Comment fonctionne une passerelle de paiement?
Amanda Reaume
Lorsqu’il s’agit de traiter les paiements en ligne et au point de vente, les passerelles de paiement sont un élément clé de la transaction. Elles peuvent même être utilisées pour protéger votre entreprise contre les risques de responsabilité et les exigences de conformité coûteuses. Mais que sont-elles exactement et comment fonctionnent-elles?
Nous vous expliquerons ci-dessous ce qu’est une passerelle de paiement, le rôle qu’elle joue dans l’acceptation des paiements et comment elle peut être utilisée pour vous protéger contre la responsabilité en matière de fraude.
Qu’est-ce qu’une passerelle de paiement?
Une passerelle de paiement connecte un commerçant à sa banque ou à son fournisseur de traitement des paiements. Elle peut être utilisée pour effectuer des achats en ligne, au point de vente et dans les applications.
Une passerelle de paiement est un service offert par divers fournisseurs de paiement de l’industrie qui n’est pas directement impliqué dans le flux d’argent. Elle facilite plutôt les paiements en communiquant les données de carte d’un client avec un réseau de traitement des paiements, soit par le biais d’interfaces de programmation d’applications (API) pour les paiements en ligne, soit par une solution de paiement par carte présente pour les transactions physiques.
De nombreuses passerelles de paiement offrent également des outils de gestion de la fraude, tels que des filtres contre la fraude, qui aident à détecter et à prévenir la fraude. Ces outils peuvent comprendre des fonctions comme la valeur de vérification de la carte et de l’adresse, la géolocalisation, l’empreinte digitale de l’appareil et bien plus encore. Ces fonctionnalités supplémentaires aident à atténuer l’acceptation de la fraude avant que les paiements ne deviennent des rétrofacturations.
- Le commerçant
La ou les personnes qui vendent des produits et services et traitent la transaction. - Le client
La personne qui effectue un achat avec un mode de paiement qui nécessite une autorisation. - Le banque émettrice
La banque ou l’entité financière qui a émis au client la carte de crédit qu’il utilise pour effectuer un achat. - L’acquéreur ou banque acquéreuse
On l’appelle la banque acquéreuse parce que c’est l’institution financière qui acquiert le paiement suite à la transaction. Un acquéreur est parfois appelé fournisseur de traitement des paiements.
Sources :
Comparaison entre la passerelle de paiement et le fournisseur de traitement des paiements
Bien qu’on les confonde parfois, une passerelle de paiement et un fournisseur de traitement des paiements sont des parties distinctes du processus d’autorisation de paiement.
Une passerelle de paiement est le service qui recueille les informations de paiement et de transaction, puis facilite le transfert de ces informations entre le client, le site Web ou le point de vente et votre fournisseur de traitement des paiements. Une fois que le fournisseur de traitement des paiements (que nous expliquerons dans une seconde seulement) répond, la passerelle de paiement vous indique si la transaction a été autorisée. Lorsque vous acceptez les paiements par carte de crédit par l’intermédiaire d’une passerelle de paiement comme l’une des nôtres, vous pouvez accepter les paiements en personne et en ligne sans effort, être payé plus rapidement et réduire vos inquiétudes.
En revanche, un fournisseur de traitement des paiements, bien qu’il fasse toujours partie de la technologie utilisée pour les transactions par carte de crédit, remplit un rôle différent. Plus précisément, un fournisseur de traitement des paiements est un service fourni par votre acquéreur qui vous permet d’accepter les paiements par carte de débit et de crédit en facilitant le processus d’autorisation et de règlement avec les réseaux de cartes de paiement applicables.
Fonctionnement
Voici un exemple de fonctionnement d’une passerelle de paiement.
- Le client effectue un achat à l’aide de votre lecteur de cartes.
- Une fois qu’une commande est créée, la passerelle de paiement peut accepter les informations de paiement de votre solution de paiement. Elle peut également accepter directement les renseignements de paiement du client pour réduire le risque et les exigences auxquelles vous devez vous conformer en vous assurant que vous n’êtes jamais en possession de renseignements sensibles sur le titulaire de carte.
- Quoi qu’il en soit, la passerelle de paiement transmet ensuite les informations de transaction, notamment les détails tels que le numéro de carte, la date d’expiration de la carte, le nom du titulaire de carte et le montant de la transaction, au fournisseur de traitement des paiements et aux acquéreurs des services aux commerçants.
- Le fournisseur de traitement des paiements transmet la demande d’autorisation de transaction au réseau de cartes de paiement qui soumettra la transaction à l’émetteur de la carte de paiement. L’émetteur autorisera ou refusera la demande de transaction. La réponse de l’émetteur de la carte est ensuite retournée à votre fournisseur de traitement des paiements qui, à son tour, la transmettra à votre passerelle de paiement.
- La passerelle de paiement transmet la réponse de l’étape précédente au site Web ou à l’interface de paiement qui est utilisée pour traiter le paiement par carte, puis l’autorisation vous est transmise ainsi qu’au titulaire de carte. Ce processus ne prend généralement que quelques secondes.
- Un client effectue un achat.
- La passerelle de paiement accepte les informations de paiement de la solution de paiement du commerçant.
- La passerelle de paiement transmet les informations de transaction au fournisseur de traitement des paiements/aux acquéreurs des services aux commerçants.
- Le fournisseur de traitement des paiements transmet la demande d’autorisation de transaction au réseau de cartes de paiement qui soumettra la transaction à l’émetteur de la carte de paiement.
- L’émetteur autorise ou refuse la demande de transaction.
- Le fournisseur de traitement des paiements transmet la réponse à la passerelle de paiement du commerçant.
