Sécurité des paiements en ligne : quelles exigences pour une boutique suisse ?

Pourquoi la sécurité des paiements conditionne la confiance dans une boutique suisse

En Suisse, l'acheteur vérifie avant de payer. JUSTIS Protection Juridique recommande de contrôler la rubrique « Mentions légales » ou « Contact ». Elle doit afficher l'adresse, la localité, le numéro de téléphone et l'adresse électronique. Si ces données sont difficiles à trouver, le sérieux du site est douteux. Ces informations constituent le premier signal de fiabilité perçu par le client, avant même la page de paiement.

Pour une boutique suisse, le socle de conformité combine la LPD et les normes PCI DSS pour les paiements électroniques, rappelle le guide des plateformes e-commerce d'EWM. Le marché impose aussi des choix locaux. Interface disponible en français, en allemand et en italien. Prise en charge du franc suisse (CHF) et de l'euro (EUR).

Formats de date, d'adresse et de numéro conformes aux standards suisses. Intégration de PostFinance et TWINT. Une page de paiement qui ignore la langue du client ou le format de son adresse introduit un doute au moment le plus sensible de la transaction.

La plausibilité économique fait partie du contrôle. JUSTIS cite l'exemple d'une boutique qui vend un smartphone à 150 CHF. D'autres fournisseurs le facturent plus de 500 CHF. JUSTIS déconseille la transaction.

Les labels de qualité de type « Trusted Shops » sont moins établis en Suisse qu'en Allemagne. Ils sont généralement trop chers pour de petits fournisseurs ou de jeunes entreprises. L'absence de label ne prouve donc pas qu'une boutique soit douteuse. Un label ne dispense pas de sécuriser réellement les flux de paiement.

Données clients et paiement : appliquer la LPD sans surcollecter

Depuis l'entrée en vigueur de la LPD révisée en septembre 2023, les entreprises suisses doivent garantir une sécurité des données proportionnée aux risques. Cela passe notamment par un règlement informatique (weka.ch). Dans le tunnel de commande, ce principe est concret. Chaque champ ajouté au formulaire de paiement élargit le périmètre à protéger et à documenter.

La première mesure est la minimisation. L'approche recommandée consiste à se demander de quelles données on a réellement besoin pour travailler avant de récolter trop d'éléments (schutz-law.ch). Pour le paiement, ne pas conserver les données de carte dans la base de la boutique lorsque le prestataire les traite lui-même. Moins de données stockées, moins de risque et moins d'obligations à documenter.

La transparence est une exigence distincte de la sécurité technique. Les entreprises vendant en ligne doivent mettre en place des politiques de confidentialité solides. Elles doivent informer les clients de l'usage de leurs données et garantir leur sécurité (schutz-law.ch). Les conditions générales doivent indiquer si le fournisseur transmet les données à des tiers (JUSTIS). Cette clause est indispensable dès qu'un prestataire de paiement, un transporteur ou un outil d'analyse intervient dans la chaîne.

Le guide EWM retient l'exigence technique de serveurs situés en Suisse. schutz-law.ch rappelle que la protection des données s'inscrit dans le RGPD en Europe et dans la LPD en Suisse.

Avantages et inconvénients des labels de qualité comme Trusted Shops en Suisse

PCI DSS : la norme à respecter pour les paiements par carte

La norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) a été présentée en 2004. Elle est destinée aux grandes marques de cartes de crédit. Elle intègre 12 mesures stratégiques visant à réduire la fraude à la carte bancaire. Elle émane du Payment Card Industry Security Standards Council (isdecisions.com).

Pour une boutique en ligne, elle fixe le cadre applicable à tout traitement de données de titulaires de cartes. La conformité repose largement sur le prestataire de paiement.

Les douze exigences forment une liste de contrôles à vérifier. Protéger les données des titulaires de cartes au moyen d'un pare-feu. Éliminer les paramètres par défaut des mots de passe système ou des paramètres de sécurité définis par les fournisseurs. Protéger les données stockées des titulaires de cartes. Chiffrer la transmission de ces données sur les réseaux ouverts publics. Déployer des contrôles contre les malwares et les virus. Déployer et gérer des systèmes et applications sécurisés.

