Architecture du traitement des paiements : passerelle, processeur, acquéreur, réseau et émetteur expliqués

Quelles sont les six couches d’une architecture de traitement des paiements?

Six : l’expérience marchande avec laquelle le client interagit, la saisie des données de carte, le routage de l’autorisation, le risque et l’authentification, la compensation et le règlement, puis le financement du commerçant et la conciliation. Chaque couche a un rôle propre, un mode de défaillance propre et ses propres intervenants. Lire une chaîne de paiement ainsi est plus utile que le schéma habituel à cinq cases, car une même entreprise peut occuper plusieurs couches et une même couche peut mobiliser plusieurs entreprises.

Les couches sont ordonnées selon le moment où elles agissent, non selon leur importance. Les couches 1 et 2 se jouent au moment de la vente. Les couches 3 et 4 se jouent dans les secondes qui entourent l’approbation et s’entrecroisent en pratique. Les couches 5 et 6 se déroulent une fois le client parti, sur un calendrier qui se compte en jours bancaires plutôt qu’en millisecondes.

Ce modèle est descriptif, pas normatif. Il existe parce qu’on vend au commerçant un ensemble intégré, puis qu’il doit diagnostiquer une seule couche à l’intérieur : un checkout qui n’aboutit jamais, un refus venu de quelque part, un dépôt qui ne correspond pas à un lot. Nommer la couche réduit la question à quelque chose qu’un échange avec le soutien peut réellement trancher.

Quelle entité agit dans quelle couche?

La passerelle agit dans les couches 2, 3 et 4 : elle saisit les données de carte, met en forme et achemine la demande d’autorisation, et héberge généralement les règles antifraude du commerçant ainsi que l’intégration 3-D Secure. Le processeur agit dans les couches 3 et 5. L’acquéreur agit dans les couches 3, 5 et 6, et porte la responsabilité financière du commerçant. Le réseau de cartes agit dans les couches 3, 4 et 5. L’émetteur agit dans les couches 3, 4, 5 et 6.

Lire en colonnes plutôt qu’en lignes précise l’image. La couche 1 appartient presque entièrement au commerçant et au logiciel qu’il a acheté : PDV, plateforme de commerce en ligne, outil de facturation. La couche 2 appartient à celui dont le code touche les données de carte en clair : le terminal, les champs hébergés de la passerelle, un service de jetons. La couche 3 est la seule où les cinq entités sont présentes en même temps. La couche 4 se partage entre les règles du commerçant, l’annuaire du réseau et la décision de l’émetteur. Les couches 5 et 6 relèvent du processeur, de l’acquéreur, du réseau et de l’émetteur, et le commerçant ne les voit que sous forme de rapports et de dépôts.

Deux définitions expliquent l’essentiel de la confusion. L’acquéreur est l’institution financière qui détient le compte marchand, qui est membre des réseaux de cartes et qui répond du commerçant si celui-ci ne peut financer ses propres remboursements et rétrofacturations. Le processeur est l’exploitant qui achemine les messages et les fichiers pour le compte de l’acquéreur. Un processeur sans licence d’acquisition travaille sous un acquéreur parrain, ce qui explique qu’un contrat marchand nomme souvent une banque à laquelle le commerçant n’a jamais parlé.

Que se passe-t-il, dans l’ordre, quand une carte est débitée?

Le client agit dans la couche 1. Les données de carte sont saisies puis immédiatement remplacées par un jeton dans la couche 2. La couche 4 peut authentifier le titulaire avant toute autorisation. La couche 3 achemine une demande d’autorisation de la passerelle au processeur, à l’acquéreur, au réseau puis à l’émetteur, et rapporte une approbation ou un refus. La couche 5 compense la transaction capturée et établit les positions de règlement. La couche 6 finance le commerçant.

Pour une vente en ligne, l’ordre compte. L’authentification précède l’autorisation, si bien que son résultat voyage à l’intérieur de la demande d’autorisation. Inversez les deux et la demande arrive sans aucune preuve que le titulaire a été vérifié : c’est toute la différence entre une rétrofacturation assumée par le commerçant et une rétrofacturation assumée par l’émetteur, des mois plus tard.

