🚇 Le paiement dans les transports

Deux architectures : la carte qui porte la valeur, le compte qui la calcule

La billettique désigne l'ensemble des supports, des équipements et des systèmes qui servent à vendre un titre de transport, à le contrôler et à en encaisser le prix. Les exploitants de réseaux l'ont construite avant que l'industrie du paiement ne s'intéresse à ce marché. La contrainte venait du lieu de l'encaissement. Un portique absorbe un flux continu de voyageurs, alors qu'une transaction bancaire ordinaire reste trop lente pour ce rythme. Les exploitants ont donc émis leur propre monnaie, sur leur propre support, avec leur propre technologie sans contact. Octopus ouvre la voie à Hong Kong en 1997, Suica au Japon en 2001, EasyCard à Taïwan en 2002, T-money en Corée du Sud en 2004.

Deux familles d'architecture coexistent. Dans le modèle card-centric, la valeur monétaire est inscrite dans la puce du support, et le portique débite la carte hors ligne, sans interroger aucun système distant. Dans la billettique adossée au compte (account-based ticketing), la carte ne porte qu'un identifiant, et le prix se calcule au back-office après le voyage. Le lieu où le prix est déterminé sépare ces deux familles. Il commande ensuite la tarification praticable, le partage du risque et la nature des supports acceptés.

La bascule vers le compte relève d'une évolution des coûts plus que d'une innovation conceptuelle. Elle est devenue opérable quand le coût de la connectivité et du stockage a chuté. Un portique remonte désormais ses validations en continu. Un back-office recalcule chaque nuit le prix de dizaines de millions de trajets. La carte bancaire sans contact est arrivée dans ce contexte, où elle remplit la fonction d'un support d'identification et non celle d'un titre de transport.

La contrainte du portique : quelques centaines de millisecondes

Un portique de contrôle est un équipement de passage qui autorise ou refuse l'accès au réseau après lecture d'un support. Il se dimensionne en passages par minute. Son temps de cycle fixe la capacité de la station. Le budget de temps admis dans la profession se situe sous les 500 millisecondes, présentation du support comprise, alors que les technologies déployées visent nettement moins. Sony annonce environ 0,1 seconde par transaction pour FeliCa, socle de Suica et de PASMO. Bank Indonesia affiche environ 0,3 seconde pour QRIS Tap, l'extension sans contact du QR indonésien lancée en 2025.

Ce budget de temps exclut l'autorisation en ligne. Une demande d'autorisation carte consomme déjà 100 à 300 millisecondes de décision chez l'émetteur, avant tout temps de transport réseau, et la chaîne complète se compte en une à deux secondes. La chaîne complète consomme ainsi deux à quatre fois le budget total du portique. Appliqué au flux d'une station de correspondance à l'heure de pointe, cet écart allonge chaque passage au point que la file cesse de s'écouler au rythme des arrivées.

• La mise sous champ et l'anticollision du support, à 13,56 MHz, avec ISO/IEC 14443 pour EMV et MIFARE et JIS X 6319-4 pour FeliCa.
• La sélection de l'application et l'échange cryptographique avec la puce.
• La lecture de l'identifiant de paiement, puis son hachage en identifiant de compte pour les systèmes adossés au compte.
• La consultation d'une liste de refus (deny list) stockée localement dans le portique.
• La décision d'ouverture, et l'écriture de la validation dans une file remontée ensuite au back-office.

Le mode dégradé appartient à la conception du système et non au traitement des incidents. Un portique coupé de son back-office doit continuer d'ouvrir. Il s'appuie alors sur une liste de refus vieille de quelques minutes à quelques heures, et il conserve ses validations dans une file locale jusqu'au rétablissement du lien. L'exploitant paramètre la durée pendant laquelle cet état reste toléré, et cette durée détermine directement l'exposition financière acceptée.

Londres : la boucle ouverte et ce qu'elle a réellement supprimé

Oyster est le support sans contact propriétaire de Transport for London, mis en service le 30 juin 2003 sur une puce MIFARE et une architecture fournie par Cubic Transportation Systems. Plus de 43 millions de cartes sont émises à la mi-2012, et plus de 80 % des trajets de transport public londoniens sont réglés par ce support à cette date (TfL, 2012). Oyster reste une carte à fabriquer, à distribuer, à recharger et à administrer. L'ouverture aux cartes de paiement bancaires, engagée sur les bus en décembre 2012, vise ces quatre postes de dépense.

