersécurité : Utiliser le Wi-Fi sans compromettre la sécurité de votre organisation (ITSAP.80.009)](https://www.cyber.gc.ca/fr/orientation/utiliser-le-wi-fi-sans-compromettre-la-securite-de-votre-organisation-itsap80009)
- [LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)](https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1)