Accepter le QR de paiement. 7 chapitres et un QCM final.

Chapitre 1. Qualifier le rail avant de signer.

Un commerçant ne signe jamais avec une norme QR, mais avec un participant agréé (banque, établissement de paiement, émetteur de monnaie électronique) qui l'enrôle sur cette norme. Le premier acte du projet consiste donc à qualifier ce que le participant vous vend, non pas le code, mais le rail qui règle. De lui découlent l'irrévocabilité, le recours de votre client, l'heure du crédit et le poste de coût dominant.

Les huit questions à poser au participant, dans cet ordre

• Quel rail règle ce QR ? Virement instantané, carte, monnaie électronique ou mobile money. Tout le reste en découle.
• Le paiement est-il révocable ? Sur un rail A2A, non. Votre service client devra vivre avec cette réponse.
• À quelle heure le crédit est-il disponible ? Crédit instantané et disponibilité sont deux choses différentes selon les participants.
• Quel est le barème applicable, et qui le fixe ? Réglementé, interdit, plafonné ou libre ? La réponse change entièrement la négociation.
• La référence de rapprochement est-elle transportée ? Du générateur de QR jusqu'au fichier de règlement et au relevé.
• Comment s'exécute un remboursement ? Depuis la transaction d'origine, ou par saisie manuelle d'un alias bénéficiaire ?
• Quels plafonds s'appliquent ? Plafond réglementaire par transaction, plafonds propres au participant, plafonds de l'application payeuse.
• Le QR entrant étranger est-il accepté ? Depuis quels marchés, par quel corridor, et qui fixe le taux de change ?

Chapitre 2. Recetter un payload EMV QRCPS.

Le code affiché en vitrine est une chaîne de caractères lisible que vous devez savoir décoder, contrôler et archiver. La référence est la EMV® QR Code Specification for Payment Systems, publiée par EMVCo en deux volumes, tous deux en version 1.1 datée du 27 novembre 2020. Le mode marchand y encode un TLV positionnel : identifiant sur deux chiffres, longueur sur deux chiffres, valeur. Aucun secret, aucune signature. Le contrôle est donc entièrement de votre côté.

def tlv(payload: str):
    """Decoupe le TLV positionnel : 2 chiffres d'identifiant, 2 de longueur, la valeur."""
    i, champs = 0, []
    while i < len(payload):
        tag = payload[i:i + 2]
        longueur = int(payload[i + 2:i + 4])
        champs.append((tag, payload[i + 4:i + 4 + longueur]))
        i += 4 + longueur
    return champs


def crc16(data: str) -> str:
    """CRC-16/CCITT-FALSE : init 0xFFFF, polynome 0x1021, sans reflexion."""
    crc = 0xFFFF
    for octet in data.encode("ascii"):
        crc ^= octet << 8
        for _ in range(8):
            crc = ((crc << 1) ^ 0x1021) & 0xFFFF if crc & 0x8000 else (crc << 1) & 0xFFFF
    return format(crc, "04X")


# Le CRC porte sur TOUT le payload, "6304" inclus, les 4 caracteres de valeur exclus.
assert crc16(payload[:-4]) == payload[-4:].upper(), "CRC invalide : aucune app ne lira ce code"

champs = dict(tlv(payload))
assert champs["01"] in ("11", "12")        # 11 = statique, 12 = dynamique
assert len(champs["59"]) <= 25             # nom du commercant
assert len(champs["60"]) <= 15             # ville du commercant

Les contrôles à passer avant impression

Reste un dernier réflexe, souvent absent des projets, qui consiste à versionner le générateur de codes et à conserver, pour chaque support émis, la chaîne exacte et son empreinte. Un support contesté se prouve par cette chaîne, et sans elle vous ne pouvez pas établir que le code affiché en vitrine était bien le vôtre.

Chapitre 3. Trancher entre statique et dynamique, sur un calcul.

