Vous acceptez les paiements par carte ? Entrez votre domaine : on vérifie l'état de vos protections courriel, celles que la norme cite en exemple — expliqué sans jargon d'auditeur.
Gratuit, sans inscription. Résultat en 15 secondes, avec tout le bilan (SPF, DKIM, DMARC, site web).
PCI DSS est la norme de sécurité imposée par l'industrie des cartes de paiement. Sa version 4.0 a ajouté l'exigence 5.4.1 : « des processus et des mécanismes automatisés doivent être en place pour détecter et protéger le personnel contre les attaques de hameçonnage ». Ce n'était qu'une bonne pratique au départ — c'est obligatoire à chaque évaluation depuis le 31 mars 2025, date à laquelle la v4.0.1 est devenue la seule version active.
Deux points que les commerçants découvrent souvent trop tard : le mot important est automatisés (une formation de sensibilisation, même excellente, ne suffit pas à elle seule), et la norme cite DMARC, SPF et DKIM comme exemples de contrôles anti-usurpation dans sa colonne de conseils. Elle n'impose pas une technologie unique, mais l'authentification du courriel est le contrôle que tout le monde attend en premier — parce que c'est celui qui empêche un fraudeur d'écrire à vos clients ou à vos employés en votre nom.
PCI DSS s'applique dès que vous traitez, transmettez ou stockez des données de cartes — un terminal en boutique, une boutique en ligne, des paiements pris au téléphone. La taille n'y change rien : ce qui change, c'est le questionnaire d'auto-évaluation (SAQ) que votre fournisseur de paiement ou votre banque acquéreuse vous demande de remplir, et la liste d'exigences varie d'un questionnaire à l'autre. Demandez-leur lequel s'applique à vous. Dans tous les cas, verrouiller votre domaine contre l'usurpation ne peut pas nuire : c'est gratuit à configurer et ça vous protège même sans audit.
p=quarantine puis p=reject. C'est l'écart le plus fréquent : beaucoup d'entreprises ont un DMARC en p=none, qui observe sans rien bloquer.Curieux de savoir où en sont les autres ? Nous avons scanné 35 commerçants québécois : 45 % n'ont aucun blocage de l'usurpation, chiffres et méthode à l'appui.
Le bilan se télécharge en PDF daté : une trace concrète de l'état de vos protections à une date précise. La surveillance continue (gratuite pour un domaine) documente le reste automatiquement — vérification quotidienne, historique et alerte si votre configuration se dégrade. Les mêmes preuves servent pour un questionnaire fournisseur ou une demande d'assurance cyber.
À savoir : Cyberbilan n'est pas un évaluateur qualifié (QSA) et ce test ne rend pas votre entreprise conforme à PCI DSS. Il vérifie l'état public de vos protections courriel et web — un morceau concret et vérifiable du casse-tête, pas l'ensemble de la norme.
Depuis le 31 mars 2025. Elle faisait partie des exigences « futures » de PCI DSS v4.0 ; à cette date, la v4.0.1 est devenue la seule version active et l'ensemble de ces exigences est devenu applicable à chaque évaluation.
Pas littéralement. L'exigence impose des mécanismes anti-hameçonnage automatisés et cite DMARC, SPF et DKIM comme exemples de contrôles anti-usurpation. En pratique, c'est la réponse la plus simple, la moins chère et la plus vérifiable pour le volet « on ne peut pas se faire passer pour vous ».
Non. L'exigence parle explicitement de processus et de mécanismes automatisés : la sensibilisation du personnel est nécessaire mais ne remplace pas les contrôles techniques.
Oui, dès que vous traitez des données de cartes. Le niveau d'exigences dépend du questionnaire d'auto-évaluation que votre fournisseur de paiement vous demande — c'est à lui qu'il faut confirmer lequel s'applique à votre commerce.
Non. Nous ne sommes pas un évaluateur qualifié (QSA) et la conformité couvre bien plus que le courriel. Ce test vérifie gratuitement l'état de vos protections publiquement vérifiables et vous donne un rapport daté à conserver.