Un terminal de paiement fonctionne selon un processus normalisé et hautement sécurisé. Chaque transaction suit une série d’étapes précises qui garantissent la validité de l’opération et la protection des données bancaires.
Étapes détaillées d’une transaction par carte bancaire
- Lecture des données
- Lorsque le client insère sa carte, le TPE active la puce EMV (Europay-Mastercard-Visa), qui contient les informations cryptographiques liées au compte.
- Si la bande magnétique est utilisée (cas exceptionnel aujourd’hui), le TPE lit directement les données statiques de la carte.
- En sans contact, la communication repose sur la technologie NFC (Near Field Communication) qui permet un échange par ondes radio courtes à moins de 10 cm.
- Dans tous les cas, le TPE identifie le numéro de carte (PAN), la date d’expiration et génère un cryptogramme dynamique pour authentifier la transaction.
- Chiffrement et sécurisation
- Les données sensibles (numéro de carte, cryptogramme, code PIN) sont immédiatement cryptées.
- Ce chiffrement suit les standards PCI-DSS (Payment Card Industry Data Security Standard) et EMV pour éviter tout risque d’interception.
- Le code PIN, saisi par le client, est chiffré dans le clavier sécurisé (PIN Pad) avant même d’être transmis.
- Cette étape est cruciale : le TPE agit comme un coffre-fort numérique, garantissant que les données ne circulent jamais “en clair”.
- Transmission de la demande
- Une fois les données sécurisées, le TPE envoie une demande d’autorisation à la banque émettrice de la carte.
- Cette transmission passe par une passerelle monétique, un serveur spécialisé qui fait l’interface entre le TPE et le réseau interbancaire (CB en France, VisaNet pour Visa, Mastercard Network…).
- Selon le terminal, la connexion peut être :
- IP/ADSL : via la box Internet du commerçant (rapide, adaptée aux volumes élevés).
- GPRS/3G/4G : via une carte SIM multi-opérateurs intégrée, utile pour les commerces itinérants.
- RTC (Réseau Téléphonique Commuté) : réseau historique, fiable mais lent et coûteux, en voie de disparition.
- Chaque flux monétique est sécurisé et spécifique, nécessitant souvent un abonnement distinct (ex. flux monétique bancaire via opérateur).
- Autorisation par la banque
- La banque du client reçoit la demande via le réseau interbancaire.
- Elle effectue plusieurs vérifications automatiques :
- Disponibilité des fonds sur le compte du client.
- Plafonds de paiement liés à la carte (journalier, hebdomadaire, sans contact).
- Contrôles anti-fraude : carte volée ou expirée, transaction suspecte, incohérence entre localisation et usage.
- À l’issue de ces contrôles, la banque renvoie au TPE un code d’autorisation (paiement accepté) ou un refus (avec un code motif : fonds insuffisants, plafond atteint, etc.).
- Validation et télécollecte
- Si la transaction est acceptée, le TPE affiche la validation, imprime un ticket ou génère une preuve numérique, et conserve la transaction en mémoire.
- Ces transactions validées sont ensuite regroupées dans un lot appelé télécollecte.
- La télécollecte est généralement programmée en fin de journée mais peut être configurée en temps réel selon les contrats commerçants.
- Les données sont envoyées à la banque du commerçant via la passerelle monétique.
- Après rapprochement des flux (matching entre autorisations et télécollecte), la banque crédite le compte professionnel du commerçant, généralement sous 24 à 48h ouvrées.