Le choix ne se décide pas à l'échelle de l'entreprise, mais point de vente par point de vente, et il se recalcule quand le profil de vente change. Un même réseau exploite très bien un chevalet imprimé sur ses kiosques et un code généré par la caisse dans ses magasins. La comparaison utile porte sur le volume à partir duquel le rapprochement manuel coûte plus cher que l'intégration.

Le calcul qui tranche

Cout mensuel du rapprochement manuel
  = encaissements QR par jour
  x part non appariee automatiquement
  x minutes de traitement par ecart
  x cout horaire charge / 60
  x jours d'ouverture par mois

Atelier. Hypotheses a REMPLACER par vos propres mesures :
  420 encaissements/jour x 22 % non apparies  = 92 ecarts/jour
  92 ecarts x 3 min                            = 276 min/jour, soit 4 h 36
  4,6 h x 26 jours d'ouverture                 = 120 h/mois, sur UN point de vente

A opposer a :
  cout d'integration caisse (une fois, amorti sur la duree du contrat)
  + cout unitaire eventuel du QR dynamique (par transaction)
  - ecarts evites (rapprochement un pour un, des le premier jour)
  - pertes evitees sur montants sous-payes et supports substitues

• Un chevalet de secours scellé par point de vente, numéroté, rangé hors vue et sorti sur décision du responsable
• Un plafond de montant en mode dégradé, au-delà duquel la vente attend ou bascule sur un autre moyen
• Un journal papier horodaté : heure, montant, nom affiché par l'application du client, initiales de l'agent
• Un double contrôle en fin de service entre le journal et les notifications reçues
• Une remise en service formelle : rangement du chevalet, scellé consigné, reprise du mode normal

La bascule se conduit progressivement, en commençant par les points de vente à ticket élevé, où un montant sous-payé coûte le plus cher. Gardez le statique là où il gagne vraiment, quand la cadence est faible, le ticket homogène et le commerçant présent. La séquence inverse épuise les équipes sans rien améliorer au rapprochement.

Chapitre 4. Afficher le code en magasin.

Le support physique, qui porte l'adresse de votre bénéficiaire en libre accès et à hauteur de main, fait partie du système de paiement. Deux propriétés s'y jouent en même temps : la lisibilité, qui décide de la conversion, et l'intégrité, qui décide de qui encaisse. Un support mal conçu échoue sur les deux.

Le support lui-même

• Zone de silence de quatre modules autour du symbole, imposée par la norme ISO/IEC 18004. Un cadre décoratif qui la mange rend le code illisible
• Niveau de correction d'erreur : la même norme définit L, M, Q et H, restituant environ 7 %, 15 %, 25 % et 30 % des données endommagées
• Logo central : il consomme le budget de correction d'erreur ; s'il est imposé par le marketing, monter d'un niveau et retester
• Contraste sombre sur clair, sans inversion et sans film brillant. Un reflet de vitrine annule un code parfaitement imprimé
• Support scellé ou sous vitre, avec un scellé numéroté visible du client comme de l'agent
• Numéro d'inventaire imprimé hors du symbole, pour relier ce support précis à votre référentiel de points de vente

L'ergonomie se vérifie depuis la place du client, jamais depuis celle de la caisse, et la hauteur, l'angle, l'éclairage et la distance de scan se contrôlent avec un téléphone ordinaire, en trente secondes. Un symbole parfaitement imprimé reste illisible dès qu'une vitrine y renvoie le soleil de fin d'après-midi. Reprenez ce contrôle à l'ouverture, tous les jours, sur chaque support.

• Scanner son propre code depuis la position du client, avec un téléphone de service
• Comparer le nom et l'identifiant bénéficiaire affichés à la fiche du point de vente
• Vérifier le scellé et son numéro, puis l'état physique du support
• Journaliser l'heure, le numéro de support et les initiales de l'agent. Cette trace est celle qui datera un incident

Chapitre 5. Rapprocher les encaissements QR.

