Orchestrer ses paiements entre plusieurs PSP. 6 chapitres et un QCM final.

Chapitre 1. Décider de multiplier ses PSP.

Le multi-prestataire désigne l'organisation dans laquelle un marchand confie son encaissement à plusieurs prestataires de services de paiement en même temps, plutôt qu'à un seul. Un marchand y vient pour lever une contrainte identifiée, qui tient à la couverture des méthodes locales, au taux d'autorisation, au pouvoir de négociation ou à la disponibilité du service. Chaque prestataire supplémentaire ouvre un contrat, un compte de règlement, un flux de réconciliation, une file de litiges et une recette annuelle. Ce coût est fixe, et il tombe à l'identique, que le prestataire encaisse un euro ou dix millions. Le travail préalable du responsable paiement consiste donc à nommer la contrainte, puis à la chiffrer face à ce coût fixe.

Les quatre déclencheurs qui justifient un second prestataire

• Gain d'acceptation attendu : volume annuel de la cohorte visée × écart de taux d'autorisation observé × panier moyen × taux de marge
• Économie de commission : volume réellement déplaçable × écart de commission effective, frais de change et frais de schéma compris
• Coût fixe annuel : intégration, recette, réconciliation supplémentaire, support, audit de conformité, temps de pilotage
• Coût variable ajouté : frais de la couche d'orchestration, frais de coffre, frais de relance, frais de tentatives excessives
• Décision : le second prestataire se justifie quand la somme des deux premiers postes dépasse celle des deux suivants sur douze mois, sur des chiffres mesurés chez soi, jamais sur ceux d'une plaquette

Chapitre 2. Router par coût et par taux d'acceptation.

Le routage désigne le choix, pour chaque tentative de paiement, du chemin par lequel elle est présentée à l'encaissement. Une route désigne la combinaison qui associe le prestataire, l'entité d'acquisition et son pays, le réseau ou le rail emprunté, et le mode d'authentification demandé. Deux routes ouvertes chez le même prestataire peuvent donner des résultats opposés, parce que l'émetteur ne voit pas la même transaction selon le pays d'acquisition et le mode d'authentification. Un routage qui raisonne à l'échelle du prestataire, et non à celle de la route, laisse de côté la plus grande part du gain accessible.

Le routage poursuit deux objectifs qui s'opposent, la réduction du coût variable et l'élévation du taux d'autorisation. La route la moins chère n'est pas la mieux acceptée, et la mieux acceptée coûte souvent davantage. L'arbitrage entre les deux effets suppose de les ramener à une même unité de compte, qui est la marge nette par tentative.

Segmenter avant de router

Une cohorte désigne un sous-ensemble homogène de tentatives de paiement. Le découpage retient le pays de l'émetteur, le type de produit, la tranche de montant, le canal, la devise, la présence d'un token réseau et le résultat d'authentification. Un taux d'autorisation calculé sur l'ensemble du trafic agrège des cohortes dont les comportements diffèrent, et il masque les écarts sur lesquels le routage agit. Le découpage obéit à deux contraintes opposées. Une cohorte trop large dissimule l'écart recherché, alors qu'une cohorte trop fine ne réunit plus assez d'observations pour être fiable. L'usage consiste à fixer un plancher d'observations par cohorte, et à replier sur leur cohorte parente celles qui ne l'atteignent pas.

routes:
  - id: debit-domestique-ue
    si:
      pays_emetteur: [de, es, fr, it, nl]
      produit: debit
      montant_max_centimes: 25000
    vers: psp_a
    acquisition: locale          # transaction domestique pour l'émetteur
    token: reseau

  - id: credit-transfrontalier
    si:
      pays_emetteur: ["*"]
      produit: credit
    vers: psp_b
    authentification: exemption_demandee

defaut: psp_a

repli:
  declencheurs: [timeout, erreur_transport, disjoncteur_ouvert]
  vers: psp_b
  jamais_sur: [refus_emetteur]   # un refus n'est pas une panne
  bascules_max: 1

