💳 La carte bancaire

La place de la carte dans les paiements français

Le paiement scriptural désigne tout transfert de fonds inscrit en écriture de compte. La carte en est, de très loin, le premier moyen de paiement scriptural en volume en France. Elle a supplanté le chèque au début des années 2000, puis a absorbé l'essentiel de la croissance des paiements du quotidien, portée par le sans contact puis par le paiement mobile. Son poids en valeur reste marginal. Le virement concentre plus de 90 % des montants échangés, parce qu'il porte les salaires, les flux B2B et les opérations de montant élevé.

Le panier moyen rapporte le montant total payé par carte au nombre de transactions. Il baisse sans discontinuer. De ~50 € au début des années 2010, il est passé à ~30 € aujourd'hui, parce que la carte remplace les espèces sur les petits montants, boulangerie comprise. Le relèvement du plafond sans contact à 50 € en mai 2020 a accéléré ce basculement, en faisant passer sous le seuil du sans contact des paiements qui exigeaient jusque-là la saisie du code.

Typologie : débit, crédit, différé, prépayée, commerciale

L'expression « carte bancaire » recouvre plusieurs produits dont les mécaniques de débit, les coûts et les régimes réglementaires sont très différents. Depuis le règlement européen IFR 2015/751, les schemes doivent identifier chaque carte comme débit, crédit ou commerciale. De cette catégorie dépend directement l'interchange applicable, commission que l'acquéreur reverse à l'émetteur sur chaque transaction.

• En France, « carte de crédit » désigne souvent, à tort, une carte à débit différé. Le vrai crédit revolving adossé à une carte reste minoritaire, contrairement aux États-Unis ou au Royaume-Uni.
• Les cartes à autorisation systématique (interrogation du solde à chaque transaction) équipent les offres d'entrée de gamme et clientèles fragiles : zéro découvert possible, mais refus sur les péages ou parkings historiquement hors-ligne.
• Les cartes virtuelles (numéro unique ou à durée limitée, générées à la demande) sont en plein essor côté entreprises (paiement fournisseurs, OTA du voyage) comme côté particuliers (e-commerce).

Le co-badgeage CB-Visa / CB-Mastercard

Le co-badgeage désigne la présence de deux marques de paiement sur un même instrument. La quasi-totalité des cartes émises par les grandes banques françaises sont co-badgées, ce qui reste une spécificité nationale. Elles portent sur la même puce CB, le scheme domestique du GIE Cartes Bancaires, et Visa ou Mastercard, employé pour l'international et pour le e-commerce hors réseau CB.

En France métropolitaine, une transaction chez un commerçant affilié CB est par défaut routée sur le réseau CB. Visa ou Mastercard ne prennent le relais que hors de France, sur les sites marchands étrangers, ou chez les rares accepteurs non affiliés CB. L'article 8 du règlement IFR garantit la liberté de choix de la marque. Le commerçant peut paramétrer une priorité, mais le porteur doit pouvoir imposer son choix au terminal (touche dédiée ou sélection à l'écran).

Techniquement, le co-badgeage se matérialise par deux applications EMV distinctes sur la puce (AID CB A0000000421010, AID Visa ou Mastercard), chacune avec ses propres clés et paramètres. Le terminal dresse la liste des AID communes avec la carte, que la sélection d'application EMV appelle la candidate list, puis applique les règles de priorité.

Anatomie : PAN, BIN, CVV, piste, puce

Chaque élément physique et logique de la carte remplit un rôle précis dans la chaîne de paiement. Il porte aussi un profil de risque distinct. Le PAN identifie le compte, le CVV2 atteste la possession physique en vente à distance, et la puce produit un cryptogramme propre à chaque transaction. Les règles PCI DSS, les mécanismes de fraude et la tokenisation se définissent par référence à ces éléments, chacun désignant celui qu'il protège ou celui qu'il remplace.

  4970 1034 5678 9015          <- PAN (Primary Account Number), 16 chiffres ici
  |______|                        (13 a 19 chiffres selon les schemes, ISO/IEC 7812)
     |
  49701034  <- IIN / BIN : identifie l'emetteur et le produit
              (8 chiffres depuis avril 2022, historiquement 6)

  Premier(s) chiffre(s) = MII, identifie le scheme :
    4xxxxx          -> Visa
    51-55 / 2221-2720 -> Mastercard
    34 / 37         -> American Express (15 chiffres)
    6xxxxx          -> Discover, UnionPay...

  5678901  <- identifiant de compte individuel attribue par l'emetteur
        5  <- cle de Luhn : chiffre de controle (somme ponderee mod 10)
              detecte les erreurs de saisie, PAS la fraude

;4970103456789015=29072011234567890?
 |________________|
        PAN         2907  <- expiration au format AAMM (juillet 2029)
                        201 <- code service :
                              2xx = usage international + puce EMV presente
                                    (le terminal doit lire la puce)
                              x0x = autorisation normale, sans restriction emetteur
                              xx1 = aucune restriction d'usage
                                    (PIN exige au distributeur seulement)
                    ...     <- donnees discretionnaires, dont le CVV1
                               (different du CVV2 imprime au dos !)

Le clonage de piste (skimming) est devenu inutile en zone EMV :
le code service 2xx force le passage puce, et la piste seule
est refusee (regle du "chip liability shift").

Plafonds, autorisations et refus

Un plafond de carte est le montant maximal que le porteur peut engager sur une période donnée. Chaque carte porte des plafonds de paiement et de retrait distincts, calculés en période glissante, souvent 30 jours pour les paiements et 7 jours pour les retraits. La gamme de la carte fixe ces montants. L'émetteur les module de plus en plus souvent en temps réel, depuis l'application bancaire du porteur.

• Sans contact carte : 50 € maximum par transaction depuis mai 2020, avec des soft limits SCA (typiquement 150 € cumulés ou 5 transactions consécutives) qui déclenchent une demande de PIN, exigence de la DSP2 (RTS art. 11).
• Le paiement mobile (Apple Pay, Google Pay) n'est pas soumis au plafond de 50 € : le déverrouillage biométrique (CDCVM) vaut authentification forte.
• Un dépassement de plafond se traduit par un refus émetteur code 51 (« provision insuffisante / plafond ») ; le commerçant ne voit que le refus, jamais le motif détaillé côté client.
• Les plafonds sont un outil de gestion du risque émetteur, pas une garantie pour le commerçant : une autorisation accordée peut toujours faire l'objet d'un impayé contesté (chargeback).

La carte dans le modèle à quatre coins

Le modèle à quatre coins désigne l'organisation d'une transaction carte entre quatre acteurs distincts, le porteur, le commerçant, la banque émettrice et la banque acquéreuse. Le scheme, CB, Visa ou Mastercard, coordonne ces quatre acteurs. Il fixe les règles, opère le réseau d'autorisation et organise la compensation et le règlement entre les deux banques.

La nuit suivante, les transactions de la journée sont télécollectées, c'est-à-dire remises par le terminal à l'acquéreur, puis compensées. L'émetteur règle l'acquéreur, montant moins l'interchange. L'acquéreur crédite le commerçant, montant moins la commission commerçant, ou MSC, qui agrège interchange, frais de scheme et marge acquéreur. Le compte du porteur est débité selon la modalité de sa carte, immédiate ou différée.