Sur un rail A2A gratuit ou quasi gratuit, le coût de l'acceptation QR ne tient pas à la commission, mais au rapprochement. Un crédit reçu porte le nom du payeur, un montant et un horodatage, rarement votre numéro de commande. Tout le travail consiste à faire survivre une clé d'appariement sur quatre sauts : le code affiché, la notification, le fichier de règlement, le relevé du compte.

Quand la référence n'est pas transportée

Certaines implémentations nationales laissent le champ facultatif et certains agrégateurs ne le remontent pas, d'où un appariement de repli sur le triplet montant, minute et fin d'alias du payeur. Il échoue exactement là où le volume est fort, puisque deux tickets identiques encaissés dans la même minute deviennent indiscernables. Mesurez donc votre taux d'appariement automatique avant de généraliser, sur une semaine pleine, jour de forte affluence compris.

CREATE TABLE encaissement_qr (
  reference        TEXT PRIMARY KEY,     -- tag 62-05, emis par la caisse
  point_de_vente   TEXT        NOT NULL,
  support          TEXT,                 -- numero de scelle du chevalet ; NULL si dynamique
  payload_sha256   TEXT        NOT NULL, -- empreinte du code reellement affiche
  montant_attendu  BIGINT,               -- plus petite unite ; NULL si QR statique
  devise           CHAR(3)     NOT NULL, -- ISO 4217 alphabetique
  emis_a           TIMESTAMPTZ NOT NULL,
  credit_id        TEXT,                 -- identifiant du credit chez le participant
  montant_credite  BIGINT,
  credite_a        TIMESTAMPTZ,
  jour_comptable   DATE,                 -- derive de credite_a et de la coupure declaree
  taux_applique    NUMERIC(18, 8),       -- renseigne uniquement sur encaissement transfrontalier
  statut           TEXT        NOT NULL DEFAULT 'attendu'
);

CREATE INDEX ON encaissement_qr (statut, emis_a);
CREATE INDEX ON encaissement_qr (point_de_vente, jour_comptable);

Chapitre 6. Encaisser un QR étranger.

L'acceptation transfrontalière ne modifie ni votre code, ni votre contrat, ni votre équipement. Un voyageur le scanne avec son application domestique. Le commutateur de son pays reconnaît un bénéficiaire étranger et route la transaction vers le corridor. Vous recevez un crédit domestique, dans votre devise, et tout se joue donc chez votre participant, sur un seul poste, le change.

• Depuis quels marchés le QR entrant est-il accepté aujourd'hui, et depuis quelle date pour chacun ?
• Par quel corridor passe la transaction, et quel commutateur en est la passerelle ?
• Qui fixe le taux de change, et ce taux est-il affiché au payeur avant validation ?
• Quelle marge est prélevée, et sous quelle forme apparaît-elle dans le fichier de règlement ?
• Le crédit est-il domestique, dans la même devise, au même délai qu'une vente locale ?
• Comment se rembourse une vente encaissée par corridor, et dans quel délai ?

Chapitre 7. La fraude au QR remplacé.

Quand un tiers colle son propre code par-dessus le vôtre, vos clients paient normalement, leurs applications confirment et votre personnel ne voit rien d'anormal. L'argent part ailleurs. La particularité de cette fraude tient à sa signature. Elle ne produit aucune erreur, seulement une absence de crédit, si bien qu'un dispositif d'alerte bâti sur les échecs ne la détectera jamais.

La riposte, dans l'ordre

• Scellé numéroté sur chaque support, consigné dans le référentiel des points de vente
• Photo de référence du support en place, datée, conservée avec l'empreinte du payload
• Scan de contrôle quotidien à l'ouverture, avec comparaison du nom et de l'identifiant bénéficiaire
• Inventaire des codes émis : point de vente, date, canal de diffusion, durée de validité prévue
• Procédure de révocation à la fermeture d'un point de vente ou au changement de participant
• Codes imprimés sur documents traités comme des supports à part entière : ils survivent des années