- La passerelle de paiement transmet la réponse à l’interface de paiement ou au site Web utilisé pour traiter le paiement par carte, puis l’autorisation est transmise au commerçant et au titulaire de carte.
Sources :
Sécurité
Les passerelles de paiement sont incroyablement sécurisées et ont plusieurs niveaux de protection. En général, les passerelles de paiement utilisent le protocole sécurisé de cryptage (SSL). C’est à ce moment que vous ou la passerelle de paiement protégez les renseignements personnels et les détails de paiement des clients en les transformant en un modèle qui nécessite une clé pour les déchiffrer.
Cependant, les passerelles de paiement peuvent également aider à la sécurité des paiements d’autres façons. Plusieurs offrent des fonctions supplémentaires de vérification de la fraude qui peuvent aider à détecter la fraude dès le départ, atténuant ainsi le risque de rétrofacturation et de perte de produit. Les autres formes de chiffrement ou de sécurité qui peuvent être utilisées avec les passerelles de paiement comprennent la segmentation en unités, la transaction électronique sécurisée (SET), la valeur de vérification de carte (CVV) et 3-D Secure.
Les passerelles de paiement sont très sécurisées et ont plusieurs niveaux de sécurité de paiement. Elles offrent généralement les caractéristiques de sécurité suivantes :
- Le chiffrement des données :
transforme les détails de la carte en un code qui peut être déchiffré par la clé privée de la passerelle de paiement. - Le service de vérification d’adresse (SVA) :
vérifie si l’adresse d’un client correspond à celle figurant au dossier du fournisseur de la carte de crédit. - Le protocole sécurisé de cryptage (SSL) :
transforme les renseignements personnels et les détails du paiement d’un client en un modèle qui nécessite une clé pour les déchiffrer. - La segmentation en unités :
remplace l’information par une chaîne de caractères aléatoires à l’aide d’une clé privée et publique. Cela aide à protéger les données inactives afin que vos systèmes ne soient pas exposés aux données sensibles à la norme PCI. - La transaction électronique sécurisée :
chiffre les données à l’aide de signatures numériques ou de certificats de clé publique et de messages vérifiés. - La valeur de vérification de la carte (CVV) :
vérifie (au moyen d’un code à trois ou quatre chiffres) qu’un utilisateur de carte a la carte physique en sa possession. - 3-D Secure :
utilise les données recueillies pendant et avant une transaction, y compris les adresses IP, les historiques d’achat et les historiques de transaction, pour analyser le risque associé à la transaction. Les données sont utilisées pour authentifier le titulaire de carte avec l’émetteur de la carte. S’ils sont authentifiés positivement, les commerçants peuvent être admissibles à la protection contre la responsabilité de rétrofacturation en cas de fraude.
Sources :
- 6.1 Passerelles de paiement. Privacy Shield.
- Utiliser 3-D Secure (version 2) pour protéger votre entreprise contre les rétrofacturations (6 juin 2022). Merchant Accounts.ca.
- Qu’est-ce qu’un protocole sécurisé de cryptage (ou protocole SSL)? (19 mai 2023). Gouvernement du Canada.
- Qu’est-ce que la segmentation en unités de carte de crédit (5 juillet 2018). Merchant Accounts.ca.
- Qu’est-ce qu’une transaction électronique sécurisée (SET) (septembre 2021). TechTarget.
- Les cinq principaux protocoles de sécurité de passerelle de paiement (31 janvier 2023). Binary Stream.
La conformité avec la norme PCI
Le Conseil des normes de sécurité PCI a conçu la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS) pour s’assurer que toute entreprise ou organisation qui gère les données des titulaires de cartes garde ces dernière confidentielles dans un réseau sécurisé. Cette norme a été adoptée par toutes les marques de cartes et exige que tous les commerçants qui stockent, transmettent ou ont accès aux données sensibles des titulaires de cartes se conforment aux 12 exigences PCI DSS (PDF).
Bien que le simple fait d’utiliser une passerelle de paiement puisse aider à réduire le risque d’atteinte à la protection des données, vous pouvez et devriez prendre plus de mesures pour demeurer conforme. Pour commencer, vous pouvez réduire vos exigences de conformité et votre responsabilité potentielle si vous n’acceptez pas directement les renseignements de carte de crédit sur votre site Web, mais les traitez directement par l’intermédiaire d’une passerelle de paiement conforme à la norme PCI. Pour les transactions avec carte présente, vous pouvez atténuer votre risque de non-conformité en mettant régulièrement à jour les logiciels antivirus, en limitant l’accès aux données de titulaire de carte par le besoin de savoir de l’entreprise et en testant régulièrement vos systèmes et processus de sécurité.
Il est essentiel de respecter les 12 exigences PCI DSS non seulement pour protéger vos clients, mais aussi pour protéger votre entreprise. Les commerçants qui n’observent pas la conformité annuelle à la norme PCI et qui se sont fait voler des données de titulaire de carte peuvent être pénalisés et condamnés à une amende mensuelle, selon la taille de l’entreprise et la portée de la non-conformité.
Conclusion
Une passerelle de paiement est un élément clé d’une transaction en ligne ou physique. Elle permet une expérience omnicanale, reliant les transactions avec et sans carte, ce qui vous offre une solution consolidée et une vue de vos transactions. De plus, ce service utile a généralement des liens avec d’autres fournisseurs de paiement, comme des cartes-cadeaux, des programmes de fidélité et plus encore. Donc, si vous cherchez à offrir à vos clients des transactions plus faciles et à optimiser votre entreprise avec une solution de paiement simple et sécurisée, discutez avec un représentant de Chase et découvrez quelle passerelle est la meilleure pour vous.