🏧 Les terminaux et l'encaissement en magasin dans le monde

EMV : 97 % du monde, et des poches entières restées dehors

EMV désigne les spécifications de la carte à puce de paiement. L'acronyme vient d'Europay, Mastercard et Visa, les trois réseaux qui ont publié les premières spécifications communes en 1996. La gouvernance a été transférée à EMVCo, constituée en 1999 et détenue aujourd'hui à parts égales par American Express, Discover, JCB, Mastercard, UnionPay et Visa. EMVCo publie les référentiels puce à contact, puce sans contact, QR, tokenisation et 3-D Secure, libres de redevance (EMVCo, 2026).

Au quatrième trimestre 2025, 97 % des transactions par carte en présence sont des transactions EMV (EMVCo). Ce taux recouvre des migrations qui ne se sont pas décidées sur le terrain technique, mais sur celui du transfert de responsabilité. Cette règle attribue la perte née d'une fraude à celle des deux parties qui ne s'est pas équipée pour la puce. Un commerçant dont le terminal ne lit que la piste supporte donc la fraude qu'une lecture de puce aurait écartée. Ce mécanisme, et lui seul, a fait bouger les parcs. Le transfert a pris effet à une date propre à chaque marché, ce qui a échelonné les migrations nationales.

Le taux mondial de 97 % porte sur les seules transactions par carte, et non sur l'ensemble des paiements de proximité. Un pays dont le parc est intégralement migré peut donc rester marginal en volume carte. L'Inde, l'Indonésie, le Nigéria et le Kenya encaissent aujourd'hui la plus grande part de leurs paiements de proximité hors du terminal carte. Le QR et les réseaux d'agents y ont pris la place. Un plan d'acceptation dimensionné sur le seul taux de migration y engage donc une dépense sans rapport avec les volumes réellement encaissés par carte. La dernière section de ce dossier traite ce cas.

Le sans contact et ses plafonds, pays par pays

Le paiement sans contact désigne une transaction où la carte ou l'appareil mobile communique avec le terminal par radio, à quelques centimètres, sans insertion ni lecture de piste. La couche radio relève d'ISO/IEC 14443, et le traitement applicatif des kernels EMV contactless embarqués dans le terminal, un par réseau accepté. L'échange dure quelques centaines de millisecondes et constitue une transaction EMV complète, cryptogramme dynamique compris. Cette couche radio est la même pour toutes les cartes EMV sans contact. Ce qui varie d'un pays à l'autre est le plafond au-delà duquel une vérification du porteur devient obligatoire, ainsi que l'autorité qui le fixe.

Trois régimes de fixation coexistent. Dans l'Espace économique européen, le plafond est réglementaire et découle des normes techniques de la DSP2 sur l'authentification forte. Au Royaume-Uni, il est fixé par le régulateur de conduite, la FCA, qui a repris et relevé le même mécanisme après le Brexit. Ailleurs, il est fixé par la banque centrale ou directement par le scheme domestique, l'opérateur du réseau national de cartes. Cette source commande le délai de révision. La modification d'un plafond fixé par un scheme prend quelques mois, quand celle d'un plafond inscrit dans un texte réglementaire se compte en années.

• Le compteur cumulé vit dans la carte, pas dans le terminal. Il se remet à zéro à la première transaction avec saisie du code. Un porteur qui enchaîne les petits montants finit par se voir réclamer son code sans que le commerçant ait rien changé.
• Le mode hors ligne n'est pas universel. BankAxept, en Norvège, fonctionne hors ligne et sert même de dispositif désigné de distribution d'espèces en magasin (Norges Bank, décembre 2025). Un terminal qui exige la ligne à chaque opération ne convient pas aux mêmes usages.
• Le plafond du scheme domestique et celui du réseau international diffèrent souvent sur la même carte co-badgée. Le porteur ne voit qu'un refus ; le paramétrage explique tout.
• Les automates suivent des règles propres. Transport, péage, distributeurs automatiques : les réseaux y admettent des parcours dégradés que le commerce général ne connaît pas.