Ce que le droit local impose au routage

• États-Unis. La Regulation II du Federal Reserve Board impose que chaque carte de débit soit activée sur au moins deux réseaux non affiliés, et le marchand choisit celui qu'il emprunte. La règle finale du 3 octobre 2022 étend l'obligation aux transactions sans présence de carte, applicable depuis le 1er juillet 2023. Le routage débit y est donc un droit, pas une faveur de l'acquéreur.
• Espace économique européen. L'article 8 du règlement (UE) 2015/751 autorise le marchand à installer une sélection prioritaire d'une marque sur un instrument co-badgé, sans jamais empêcher le payeur de la contourner. Une règle de routage qui verrouille le choix du porteur est non conforme.
• Inde. Depuis le 1er octobre 2022, seuls l'émetteur et le réseau conservent les données de carte, sur mandat de la Reserve Bank of India. Le marchand ne manipule que des tokens, propres à chaque demandeur de token. Le routage s'en trouve contraint dès l'enrôlement.
• Brésil. Pix n'emprunte pas les rails carte. Il n'y a ni autorisation émetteur, ni code de refus à normaliser, ni relance : la commande se règle ou elle échoue. Un routage carte et un routage Pix sont deux machines distinctes, pas deux branches de la même règle.

Chapitre 3. Basculer quand un prestataire tombe.

Le failover, ou bascule, désigne le renvoi automatique d'une tentative de paiement vers une autre route lorsque la route initiale n'a pas rendu de réponse. Son déclenchement suppose de distinguer deux événements que les systèmes traitent souvent de la même façon, à tort. Un refus émetteur est une réponse, puisque le message a circulé jusqu'à la banque du porteur et que celle-ci a tranché en défaveur de la transaction. Une absence de réponse laisse au contraire l'état de l'autorisation inconnu, et le failover ne concerne que ce second cas. La confusion des deux produit des bascules inutiles, des doubles autorisations et, sur les réseaux carte, des frais de tentatives excessives.

Les trois signaux qui autorisent une bascule

• Erreur de transport : réponse 5xx, échec de négociation TLS, résolution DNS impossible. Le message n'a pas atteint sa destination, ou la réponse s'est perdue.
• Expiration du délai : aucune réponse dans la fenêtre fixée pour cette route. L'état est indéterminé et doit être levé par une réversion.
• Taux d'erreur au-dessus du seuil : sur une fenêtre glissante, la proportion des deux signaux précédents dépasse la valeur configurée. Le disjoncteur s'ouvre et la route est écartée sans nouvelle tentative.
• Aucun code de refus émetteur ne figure dans cette liste, et c'est la règle la plus utile du chapitre.

Le disjoncteur est un dispositif logiciel qui suspend l'usage d'une route dès que son taux d'erreur dépasse un seuil configuré. Il possède trois états, et le paramétrage règle le passage de l'un à l'autre. À l'état fermé, les tentatives passent normalement. À l'état ouvert, la route est écartée sans être appelée, ce qui évite d'accumuler des délais d'attente pendant une panne. À l'état demi-ouvert, seul un échantillon de tentatives est admis, afin de vérifier que le service a repris. Le paramétrage tient en quatre valeurs, le seuil d'erreur, la longueur de la fenêtre d'observation, la durée d'ouverture et la taille de l'échantillon de reprise. Ces quatre valeurs se documentent et se rejouent en recette, faute de quoi l'explication d'une bascule survenue six mois plus tôt reste hors d'atteinte.

# Une tentative = une clé d'idempotence, propre à la route
cle = empreinte(reference_commande, route.id, numero_tentative)

reponse = route.psp.autoriser(montant, token, cle, delai = route.delai_max)

selon reponse :
  AUTORISEE           -> encaisser ; journaliser le code réseau brut
  REFUS_EMETTEUR      -> NE PAS basculer ; appliquer la politique de relance
  TIMEOUT | ERREUR_5xx-> reverser(route, cle)          # l'état est inconnu
                         si bascules < bascules_max :
                           route = route_suivante()    # nouvelle clé
                           recommencer
  DISJONCTEUR_OUVERT  -> route = route_suivante() sans appeler la route ouverte

# Interdits explicites
#  · réutiliser la même clé d'idempotence chez un autre prestataire
#  · basculer après un refus émetteur
#  · déclarer « échec » une tentative expirée sans avoir envoyé la réversion

Le changement de prestataire ne modifie pas l'identité de l'émetteur, qui reste la banque ayant délivré la carte au porteur. Une carte refusée chez le prestataire A est refusée chez le prestataire B, avec le même code de réponse. La décision provient de cette banque et non de la chaîne d'acquisition. Le rejeu d'un refus sur une autre route ajoute donc une tentative au compteur du réseau et rapproche le marchand des seuils de tentatives excessives, sans augmenter la probabilité d'obtenir une autorisation. Le failover traite les pannes, tandis que la politique de relance traite les refus.