Une approbation est une retenue, pas un transfert. L’émetteur immobilise des fonds sur la marge de crédit ou le solde du titulaire et renvoie un code de réponse; rien n’a bougé. C’est la capture — immédiate dans la plupart des commerces de détail, plus tardive pour le commerce en ligne à expédition différée — qui indique à l’acquéreur d’encaisser. Le débit avec carte présente au Canada emprunte un autre chemin dans la même couche : une transaction Interac Débit est autorisée sur un compte de dépôt, par le réseau d’Interac plutôt que par un réseau de cartes de crédit.

La compensation soumet ensuite les enregistrements capturés sous forme de lot. Le réseau applique l’interchange et calcule ce que chaque émetteur doit à chaque acquéreur; le règlement déplace ces positions nettes entre les institutions. Ce n’est qu’après que l’acquéreur paie le commerçant, ce qui explique que l’argent arrive selon un calendrier de financement plutôt qu’en copie de chaque vente individuelle.

Où se situe la tokenisation, et pourquoi transforme-t-elle la couche de saisie?

La tokenisation se situe dans la couche 2, au moment de la saisie. Le numéro de carte est échangé contre une référence sans valeur pour quiconque la vole, et tout ce qui suit — enregistrements de commandes, facturation d’abonnement, base de données du commerçant — porte cette référence. Cela transforme la couche parce que la question de savoir qui a touché au numéro de carte a désormais une réponse beaucoup plus courte, et c’est précisément la question que traite la norme PCI DSS.

Il existe deux types de jetons, et ils ne sont pas interchangeables. Un jeton de passerelle est une référence conservée dans le coffre d’un fournisseur : il fonctionne chez ce fournisseur, et le quitter suppose une migration de coffre. Un jeton de réseau est émis par les services de tokenisation des réseaux de cartes et est rattaché à la carte sous-jacente, ce qui permet de le maintenir à jour lorsque la carte est réémise.

L’effet concret sur la portée : si le numéro de carte est saisi dans un champ hébergé ou un terminal chiffrant et n’atteint jamais les serveurs du commerçant, ces serveurs se trouvent hors de l’environnement des données de titulaires et un questionnaire d’auto-évaluation plus léger s’applique. Être hors portée n’est pas être exempté. La manipulation par le personnel, la sécurité des appareils et tout endroit où un numéro de carte peut encore être écrit sur papier ou dicté au téléphone demeurent la responsabilité du commerçant.

Où se situe 3-D Secure dans la couche de risque et d’authentification?

EMV 3-D Secure appartient à la couche 4 et s’exécute avant la couche 3. Trois composants font le travail : un serveur 3DS du côté du commerçant ou de la passerelle, un serveur d’annuaire exploité par le réseau de cartes et un serveur de contrôle d’accès exploité par l’émetteur. La demande du commerçant atteint l’annuaire du réseau, l’annuaire l’achemine vers l’émetteur, et l’émetteur détermine s’il en sait déjà assez pour faire confiance à ce titulaire.

La plupart des authentifications se terminent sans que le client s’en aperçoive. Dans un parcours sans friction, l’émetteur tranche à partir des données reçues — appareil, historique, contexte de la transaction — et renvoie un résultat. Dans un parcours avec défi, l’émetteur demande au titulaire de confirmer, généralement dans son application bancaire. Le commerçant ne choisit pas lequel s’applique : l’émetteur le fait, selon le risque qu’il perçoit.

L’authentification et l’autorisation ne répondent pas à la même question. L’authentification demande s’il s’agit bien du titulaire; l’autorisation demande si l’émetteur va payer. Les deux sont posées au même émetteur à quelques instants d’intervalle, et une transaction authentifiée peut tout de même être refusée pour insuffisance de fonds, dépassement de limite ou d’après le modèle antifraude de l’émetteur. Ce que l’authentification change, c’est qui assume la perte si la transaction est plus tard contestée pour fraude : selon les règles des réseaux, une transaction authentifiée transfère généralement cette responsabilité du commerçant vers l’émetteur, avec des modalités qui varient selon le réseau et la région.

En quoi la compensation, le règlement et le financement du commerçant diffèrent-ils?