Les économies attendues de la boucle ouverte apparaissent dans le compte d'exploitation, poste par poste. L'exploitant ne fabrique plus de cartes et n'entretient plus de distributeurs automatiques dans chaque station. Il ne conserve plus de fonds prépayés à sécuriser puis à rembourser. Aucun réseau de rechargement n'est plus rémunéré. Le voyageur occasionnel, et le visiteur en particulier, n'achète plus rien avant d'entrer dans le réseau.

• Le voyageur ne choisit plus un titre : il valide, et le système lui applique après coup le tarif le plus favorable auquel il avait droit.
• L'exploitant perd la recette d'avance : plus de solde chargé, plus de titre acheté et non consommé.
• L'émetteur bancaire entre dans la chaîne : il porte le compte, la tokenisation et le service de contestation.
• Le back-office devient le système de recettes : sa disponibilité conditionne la facturation, plus l'ouverture des portiques.

Le tarif plafonné, calculé après le voyage

Le plafonnement (capping) désigne la limitation automatique du montant facturé à un voyageur sur une période donnée, une fois toutes ses validations connues. Il découle directement de la billettique adossée au compte, parce que le back-office est le seul point du système qui connaisse l'ensemble des trajets de la période. Transport for London l'applique dans les zones 1 à 9. Le tarif à l'usage y est plafonné. Un voyageur circule autant qu'il le souhaite sur une journée ou sur une semaine du lundi au dimanche, sans payer davantage. Aucun abonnement n'est acheté au préalable, et le système applique après coup le tarif le plus favorable auquel le voyageur avait droit.

Ce calcul repose sur une condition technique unique. Le système doit rattacher plusieurs validations à un même voyageur, et l'identifiant dérivé du support de paiement sert de pivot à ce rattachement. Transport for London en tire une consigne d'exploitation explicite. Le même support doit être présenté à l'entrée et à la sortie, car l'usage successif d'un téléphone puis d'une montre sur un même trajet conduit à une facturation supérieure.

Le plafonnement transfère la charge de l'optimisation tarifaire du voyageur vers l'exploitant. Aucun abonnement n'est plus acheté par précaution. Le plein tarif n'est plus acquitté par méconnaissance de la grille. La recette baisse mécaniquement sur les voyageurs qui sous-optimisaient leur dépense, alors qu'elle progresse sur ceux que la complexité tarifaire dissuadait. L'ampleur respective de ces deux effets varie avec la structure de la clientèle, et l'arbitrage se fait donc sur les données de fréquentation propres à chaque réseau.

• Un identifiant de compte stable dans le temps, résistant au renouvellement de carte et au changement d'appareil.
• Une fenêtre de calcul fermée : la journée d'exploitation démarre rarement à minuit, et le décalage doit être opposable.
• Une capacité à rejouer le calcul quand une validation arrive en retard depuis un portique isolé.
• Une politique de correction : plafond facturé deux fois, sortie manquante, validation dupliquée sur un même portique.
• Une trace consultable par le porteur, trajet par trajet, sans laquelle aucune contestation ne se défend.

Le débit différé : le voyage est consommé avant d'être payé

Le débit différé désigne le prélèvement du prix des trajets après leur exécution, à la clôture d'une période d'agrégation. En boucle ouverte, l'exploitant fournit le service avant de connaître la solvabilité de la carte présentée. Le portique n'interroge pas l'émetteur. Il ouvre sur la foi d'une liste locale, et la demande d'autorisation n'intervient qu'après la clôture de la période. Entre ces deux moments, l'exploitant porte une créance sur un porteur dont il ignore l'identité. Les seules données dont il dispose sont un numéro de carte tronqué et un horodatage.

Ce risque porte un nom d'exploitation, le premier voyage. Une carte volée, expirée, sans provision ou simplement inconnue franchit le portique une première fois sans obstacle, faute de contrôle en ligne au moment du passage. Les dispositifs de maîtrise du risque visent donc à empêcher le deuxième passage et à borner le montant que le premier aura coûté.

• Contrôle de statut à la première utilisation : une demande d'autorisation à montant nul ou minimal, déclenchée dès la première validation connue, vérifie que la carte existe et n'est pas bloquée.
• Liste de refus embarquée : mise à jour poussée vers l'ensemble du parc de portiques ; le délai de propagation mesure l'exposition réelle.
• Plafond d'exposition par carte : au-delà d'un encours non réglé, le passage est refusé jusqu'à régularisation.
• Clôture rapprochée : plus la période d'agrégation est courte, plus la perte potentielle est faible, et plus le coût d'acceptation par validation remonte.
• Recouvrement et blocage : l'impayé bascule l'identifiant en liste de refus, et le porteur doit régler avant de revoyager.