Ce qu'un terminal doit savoir lire selon le pays

Un lecteur sans contact européen ou américain gère les types radio A et B d'ISO/IEC 14443, ce qui couvre les cartes EMV et les portefeuilles mobiles qui les émulent. Cette couverture ne suffit pas partout. Deux marchés ont bâti leur acceptation de proximité sur des technologies radio distinctes, et un troisième sur la lecture d'un code affiché à l'écran.

Le Japon repose sur FeliCa, technologie développée par Sony, normalisée sous JIS X 6319-4 et connue dans l'univers NFC comme le type F. FeliCa transmet à 212 ou 424 kbit/s, débit retenu pour tenir la cadence des portiques du métro de Tokyo. Cette contrainte a fondé l'écosystème japonais. Suica, iD et QUICPay en dépendent. Un terminal EMV contactless standard importé d'Europe ne lit aucun des trois, ce qui impose un lecteur homologué FeliCa. Ce lecteur constitue le premier poste de coût matériel d'une ouverture japonaise, et son choix intervient au moment de la sélection du matériel, non au moment du déploiement.

La Corée du Sud a suivi un chemin inverse. Samsung Pay y a démocratisé le MST, qui émulait le champ magnétique d'une piste et fonctionnait donc sur des terminaux dépourvus de NFC. Le portefeuille mobile a couvert un parc ancien sans le remplacer, jusqu'à ce que Samsung retire le module MST à partir du Galaxy S21, en 2021. Le parc coréen a dû se convertir au NFC dans un délai court, et l'arrivée d'Apple Pay a rendu visible ce retard d'équipement.

PCI PTS, EMV L1/L2/L3 et agrément de scheme : trois portes, pas une

Un terminal de paiement détient des clés cryptographiques et protège la saisie du code porteur. Il est soumis à trois familles d'homologation distinctes, que trois autorités délivrent sur des cycles de révision qui ne coïncident pas. Aucune ne remplace les autres. La confusion entre les trois est l'erreur la plus commune des projets d'acceptation multi-pays, alors que les interlocuteurs, les délais et les portées géographiques en diffèrent.

La sécurité matérielle relève du PCI Security Standards Council, à travers le référentiel PCI PTS POI, pour PIN Transaction Security, Point of Interaction. Il porte sur la résistance à l'intrusion physique, la protection du clavier, la gestion des clés et la détection d'ouverture du boîtier. La version courante du référentiel est la 7.0 (PCI SSC, bibliothèque documentaire, consultée en août 2026). Les agréments sont datés et expirent. Un terminal encore vendu peut relever d'une version dont la fenêtre d'agrément se referme, ce qui interdit les nouveaux déploiements sans interdire l'exploitation du parc existant.

SoftPOS, MPoC et Tap to Pay : le téléphone devient le terminal

Le SoftPOS transforme un smartphone ordinaire en point d'acceptation sans contact, sans aucun matériel additionnel. L'application certifiée lit les cartes et les portefeuilles par le NFC de l'appareil. Le cadre de sécurité est le standard PCI MPoC, pour Mobile Payments on COTS, c'est-à-dire commercial off-the-shelf. Le PCI Security Standards Council l'a publié en 2022. Ce standard consolide deux référentiels antérieurs, SPoC pour la saisie du code et CPoC pour le sans contact, dans un cadre unique qui autorise les deux sur le même appareil (PCI SSC).

L'implémentation la plus visible est Tap to Pay on iPhone, d'Apple. Elle est disponible dans plus de soixante pays et territoires, l'intégration passant obligatoirement par un prestataire de paiement certifié (Apple, developer.apple.com/tap-to-pay/regions, consulté en août 2026). La couverture est presque intégrale en Europe, Royaume-Uni, Suisse, Norvège et Ukraine compris. Elle reste très partielle en Asie-Pacifique, où figurent l'Australie, Hong Kong, le Japon, la Malaisie, la Nouvelle-Zélande, Singapour et Taïwan. L'Inde, la Chine continentale, l'Indonésie, la Thaïlande et la Corée du Sud n'y figurent pas.

