Les cartes de vos clients ont peut-être été vues : que dire
Dites la fenêtre de dates, ce qui a été fait, de surveiller les relevés. N'affirmez pas « aucune fuite » tant que l'analyse n'est pas close. La CNIL peut entrer dans le jeu : le constat technique décide, la déclaration vous incombe.
Dites la fenêtre de dates, ce qui a été fait, de surveiller leurs relevés. N'affirmez pas « aucune fuite » tant que l'analyse n'est pas close. La CNIL peut entrer dans le jeu.
Ce que les clients ont besoin d'entendre
Quatre blocs : ce qui s'est passé (checkout / page de paiement, pas un cours Magecart), la fenêtre de dates, ce que vous avez déjà fait (paiement coupé, prestataire prévenu), ce qu'ils peuvent faire (surveiller les relevés, faire opposition en cas de débit inconnu, ne pas renvoyer de numéro de carte par email). Un contact unique. Pas de jargon, pas de promesse de remboursement universel.
Le ton factuel rassure plus qu'un « nous sommes très désolés » de quinze lignes suivi d'un « tout est réglé ». Si ce n'est pas réglé, ne le dites pas. Cadre : fuite de données, PCI.
Ne pas dire « aucune carte volée » trop tôt
Tant que le HTML n'est pas tranché, la phrase honnête est « nous vérifions si des saisies ont pu être lues ; par précaution… ». Un démenti catégorique suivi d'un constat inverse est pire que le silence de 24 h le temps d'une lecture de checkout. Les journalistes et les avis Google s'en souviennent.
« On ne stocke pas les cartes » est vrai pour beaucoup de CMS et n'exclut pas un skimmer. Ne l'utilisez pas comme punchline d'innocence. 3-D Secure.
Qui prévenir : tout le fichier, ou la fenêtre
Le minimum : ceux qui ont atteint le checkout / payé pendant la fenêtre où le HTML sale est établi. Une com à tout le fichier clients se justifie si l'entrée permettait un export (admin, API) au-delà du tunnel, ou si vous ne savez pas borner — décision DPO / conseil, nourrie par le constat. Élargir « pour être gentil » crée de la panique et des tickets ; trop restreindre alors qu'un export est plausible, l'inverse.
Les comptes créés sans checkout : hors sujet cartes, pas forcément hors sujet RGPD si la table users a été lue.
Le canal : email, compte, bandeau
Email depuis un domaine que vous authentifiez (SPF/DKIM) — ironie : après un piratage, vos mails peuvent être en spam. Prévenez aussi dans l'espace client et par un bandeau sobre. Un SMS unique si vous avez le canal et le consentement. Pas de pièce jointe « facture.pdf.exe ». Pas de lien vers une « reco carte » sur un hôte inconnu.
Si la délivrabilité est morte, le bandeau et les marketplaces / le magasin portent le message. Emails en spam, domaine blacklisté.
- Même texte partout (email, bandeau, SAV).
- Pas de pièce jointe inutile.
- Pas de demande de resaisie de carte.
CNIL, personnes concernées, et délais
Si une violation présentant un risque est confirmée, notification CNIL en 72 h, information des personnes selon le risque. C'est vous, responsable de traitement. Un prestataire sérieux fournit le constat, pas la télédéclaration. N'attendez pas d'« être sûrs à 100 % » pour lancer l'analyse : la pendule 72 h part de la connaissance de l'incident, pas de la fin du roman.
Un défacement sans accès base ni skimmer n'est en général pas une violation cartes. Encore faut-il pouvoir l'écrire. Guide fuite.
Phishing de suivi : on vous imitera
Dès qu'un incident est public, des emails « votre banque / notre boutique : recoisissez votre CB » partent. Dites-le dans votre message : nous ne demanderons jamais de numéro de carte par email. Vos vrais liens : domaine habituel, tapé à la main ou favori.
SAV, réseaux, et le script unique
Une fiche d'une page pour le SAV et les community managers. Ils ne « confirment pas qu'il n'y a rien » au feeling. Ils ne commentent pas les rumeurs techniques. Ils enregistrent les signalements de débits (date, montant, banque) pour votre dossier PSP — sans collecter de PAN.
Après l'envoi : litiges et relances
Les chargebacks arriveront. Gardez le message envoyé (version, date, liste approximative). Mettez à jour si le constat change (« nous confirmons désormais… ») plutôt que de laisser un premier mail trop optimiste. Pour le constat, créer un compte.
- Fenêtre + actions + conseils relevés.
- Pas de démenti cartes sans HTML.
- Périmètre décidé, pas « tout le monde par peur ».
- SAV sur script unique.
Langue, outre-mer, et clients professionnels
Un checkout FR + clients BE / CH / outre-mer : le même texte, éventuellement une version courte EN si vous vendez ainsi. Ne promettez pas un numéro de banque français à un client belge. « Contactez votre établissement émetteur » suffit. Les fuseaux : une fenêtre « 12–18 mai, heure de Paris » évite les malentendus.
Les clients pro (facture société, carte corporate) ont parfois un DPO. Un paragraphe en plus (« données éventuellement concernées : email de commande, pas de RIB stocké chez nous ») les aide. Boutique B2B si les grilles sont aussi en jeu — ne mélangez pas skimmer et fuite tarif dans le même mail sans le dire.
Gardez une copie du message (version, date d'envoi, critère de ciblage : « commandes du 12 au 18 »). Six mois plus tard, un chargeback demandera « qu'avez-vous dit, à qui ». Sans ça, vous réinventez.