IDENTIFIANT DE COMPTE : hash(PAN|expiry) -> a9f3...c210
JOURNEE D'EXPLOITATION : 04:30 J -> 04:29 J+1

  07:12  ENTREE   station A     validation hors ligne, liste de refus OK
  07:41  SORTIE   station B     trajet 1 reconstitue -> tarif plein
  12:55  ENTREE   station B     validation hors ligne
  13:10  SORTIE   station C     trajet 2 reconstitue -> tarif plein
  18:30  ENTREE   station C     portique isole : validation mise en file
  19:02  SORTIE   station A     trajet 3 -> remonte a 19:40, hors temps reel

CALCUL DE FIN DE JOURNEE (J+1, apres cloture)
  somme des trajets ................ 3 trajets au barème
  plafond journalier applique ...... oui -> montant ramene au plafond
  MONTANT A AUTORISER .............. plafond journalier de la zone parcourue

  -> 1 autorisation, 1 presentation en compensation, 1 ligne au releve
  -> plus de 21 heures entre la 1re validation et l'interrogation de l'emetteur

Le rangement de ces recettes suit la nomenclature des codes d'activité marchand (ISO 18245). Le transport de voyageurs urbain et suburbain, ferries inclus, relève du 4111 ; le ferroviaire de voyageurs du 4112 ; les lignes d'autocars du 4131. Les taxis et voitures de tourisme avec chauffeur portent le 4121, les péages le 4784. Ce code produit des effets contractuels directs. Il commande le barème d'interchange applicable, l'éligibilité aux dispenses de vérification du porteur, et le traitement réservé aux contestations.

La diffusion du modèle londonien

La diffusion du modèle londonien a emprunté la voie du transfert industriel plutôt que celle de l'imitation. Un même système est repris chez un autre exploitant, par le fournisseur qui l'a construit et sous licence de celui qui l'a commandé. Cubic Transportation Systems, maître d'œuvre d'Oyster, a construit OMNY à New York sur une technologie sous licence de Transport for London. Cubic exploite également le système Opal à Sydney. Trois réseaux parmi les plus denses du monde partagent donc la même filiation technique. Le marché des intégrateurs capables de livrer une billettique ouverte compte, dans les faits, un petit nombre d'acteurs.

Trois conditions commandent l'ouverture d'un réseau. Le taux d'équipement en cartes sans contact acceptées localement doit être élevé, faute de quoi l'exploitant maintient deux systèmes au lieu d'un seul. Le prix moyen du trajet doit supporter une commission d'acceptation, même appliquée à un montant agrégé. La tarification doit enfin être calculable après coup, ce qui exclut les grilles reposant sur une déclaration préalable du trajet. Un réseau dont le tarif dépend d'une zone déclarée au moment de l'achat ne se convertit donc pas sans refonte de sa grille.

Les boucles fermées asiatiques, sorties du transport

Une boucle fermée désigne un système de paiement dont l'émetteur, le support et le réseau d'acceptation relèvent d'un même opérateur, sans intervention d'un réseau de cartes international. L'Asie orientale a suivi avec ces systèmes une trajectoire inverse de celle de Londres. Au lieu de faire entrer la carte bancaire dans le transport, elle a étendu l'usage de la carte de transport au-delà de son domaine d'origine. Octopus, Suica, EasyCard et T-money sont devenues des monnaies électroniques de proximité, acceptées en supérette, en distributeur automatique, en cantine et en parking. Le trajet domicile-travail leur assure une fréquence d'usage qu'aucun instrument bancaire n'atteint sur ces marchés.

L'interopérabilité repose ici sur un accord entre exploitants et non sur une norme de carte bancaire. Le réseau des dix cartes IC transport interopérables unit depuis 2013 JR East, JR West, JR Central, JR Kyushu, JR Hokkaido et les opérateurs privés qui émettent les autres cartes du groupe. Ces dix cartes sont Suica, PASMO, ICOCA, TOICA, SUGOCA, Kitaca, manaca, PiTaPa, nimoca et はやかけん. Une carte achetée à Fukuoka fonctionne à Sapporo, et le dispositif repose intégralement sur FeliCa, sans aucun QR. PiTaPa, dans le Kansai, constitue la seule exception du groupe. Il fonctionne en post-payé, avec une interopérabilité partielle hors transport.

Le support s'est ensuite dématérialisé sans changement d'architecture. Smart Octopus entre dans Samsung Pay en 2017, dans Apple Pay et Huawei Pay en 2020, puis dans Google Wallet en 2024. JR East revendique 33 millions de comptes Mobile Suica et a lancé en mars 2025 Welcome Suica Mobile pour iPhone, à destination des visiteurs, avec une validité de 180 jours. À Taïwan, l'émetteur d'EasyCard exploite désormais 悠遊付 (EasyWallet), portefeuille agréé qui règle depuis le téléphone le MRT de Taipei et de New Taipei, les bus et YouBike.

