🏪 Le paiement en magasin

Le parc de terminaux et ses fabricants

Le terminal de paiement électronique (TPE) lit l'instrument de paiement au point de vente, conduit le dialogue avec la carte et transmet la demande d'autorisation à l'acquéreur. Il est certifié à double titre. La sécurité matérielle relève de PCI PTS, qui couvre le clavier PIN et la résistance à l'intrusion. La conformité fonctionnelle relève du référentiel du scheme, avec l'agrément CB en France et les certifications EMV L1/L2. Le parc français dépasse les 2 millions de points d'acceptation.

La rupture de la décennie tient à la migration des OS propriétaires, Telium chez Ingenico et Verix chez Verifone, vers des SmartPOS Android sécurisés. Le terminal devient alors une plateforme applicative. Il héberge l'encaissement, le pourboire, la fidélité, une caisse légère et la gestion des titres-restaurant. Ces applications sont distribuées via des app stores de terminaux contrôlés par les acquéreurs.

SoftPOS et Tap to Pay : le smartphone devient terminal

Le SoftPOS transforme un smartphone ou une tablette standard en terminal d'acceptation sans contact, sans aucun matériel additionnel. L'application certifiée lit les cartes et wallets via le NFC de l'appareil. Le cadre de sécurité est le standard PCI MPoC (Mobile Payments on COTS, publié fin 2022), qui succède aux standards SPoC et CPoC en couvrant la saisie du PIN sur l'écran du téléphone.

Apple Tap to Pay sur iPhone, disponible en France depuis 2023 et distribué via Adyen, SumUp, Revolut, myPOS ou Worldline, et ses équivalents Android abaissent le seuil d'équipement d'un point d'acceptation. Un artisan encaisse avec son téléphone après quelques minutes d'inscription, sans achat de matériel. La saisie du PIN à l'écran lève la limite des 50 €, au-delà de laquelle les montants sont acceptés avec PIN ou wallet (CDCVM).

Le sans contact : standard de fait de la proximité

Techniquement, le sans contact repose sur ISO/IEC 14443 (couche radio) et les kernels EMV contactless propres à chaque scheme, embarqués dans le terminal. L'échange est une transaction EMV complète, cryptogramme dynamique inclus. La communication radio dure ~300 à 500 ms.

La DSP2 encadre le sans contact carte par des soft limits. Au-delà d'un cumul (150 €) ou d'un nombre de transactions consécutives (5) sans authentification, le terminal exige le PIN. Le paiement mobile y échappe grâce au CDCVM, la biométrie valant authentification forte à chaque transaction, sans plafond. Sur les paniers élevés, le paiement mobile s'exécute donc sans saisie de code, ce qui explique sa progression aux dépens de la carte physique.

Protocoles et normes : de CB2A à nexo et CB6

La monétique française repose sur un empilement normatif précis. EMV régit le dialogue carte-terminal, et le référentiel CB5.5A l'agrément des terminaux CB. CB2A porte les échanges terminal-acquéreur, autorisation en ligne et télécollecte, tandis que Concert porte le dialogue caisse-terminal. Cet héritage domestique migre vers CB6, la nouvelle génération alignée sur les standards nexo, fondés sur ISO 20022. Les mêmes messages valent alors dans toute l'Europe, et les protocoles nationaux propriétaires disparaissent.

MTI  0100                      Message type : demande d'autorisation
DE2  4970 10xx xxxx 9012       PAN (ou token) du porteur
DE3  000000                    Code traitement : achat de biens/services
DE4  000000004250              Montant : 42,50 EUR (12 chiffres, centimes)
DE22 051                       Mode d'entree : 05 = puce (ICC) avec PIN
                               (07x = sans contact, 90x = piste)
DE41 TPE00042                  Identifiant du terminal
DE42 3560001234500             Numero de contrat commercant (SIRET-like)
DE55 9F26 08 A1B2C3D4E5F60708  Donnees EMV, dont l'ARQC :
                               cryptogramme calcule par la puce,
                               verifie par l'emetteur -> anti-clonage