Ces absences ne traduisent pas un retard de déploiement. Ce sont des marchés où l'acceptation de proximité s'est structurée ailleurs que sur le sans contact carte. Cette fonction y est assurée par le QR en Inde et en Indonésie, par les VAN et les parcours locaux en Corée, par les portefeuilles fermés en Chine. Un projet d'équipement fondé sur l'hypothèse d'une disponibilité mondiale se heurte à cette géographie. La liste des pays couverts publiée par le fournisseur la donne marché par marché, et cette vérification préalable prend dix minutes.

Les protocoles nationaux entre la caisse et le terminal

Le protocole caisse-terminal désigne le dialogue entre le logiciel d'encaissement du commerçant et le boîtier de paiement, distinct du message d'autorisation échangé avec l'acquéreur. Ce message d'autorisation reste ISO 8583 dans l'immense majorité des marchés, avec un dialecte par réseau. Le protocole caisse-terminal, lui, n'obéit presque jamais à une norme mondiale. Il est national, parfois propriétaire, souvent hérité. Son adaptation constitue le poste le plus coûteux d'un déploiement international, et les cahiers des charges le mentionnent rarement.

Deux marchés portent cette particularité jusqu'à l'organisation du secteur. En Corée du Sud, une couche d'intermédiaires agréés s'intercale entre le commerçant et les émetteurs, les sociétés VAN, soit Nice Information & Telecom, KIS Information, KICC et Smartro, gérant l'autorisation et la remise. Un intégrateur qui encaisse en Corée passe par un VAN pour la proximité, ou par un PG pour la vente à distance, le raccordement direct restant fermé. Au Japon, le réseau d'autorisation historique est CAFIS, exploité depuis 1984 par NTT Data, un opérateur télécom et non les banques. CARDNET, société commune du secteur créée en 1995, en constitue l'alternative. Toute intégration carte japonaise passe par l'un des deux.

Une démarche de normalisation européenne existe sous le nom de nexo. L'association du même nom publie des protocoles d'acceptation fondés sur ISO 20022, avec l'ambition de rendre interchangeables terminal, caisse et acquéreur en Europe. L'adoption avance par les référentiels nationaux plutôt que par le marché, comme le montre la norme française CB 6.0, dite FRV6, qui s'appuie sur ces standards et s'impose aux nouveaux terminaux depuis le 1er janvier 2025. La convergence est donc réelle. Elle reste limitée à l'Europe et progresse au rythme des référentiels nationaux qui reprennent ces protocoles.

Quand l'État s'invite dans la caisse

Dans une partie croissante de l'Europe du Sud et des Balkans, le terminal a cessé d'être un instrument purement commercial pour devenir un organe déclaratif. Il est rattaché à la caisse enregistreuse. L'administration fiscale en assure la surveillance. L'objectif poursuivi est identique d'un pays à l'autre, rapprocher automatiquement les encaissements passés par le terminal et les recettes déclarées à l'administration. Les modalités techniques, les échéances et les sanctions diffèrent en revanche entièrement d'un État à l'autre.

Le régime grec porte sur la couche logicielle plutôt que sur le matériel installé au comptoir. Le raccordement à IRIS n'impose pas de remplacer les terminaux, alors que le logiciel d'encaissement, lui, doit intégrer ce mode de paiement. Un commerçant étranger qui crée une entité grecque relève du même régime que les commerçants locaux. La sélection d'un prestataire porte donc d'abord sur sa capacité à prendre en charge IRIS Commerce et le dispositif AADE, la comparaison tarifaire n'intervenant qu'ensuite.

Encaisser là où le terminal n'est jamais arrivé

Une part considérable du commerce mondial encaisse sans terminal carte, et n'y viendra pas, deux modèles y ayant pris la place. Le QR interopérable ramène le coût du point d'acceptation à celui d'un autocollant imprimé, le commerçant n'ayant ni boîtier à financer ni contrat de location à souscrire. Le réseau d'agents confie la fonction de point de service financier à une personne équipée d'un téléphone. Les deux modèles ont atteint l'échelle nationale là où le déploiement de terminaux n'était jamais parvenu.