Chapitre 4. Normaliser les codes de refus et en tirer une relance.

La normalisation des codes de refus consiste à ramener à un vocabulaire unique les libellés que les différents acteurs attribuent à un même rejet d'autorisation. Un refus parvient au marchand sous trois formes superposées. Le réseau renvoie un code de réponse d'autorisation, auquel Mastercard ajoute un Merchant Advice Code destiné au marchand plutôt qu'à l'acquéreur. Le prestataire y superpose son propre libellé, souvent traduit et parfois appauvri. Le même refus porte donc trois noms selon l'endroit où il est lu. Une politique de relance reste inapplicable tant que les trois vocabulaires n'ont pas été ramenés à un seul.

Les quatre catégories de réponse de Visa

• Catégorie 1, l'émetteur n'approuvera jamais. Aucune nouvelle tentative n'est permise. Le code 14 (numéro de compte invalide) y figure : le marchand ne doit jamais réémettre sur le même numéro.
• Catégorie 2, l'émetteur ne peut pas approuver pour l'instant. Quinze réémissions au plus sur trente jours. Les fonds insuffisants relèvent de cette catégorie ; le refus est temporaire par nature.
• Catégorie 3, qualité des données. La donnée transmise est fausse ou incomplète. Réémettre sans la corriger ne sert à rien et alimente les compteurs de surveillance.
• Catégorie 4, codes génériques. Même plafond que la catégorie 2 : quinze réémissions sur trente jours. L'émetteur n'a pas motivé son refus, ce qui rend la relance moins prévisible.
• Sources : Visa Rules, article AI10325 du 3 septembre 2020, en vigueur au 17 avril 2021 ; Visa Merchant Business News Digest pour le reclassement du 13 avril 2024.

Les Merchant Advice Codes de Mastercard

{
  "fonds_insuffisants": {
    "reseau": ["51"], "mac": ["02", "24", "25"],
    "action": "relancer", "delai_heures": 24,
    "tentatives_max": 15, "fenetre_jours": 30
  },
  "compte_inexistant": {
    "reseau": ["14"], "mac": ["03"],
    "action": "arreter", "tentatives_max": 0,
    "note": "categorie 1 Visa : jamais de reemission sur le meme numero"
  },
  "carte_perdue_ou_volee": {
    "reseau": ["41", "43"], "mac": ["03"],
    "action": "arreter", "tentatives_max": 0,
    "escalade": "revue_fraude"
  },
  "donnees_a_mettre_a_jour": {
    "reseau": ["54"], "mac": ["01"],
    "action": "mettre_a_jour_puis_relancer", "tentatives_max": 1
  }
}

# Les correspondances se vérifient réseau par réseau, dans les
# spécifications en vigueur. Cet extrait montre la forme, pas la vérité.

La table normalisée associe à chaque famille interne de refus une action exécutable par le système de relance, et une famille dépourvue d'action reste inexploitable au moment de décider d'une nouvelle tentative. Trois colonnes suffisent à la décrire, l'action à engager, le délai avant la tentative suivante et le nombre maximal de tentatives autorisé. Le compteur se tient par carte et par marchand, et non par commande, parce que les réseaux comptent de cette manière. Le code de refus brut, non traduit, reste accessible dans le journal, puisque les libellés du prestataire évoluent sans préavis et rompent les correspondances écrites à partir d'eux.

Chapitre 5. Mesurer un gain réel.

La mesure d'un gain de routage repose sur une comparaison contrefactuelle, qui estime ce qu'aurait produit la même population de commandes sans le changement. Une équipe qui conclut du seul rapprochement entre l'avant et l'après se trompe neuf fois sur dix. Le mix de trafic bouge entre les deux dates. Les promotions, la saisonnalité, l'ouverture d'un marché et les campagnes d'acquisition amènent d'autres porteurs, dont les émetteurs se comportent différemment. Un taux d'autorisation qui monte dans les jours suivant un déploiement mesure donc la somme de ces mouvements, et non l'effet propre du routage.