Limiter l'accès aux données de cartes aux seules personnes qui en ont besoin. Identifier les accès aux composants système et les soumettre à authentification. Restreindre l'accès physique aux données des titulaires de cartes. Suivre et surveiller les accès aux données de cartes et aux ressources réseau. Tester les processus et systèmes de sécurité à intervalles réguliers. Créer et mettre à jour une politique de sécurité de l'information pour tous les collaborateurs.

Deux points ont un effet direct sur l'organisation d'une PME suisse. La limitation des accès aux seules personnes qui en ont besoin. Les tests réguliers, qui supposent de planifier les contrôles plutôt que de les improviser. La douzième règle demande de créer et mettre à jour une politique de sécurité de l'information pour tous les collaborateurs (isdecisions.com).

Normes clés pour la sécurité des paiements en ligne en Suisse

Prestataires de paiement : répartir les responsabilités et sécuriser les flux

Avant de signer, la question à trancher est celle de la responsabilité. Qui répond de quoi en cas de fraude, de fuite ou de litige avec un client ? schutz-law.ch invite explicitement à se renseigner sur qui est responsable. Les conditions générales de la boutique doivent indiquer si les données sont transmises à des tiers.

Le contrat avec le prestataire, la politique de confidentialité et les CG doivent dire la même chose. Ils doivent préciser le périmètre des données transmises et le rôle de chacun.

Sur le plan technique, les briques à exiger sont documentées publiquement par les prestataires suisses. Worldline Suisse traite de la sécurité des données et de PCI DSS, de 3-D Secure et de la norme de sécurité EMV. Cette rubrique est consacrée à la sécurité des paiements sans espèces.

Pour la boutique, cela se traduit par des questions précises au prestataire. Le paiement est-il authentifié par 3-D Secure ? Les cartes sont-elles traitées selon EMV ? À quel niveau la conformité PCI DSS est-elle attestée, la boutique étant alors hors du périmètre des données de carte ?

Le budget fait partie du choix. À titre d'exemples de coûts de plateforme relevés pour le marché suisse, une solution SaaS se situe entre 23 CHF et 299 CHF par mois. L'installation est rapide, la maintenance incluse, mais les options de personnalisation sont limitées. Une solution open source se situe entre 100 CHF et 300 CHF par mois. Elle est plus flexible mais exige des compétences techniques (EWM).

Le coût de la conformité paiement — tests, surveillance, politique de sécurité — s'ajoute à ces montants. Il doit être arbitré en fonction du volume de transactions et du niveau de personnalisation retenu.

Le choix de l'hébergement se traite en même temps. EWM cite les serveurs situés en Suisse comme exigence technique associée à la protection des données. Un prestataire de paiement étranger n'est pas exclu. Il faut alors vérifier les garanties contractuelles. Il faut aussi informer les clients de la transmission de leurs données à des tiers dans les CG (JUSTIS) et dans la politique de confidentialité (schutz-law.ch).

Solutions e-commerce : coûts et caractéristiques comparées (Marché suisse)

Moyens de paiement locaux : concilier attentes suisses et sécurité

Sur le marché suisse, les attentes des acheteurs orientent le choix des moyens de paiement. EWM retient l'intégration de PostFinance et de TWINT. Elle retient aussi la prise en charge du franc suisse (CHF) et de l'euro (EUR). Les formats de date, d'adresse et de numéro doivent être conformes aux standards suisses. Une boutique qui n'affiche que des solutions internationales et des formats étrangers ajoute une friction précisément là où le client doit saisir ses données.

Chaque moyen de paiement ajouté doit passer le même filtre de sécurité que la carte. Exiger un prestataire conforme PCI DSS. L'authentification par 3-D Secure et le traitement selon la norme EMV font partie des sujets de sécurité documentés par Worldline Suisse. L'approche de minimisation recommandée par schutz-law.ch invite à limiter la conservation des données de paiement à ce qui est nécessaire.