La compensation est l’échange des enregistrements de transactions entre l’acquéreur et l’émetteur par l’intermédiaire du réseau, et c’est là que s’applique l’interchange. Le règlement est le déplacement des fonds nets entre ces institutions pour honorer les positions calculées à la compensation. Le financement du commerçant est l’étape distincte et ultérieure où l’acquéreur paie le commerçant. Trois événements distincts, trois groupes d’intervenants distincts, et seul le troisième apparaît dans le compte bancaire du commerçant.

Le financement prend aussi deux formes, et la différence tient à la conciliation plutôt qu’au coût. Prenons un lot quotidien de 50 000 $ portant 1 200 $ de frais — les deux chiffres sont illustratifs. Le financement brut dépose 50 000 $ et facture les 1 200 $ séparément, généralement une fois par mois. Le financement net dépose 48 800 $. Le dépôt brut se rattache au total du lot sans aucun calcul, ce que les équipes de finance demandent souvent; le dépôt net ne se rattache à rien tant que quelqu’un n’a pas reconstitué le volet des frais pour le prouver.

Au Canada, la dernière étape est un virement bancaire national et non un mouvement de réseau de cartes. Le paiement de l’acquéreur au commerçant emprunte les systèmes de paiement exploités par Paiements Canada, ce qui explique que le financement du commerçant suive les jours ouvrables et les congés bancaires canadiens plutôt que le calendrier propre aux réseaux de cartes.

De quelle couche provient un refus ou un paiement échoué?

Descendez les couches dans l’ordre et la réponse apparaît généralement en une étape. Si le client n’a jamais atteint une tentative de paiement, c’est la couche 1. Si le formulaire de carte a échoué ou qu’aucun jeton n’a été créé, la couche 2. Si un défi d’authentification a échoué ou a été abandonné, la couche 4. Si un code de réponse est revenu, c’est la couche 3 qui l’a acheminé et l’émetteur qui l’a écrit. Si la vente existe mais pas l’argent, le problème se trouve dans les couches 5 et 6.

La distinction qui fait gagner le plus de temps est celle entre un refus et une erreur. Un refus est un aller-retour réussi assorti d’une réponse désagréable : le message a atteint l’émetteur et est revenu. Une erreur signifie que le message n’a jamais fait le trajet complet, ce qui pointe vers les couches 2 et 3 — requête mal formée, problème d’identifiants, expiration de délai — et se corrige par d’autres personnes qu’un refus.

Les codes de réponse sont écrits par l’émetteur, non par la passerelle ni par le processeur, et c’est pourquoi un refus sec ne se plaide pas auprès du fournisseur du commerçant. Ce qu’un fournisseur peut faire, c’est garder la requête bien formée, relancer de façon appropriée et s’assurer que les résultats d’authentification et les bons indicateurs de carte présente ou absente figurent réellement dans le message, car un indicateur manquant peut transformer une transaction approuvable en refus.

Pourquoi une même entreprise occupe-t-elle souvent plusieurs de ces couches?

Parce que les couches sont des fonctions, pas des entreprises. Un fournisseur qui se présente comme une passerelle de paiement peut aussi être le processeur et, sous une banque parraine, détenir la relation d’acquisition. Un facilitateur de paiement va plus loin et place le commerçant sous son propre compte d’acquisition au lieu d’en ouvrir un par commerçant. Rien de cela n’est un problème en soi. Ignorer laquelle de ces situations est la vôtre en est un.

Le regroupement est généralement avantageux pour le commerçant : moins de contrats, un seul canal de soutien, un seul rapport de conciliation et un seul interlocuteur pour comprendre le comportement d’une transaction. Le prix à payer est que les frontières entre les couches deviennent invisibles précisément au moment où il faudrait les voir : lors d’une migration, dans un désaccord sur l’origine d’une panne, ou au moment de décider si les données de carte enregistrées peuvent être transférées à un nouveau fournisseur.

Deux questions reconstituent l’essentiel de la carte. Quelles couches ce fournisseur exploite-t-il lui-même, et lesquelles revend-il? Et quel acquéreur est nommé dans mon contrat? La première indique d’où doit venir un correctif et combien de parties un problème sérieux mobilisera. La seconde indique qui détient réellement votre compte marchand et, si vous partez, dans le coffre de qui se trouvent vos jetons.