Le dénominateur ment presque toujours

Le taux d'autorisation se calcule sur les tentatives, et une politique de relance produit des tentatives supplémentaires dont beaucoup échouent. Le ratio baisse alors mécaniquement, au moment même où l'encaissement progresse. L'indicateur sur lequel la décision se prend est le taux de commandes finalement encaissées, toutes tentatives cumulées comprises. Le taux par tentative conserve son utilité pour diagnostiquer une route particulière, sans servir au pilotage de l'ensemble.

Le protocole qui tient devant la direction financière

• Figer un groupe témoin permanent : 5 à 10 % du trafic reste sur la route de référence, indéfiniment. C'est le prix de la mesure, et il est bien inférieur à celui d'une décision fausse.
• Affecter la variante à la commande, jamais à la tentative : sinon la relance d'une commande témoin part sur la route testée et détruit la comparaison.
• Couvrir un cycle complet : pour un abonnement mensuel, deux cycles au minimum, faute de quoi les relances longues ne sont pas encore résolues.
• Analyser par cohorte : un gain moyen positif peut masquer une perte franche sur un pays émetteur, que le mix suivant fera remonter.
• Fixer d'avance la règle d'arrêt : durée, volume minimal, écart retenu comme significatif. Une mesure arrêtée le jour où elle est favorable ne mesure rien.

Le solde se pose ensuite ligne à ligne. Il retranche du gain d'acceptation l'écart de coût variable, les frais de relance et de tentatives excessives, le coût de la couche d'orchestration et l'effet observé sur les contestations. Un point d'acceptation obtenu en déplaçant le mix vers des cartes plus chères coûte parfois davantage qu'il ne rapporte. Le calcul se fait par commande présentée, sur la même période, à partir des relevés reçus et non des tarifs contractuels.

Chapitre 6. Le coût complet d'une couche d'orchestration.

Une couche d'orchestration désigne un intermédiaire logiciel placé entre le marchand et ses prestataires, qui expose une interface unique et répartit les tentatives entre des connexions déjà écrites. Sa tarification affichée tient en un frais unitaire appliqué aux transactions traitées. Le coût complet réunit six autres postes, dont plusieurs ne se manifestent qu'au moment où le marchand quitte la plateforme. Ces sept postes se chiffrent avant la signature du contrat plutôt qu'après.

• Le frais unitaire, appliqué à chaque transaction traitée, y compris celles qui échouent selon les contrats.
• Le coffre de tokens : hébergement, appels de détokenisation, et surtout la re-tokenisation si les tokens ne sont pas portables.
• Le périmètre de conformité : selon l'architecture retenue, les données de carte transitent ou non par les systèmes du marchand, ce qui change son questionnaire d'auto-évaluation.
• La latence ajoutée : un saut réseau de plus dans le tunnel de paiement, mesurable au centile 95 et pas seulement en moyenne.
• La dépendance déplacée : la panne du prestataire unique devient la panne de l'orchestrateur, qui commande alors toutes les routes à la fois.
• La réconciliation multipliée : un flux de règlement par prestataire, plus le référentiel de l'orchestrateur, à recouper chaque jour.
• Les engagements : volume minimal, durée ferme, pénalité de sortie, facturation des modules ajoutés en cours de contrat.

Le coffre décide de la réversibilité

Un token réseau désigne une référence émise par le réseau au bénéfice d'un demandeur identifié, et contrainte dans son usage. EMVCo le définit ainsi dans sa spécification de tokenisation, dont la version 2.4 a été publiée le 9 juillet 2026. Un token y est limité à un marchand, un appareil ou un scénario de paiement. Il se distingue à ce titre d'un numéro de carte chiffré, dont l'usage ne connaît pas ces restrictions. L'identité du demandeur de token détermine donc quelle entité pourra encore se servir des tokens après un changement de prestataire.

Les clauses à écrire avant de signer

• Export du coffre sous trente jours, dans un format documenté, vers un tiers désigné par le marchand, sans frais de sortie.
• Identifiant de demandeur de token enrôlé au nom du marchand quand le réseau le permet, mention explicite dans le contrat.
• Accès aux codes de refus bruts, non traduits, dans l'API et dans les exports : sans eux, la table de normalisation devient invérifiable.
• Journal des tentatives exportable, horodaté, avec l'identifiant de route : c'est la matière première de toute mesure ultérieure.
• Engagement de service portant sur la disponibilité et sur la latence au centile 95, avec pénalité et procédure d'incident.
• Absence d'exclusivité de routage : le contrat ne doit pas interdire de brancher un prestataire concurrent en direct.