Une contrainte matérielle sépare durablement ces marchés du reste du monde. Un terminal EMV sans contact importé d'Europe ou d'Amérique du Nord ne lit ni Suica, ni Octopus, ni les schemes FeliCa post-payés iD et QUICPay. L'acceptation exige un lecteur homologué FeliCa. Le renouvellement du parc de lecteurs forme donc le premier poste de coût matériel d'une ouverture japonaise, et il s'évalue avant l'engagement du déploiement.

Modèles d'exploitation comparés : qui tient le compte, qui porte l'argent

Un modèle d'exploitation désigne ici la répartition, entre l'exploitant du réseau et les acteurs du paiement, de l'émission du support, de la détention des fonds et du coût de chaque validation. Quatre modèles se partagent le monde du paiement dans les transports, et la technologie du support n'est pas le premier critère qui les distingue. Trois caractéristiques les séparent. La première est l'identité de celui qui détient la relation avec le voyageur, la deuxième le lieu où se trouve l'argent avant le trajet, la troisième la répartition du coût unitaire de chaque validation.

La boucle ouverte remplace le float par une structure de coûts sans immobilisation. L'exploitant ne fabrique aucun support, n'en distribue aucun et ne rembourse aucun solde. Il acquitte une commission sur un montant agrégé. Le risque d'impayé qu'il porte est borné par sa liste de refus. Le point de bascule entre les deux modèles dépend surtout du prix moyen du trajet et de la part des voyageurs occasionnels. Un réseau à tarif bas et à clientèle d'abonnés a beaucoup à perdre en ouvrant, quand un réseau touristique à tarif élevé a beaucoup à gagner.

• La période d'agrégation arbitre entre coût d'acceptation et exposition : plus elle est longue, moins la part fixe pèse, plus l'impayé potentiel grossit.
• Le code d'activité marchand commande le barème d'interchange ; un rangement erroné se paie sur chaque transaction, pendant des années.
• La part des cartes étrangères détermine le coût réel : un réseau touristique subit des barèmes interrégionaux sans rapport avec les barèmes domestiques.
• Le taux de sorties manquantes produit à la fois du tarif maximal facturé et des contestations ; il se mesure station par station, pas en moyenne réseau.
• Le délai de propagation de la liste de refus est la mesure directe de la fraude tolérée, et le seul chiffre que l'exploitant contrôle entièrement.

Ce qu'un exploitant doit verrouiller avant d'ouvrir

Un système de recettes désigne l'ensemble des règles et des traitements par lesquels un exploitant détermine, facture et recouvre le prix des trajets. L'ouverture d'un réseau aux cartes bancaires constitue un projet de cette nature. L'acceptation des paiements n'en forme qu'un maillon. Les chantiers qui font échouer ces programmes relèvent rarement de l'électronique des équipements. Ils portent sur la tarification, sur la production de la preuve d'un trajet et sur le service client.

• Rendre la grille tarifaire calculable après coup. Toute règle exigeant une déclaration préalable du trajet doit disparaître ou être reformulée en règle de plafonnement.
• Définir la journée d'exploitation et la publier. Une journée qui commence à 4 h 30 doit être opposable au porteur qui conteste un plafond.
• Fixer le délai de propagation cible de la liste de refus, et le mesurer en production. C'est le seul indicateur qui borne la fraude.
• Choisir la période d'agrégation en connaissance de l'arbitrage coût d'acceptation contre exposition, et la réviser sur données réelles.
• Contractualiser le code d'activité marchand avec l'acquéreur, et vérifier son application transaction par transaction dès les premières remises.
• Publier un détail de trajets consultable par identifiant de carte, sans création de compte préalable, faute de quoi aucune contestation ne se défend.
• Instrumenter le taux de sorties manquantes par station et par portique, avant l'ouverture commerciale et non après.
• Maintenir un instrument non bancaire pour les tarifs sociaux, les mineurs et les voyageurs sans carte, tant qu'aucune alternative n'est réellement universelle.

Le partage géographique reste net en 2026. L'Asie orientale a conservé ses boucles fermées et les a étendues au commerce. L'Europe et l'Amérique du Nord ont ouvert leurs portiques aux cartes bancaires. L'Asie du Sud et l'Asie du Sud-Est arbitrent entre la carte adossée à un scheme national et le QR accéléré. Aucun de ces choix ne se défait à bas coût. Le remplacement d'un support de validation reste un chantier de parc, alors que le changement d'architecture de tarification impose de refondre le calcul des prix, la facturation et le traitement des contestations.