--- Reponse emetteur (0110) ---
DE39 00                        Code reponse : 00 = acceptee
                               (05 = refus generique, 51 = plafond/provision,
                                55 = PIN errone, 54 = carte expiree)
DE38 A1B2C3                    Numero d'autorisation a imprimer sur le ticket

La certification d'un terminal s'étage en trois niveaux. EMV Level 1 couvre la couche physique et le transport, en contact et en sans contact, Level 2 le kernel applicatif, Level 3 les tests de bout en bout avec l'acquéreur et le scheme. Chaque évolution de référentiel, dont la migration CB5.5A → CB6, déclenche des vagues de re-certification du parc. Fabricants, acquéreurs et grands commerçants y consacrent des budgets industriels étalés sur plusieurs années.

La monétique intégrée : quand la caisse pilote le TPE

La monétique intégrée désigne le montage dans lequel le logiciel de caisse (ECR/POS) envoie le montant au terminal et récupère le résultat, sans aucune ressaisie. Le commerce organisé fonctionne sur ce modèle, à la différence du TPE autonome. En France, ce dialogue passe historiquement par le protocole Concert (V3.1/V3.2) sur liaison série ou IP, remplacé progressivement par nexo Retailer.

• Zéro ressaisie : suppression des erreurs de montant, gain de 5 à 10 secondes par encaissement.
• Réconciliation : chaque paiement est rattaché à un ticket de caisse, ce qui est indispensable pour rapprocher journal de vente, télécollecte et versements acquéreur.
• Multi-lane : en grande distribution, un concentrateur monétique mutualise les autorisations de dizaines de caisses, avec règles de routage multi-acquéreurs.

Acquisition proximité vs vente à distance

L'acquisition se divise en deux régimes contractuels et techniques distincts. La proximité, dite card-present, désigne les transactions où carte et porteur sont physiquement présents et où le dialogue suit EMV. La vente à distance, dite card-not-present, couvre le e-commerce et le MOTO, c'est-à-dire les commandes reçues par courrier ou par téléphone. Leurs profils de risque sont radicalement différents. Un même commerçant omnicanal signe souvent deux contrats d'acceptation distincts, avec des conditions propres.

Ces ordres de grandeur proviennent des rapports annuels de l'OSMP (Observatoire de la sécurité des moyens de paiement, Banque de France). La proximité EMV française affiche durablement l'un des taux de fraude les plus bas du monde. La VAD, elle, concentre l'essentiel de la fraude résiduelle malgré la généralisation de 3DS2.

Pourboires et cashback au point de vente

Le recul des espèces a fait du pourboire par carte un sujet monétique à part entière. Deux implémentations coexistent. L'ajout du pourboire avant autorisation, où le serveur saisit le total sur un écran de sélection du TPE, est le standard en France. Le top-up post-autorisation ajuste le montant à la capture, usage courant aux États-Unis mais encadré par les schemes en Europe. Les SmartPOS et SoftPOS ont banalisé les écrans de suggestion (5/10/15 % ou montants fixes), avec un effet mesurable à la hausse sur le taux de pourboire.

En 2022, la France a instauré une exonération fiscale et sociale des pourboires versés par carte aux salariés de moins de 1,6 SMIC. Les lois de finances successives l'ont reconduite depuis. Le dispositif, pensé pour compenser la disparition de la monnaie de poche, n'est donc pas permanent, et sa reconduction est à vérifier à chaque loi de finances.

Le cashback au point de vente consiste, pour le porteur, à retirer des espèces à la caisse à l'occasion d'un achat par carte. La pratique est légale en France depuis la transposition de la DSP2 et encadrée par le décret de décembre 2018 :

• réservé aux paiements par carte accompagnant un achat réel de biens ou services (pas de cashback « sec ») ;
• achat minimal de 1 €, montant d'espèces rendu plafonné à 60 € ;
• service optionnel pour le commerçant, qui doit afficher les conditions ; interdit avec les instruments de paiement anonymes (cartes prépayées non nominatives).