La règle opérationnelle est de limiter le nombre de canaux ouverts plutôt que d'en ajouter sans contrôle. Chaque intégration supplémentaire élargit le périmètre technique à tester et à surveiller.

Le paramétrage commercial fait partie du travail de sécurisation, car il évite les litiges. Il implique un affichage clair des prix et des délais de livraison. Il exige des conditions de vente à jour et conformes au modèle d'affaires, sans copier-coller de textes génériques (schutz-law.ch).

Le traitement de la TVA suisse et l'organisation de la livraison relèvent de la même logique. EWM cite La Poste Suisse et DHL Suisse. Des informations exactes au moment de la commande réduisent les contestations de paiement et les demandes de remboursement.

Règles internes, phishing et incidents : le maillon humain

Le règlement informatique est l'outil qui encadre légalement l'usage des appareils par les collaborateurs sans nécessiter leur accord explicite (weka.ch). Bien que non obligatoire, il sert de directive unilatérale contraignante. Il définit les règles d'utilisation du matériel, les interdictions et les obligations de signalement en cas d'incident. Pour une boutique en ligne, il couvre directement les postes qui accèdent au back-office, aux données clients et aux outils de paiement.

Son contenu doit traiter au minimum de l'utilisation du matériel informatique de l'entreprise. Il doit aussi couvrir l'utilisation du matériel informatique privé, le travail mobile, l'obligation de déclaration, la surveillance et les sanctions (weka.ch). L'article précise qu'il doit couvrir la sécurité des données.

Il doit aussi interdire certains logiciels non approuvés et encadrer l'usage d'outils d'intelligence artificielle. Ce point est sensible dès qu'un collaborateur colle des données de commande dans un outil externe.

La mesure la plus opérationnelle est l'obligation de signalement immédiat en cas de perte d'appareil ou de tentative de phishing (weka.ch). Elle n'a de valeur que si le collaborateur sait à qui signaler et dans quel délai. Le règlement doit désigner un destinataire interne.

Il doit préciser que le signalement n'entraîne pas de sanction pour celui qui l'effectue, faute de quoi les incidents seront tus. Le document sert enfin de base juridique pour les mesures de surveillance et les sanctions en cas de non-respect.

Checklist avant lancement : les exigences à valider

Sur le plan juridique et contractuel, prévoir des mentions légales complètes. Adresse, localité, téléphone et adresse électronique doivent être faciles à trouver (JUSTIS). Les conditions générales doivent être conformes au droit suisse, à jour et sans copier-coller. Elles précisent la transmission éventuelle des données à des tiers (JUSTIS, schutz-law.ch).

La politique de confidentialité doit décrire l'usage des données et les mesures de sécurité. Elle tient compte de la LPD en Suisse et du RGPD en Europe (schutz-law.ch). La structure juridique — entreprise individuelle, Sàrl ou SA — doit être choisie en connaissance des implications de responsabilité et de fiscalité (schutz-law.ch).

Sur le plan technique et paiement, confirmer le niveau de conformité PCI DSS applicable au prestataire et à la boutique. Cette confirmation s'appuie sur les douze exigences de la norme (isdecisions.com).

Mettre en place un pare-feu. Supprimer les mots de passe et paramètres par défaut. Chiffrer les transmissions sur réseaux ouverts. Limiter les accès aux données de cartes aux seules personnes qui en ont besoin. Tester la sécurité à intervalles réguliers. Rédiger une politique de sécurité de l'information (isdecisions.com).

Activer 3-D Secure et traiter les cartes selon la norme EMV (Worldline Suisse). Héberger les serveurs en Suisse. Respecter les formats de date, d'adresse et de numéro conformes aux standards suisses (EWM).

Sur le plan organisationnel, prévoir un règlement informatique couvrant le matériel de l'entreprise, le matériel privé, le travail mobile, les logiciels non approuvés, les outils d'IA, la surveillance et les sanctions (weka.ch).

Écrire une procédure de gestion des incidents avec obligation de signalement immédiat en cas de perte d'appareil ou de tentative de phishing (weka.ch). Intégrer effectivement les moyens de paiement locaux tels que TWINT et PostFinance, et gérer les devises CHF et EUR (EWM).