L'Inde en donne la démonstration la plus nette. Le Payment Systems Report 2026 de la Reserve Bank of India relève un recul simultané des distributeurs bancaires, des terminaux de paiement et des micro-distributeurs. Pendant ce temps, le parc de QR UPI atteint 73,13 crore, soit environ 731 millions de points, en hausse de 7,8 % en six mois. Ces deux évolutions décrivent une substitution d'instrument, et non un défaut de déploiement du parc carte. L'acceptation indienne s'organise autour du QR statique et du boîtier sonore de confirmation, le Soundbox.

Ces normes reposent sur un socle commun, la spécification EMVCo QR Code, qui fixe la structure des données du code. Elles ne partagent ni la gouvernance ni les règles de tarification, chacune relevant de sa banque centrale ou de son opérateur national. L'Asie du Sud-Est y a ajouté l'interopérabilité transfrontalière. Les banques centrales de la zone ont raccordé leurs normes entre elles sous l'accord Regional Payment Connectivity. Les liaisons bilatérales sont opérées par NITMX, PayNet, ASPI, NETS, NAPAS, la National Bank of Cambodia et LAPNet. Un voyageur thaïlandais paie ainsi un marchand indonésien en scannant le QR local, depuis son application habituelle.

L'Afrique subsaharienne a suivi un autre chemin, celui de l'agent. Le réseau nigérian est passé de 83 560 agents en janvier 2019 à 1,92 million en août 2024 (SANEF / Central Bank of Nigeria). Les Guidelines for the Operations of Agent Banking in Nigeria du 6 octobre 2025 encadrent désormais cette croissance. Au Kenya, Kenswitch déclare 26 banques membres, plus de 2 500 distributeurs, environ 40 000 terminaux et 50 000 agents raccordés (Kenswitch, 2026). En Égypte, Aman, filiale de Raya Holding, revendique plus de 250 agences, plus de 200 000 marchands et 150 000 terminaux (Aman, 2026). L'agent couvre une gamme de services plus large que celle d'un terminal, puisque ce point de service traite aussi le dépôt, le retrait et le paiement de facture.

Ouvrir un pays : l'ordre des vérifications

Les projets d'acceptation internationale échouent rarement sur la carte elle-même, car les réseaux mondiaux fonctionnent partout et l'outillage des prestataires est mature. Ils échouent sur des obligations locales absentes du cahier des charges d'origine, et découvertes trop tard pour être absorbées. L'ordre des vérifications compte donc autant que leur contenu.

• Quel instrument porte réellement le paiement de proximité ? Carte, QR, agent, portefeuille fermé. La réponse commande tout le reste, et elle ne se déduit pas du PIB.
• Existe-t-il un scheme de débit domestique, et le contrat le couvre-t-il ? eftpos en Australie, Interac au Canada, girocard en Allemagne, Bancontact en Belgique, DinaCard en Serbie, MyDebit en Malaisie, NAPAS au Viêt Nam. Un contrat qui l'ignore refuse une part des porteurs locaux, au comptoir.
• Une couche d'intermédiation est-elle obligatoire ? VAN en Corée, Shva en Israël, Prosa ou E-Global au Mexique, Redsys en Espagne, NCCC à Taïwan. Cette question se pose avant le choix du terminal.
• Quels agréments matériels exige le marché, et jusqu'à quelle date sont-ils valables ? PCI PTS POI, EMV Level 1 et 2, puis l'agrément national. Demander les dates d'expiration, pas seulement l'existence du certificat.
• Le terminal a-t-il des obligations fiscales ? Appairage caisse en Italie, registre myAADE et IRIS en Grèce, interconnexion et déclaration ailleurs. La sanction frappe le commerçant, la responsabilité commerciale remonte au prestataire.
• Quelles familles radio faut-il lire ? FeliCa au Japon, Octopus à Hong Kong, QR partout où il domine. Ce point détermine la référence matérielle, donc le délai d'approvisionnement.
• Le SoftPOS est-il disponible et pertinent ? Vérifier la couverture du service, puis la structure du parc de téléphones du personnel. Les deux conditions doivent tenir ensemble.
• Qui est l'agrégateur local de référence ? Sur les marchés émergents, il est le point d'entrée technique réel. Son choix détermine la couverture, pas le contrat de scheme.