Glossaire du paiement. Les mots du métier, définis un par un.

Chaque terme a sa fiche : la définition, les renvois vers les notions voisines, et les dossiers où il est employé. Cherchez un mot ou parcourez l’alphabet.

151 termes du paiement. Le vocabulaire complet, avec renvois.

A B C D E F G H I J K L M N O P Q R S T U V W X Y Z

3

3-D Secure

Protocole d'authentification du porteur pour les paiements par carte à distance, spécifié par EMVCo (version EMV 3DS 2.x, la version 1 ayant été décommissionnée en octobre 2022). Il fait dialoguer le 3DS Server du commerçant, le Directory Server du scheme et l'ACS de l'émetteur pour authentifier le client ou appliquer une exemption. Une transaction authentifiée déclenche en général un transfert de responsabilité vers l'émetteur en cas de fraude.

A

A2A (compte à compte)

Paiement account-to-account : les fonds vont directement du compte du payeur au compte du bénéficiaire, sans passer par les rails carte. Porté par le virement instantané, l'initiation de paiement DSP2 et des wallets comme Wero, il supprime l'interchange et les scheme fees. C'est le principal candidat à la désintermédiation de la carte en Europe.

Accepteur

Le commerçant (ou toute entité) qui accepte un moyen de paiement en règlement de biens ou services, lié à son acquéreur par un contrat d'acceptation. À ne pas confondre avec l'acquéreur : l'accepteur encaisse commercialement, l'acquéreur traite et garantit financièrement. Chaque point d'acceptation est identifié par un MID.

Account Updater

Service des schemes (Visa Account Updater, Mastercard Automatic Billing Updater) qui met à jour automatiquement les PAN et dates d'expiration des cartes enregistrées chez un commerçant lors d'une réémission. Il réduit fortement les échecs sur les paiements récurrents et abonnements. Les network tokens rendent ce mécanisme natif, la mise à jour étant gérée par le réseau lui-même.

ACP (Agentic Commerce Protocol)

Protocole ouvert de commerce agentique publié par OpenAI et Stripe en septembre 2025, qui permet à un agent conversationnel (ChatGPT) d'acheter directement chez un commerçant via la fonction Instant Checkout. Le commerçant reste merchant of record et reçoit un Shared Payment Token, jeton de paiement délégué émis par Stripe, plutôt que les données de carte brutes. Concurrent direct de l'AP2 de Google, il fait du modèle d'IA une nouvelle surface de checkout.

ACPR

Autorité de contrôle prudentiel et de résolution, adossée à la Banque de France. Elle agrée et supervise les établissements de crédit, de paiement et de monnaie électronique français, et contrôle notamment le respect du cantonnement et de la LCB-FT. Toute activité de services de paiement en France passe par son agrément, son enregistrement ou un passeport européen notifié auprès d'elle.

Acquéreur

Établissement (banque ou établissement de paiement) qui affilie les commerçants, collecte leurs transactions, leur garantit le versement des fonds et porte le risque financier des chargebacks. Il est membre des schemes côté acceptation et se rémunère par la commission commerçant (MSC). Exemples en France : les banques historiques, Worldline, Adyen, Stripe.

ACS

Access Control Server : le serveur d'authentification de l'émetteur dans le protocole 3-D Secure. Il évalue le risque de la transaction, décide d'un parcours frictionless ou d'un challenge, et réalise l'authentification du porteur (notification dans l'app bancaire, biométrie, OTP). Sa disponibilité et son paramétrage pèsent directement sur le taux de conversion des marchands.

Agent de paiement (IA)

Agent logiciel autonome, généralement piloté par un modèle d'IA, qui recherche, compare et déclenche des paiements pour le compte d'un utilisateur — à ne pas confondre avec l'« agent de paiement » au sens DSP2, mandataire enregistré d'un PSP. Son essor a fait émerger en 2025 des protocoles dédiés (AP2 de Google, ACP d'OpenAI et Stripe, x402 de Coinbase) et la question du mandat vérifiable reliant l'agent à une intention humaine auditable. L'enjeu de sécurité central est d'authentifier l'agent et de borner son autorisation, d'où le concept de Know Your Agent.

AISP

Account Information Service Provider : prestataire d'information sur les comptes, statut créé par la DSP2. Il accède en lecture aux comptes de paiement du client, avec son consentement, via les API bancaires (agrégation de comptes, outils de gestion budgétaire, scoring crédit). En France, le statut fait l'objet d'un enregistrement allégé auprès de l'ACPR.

Annulation (reversal)

Annulation d'une autorisation ou d'une transaction avant sa compensation : le montant réservé est libéré sur le plafond du porteur et aucun fonds ne circule. À distinguer du remboursement, qui intervient après règlement et constitue une transaction de crédit distincte. Les annulations d'autorisations inutilisées sont une bonne pratique exigée par les schemes.

AP2 (Agent Payments Protocol)

Agent Payments Protocol : protocole ouvert dévoilé par Google en septembre 2025 avec plus de 60 partenaires (Mastercard, PayPal, American Express, Coinbase...), qui étend les protocoles A2A et MCP au paiement initié par des agents IA. Il repose sur des Mandates, des verifiable credentials signés cryptographiquement qui capturent l'intention de l'utilisateur et forment une chaîne d'autorisation auditable. Agnostique au moyen de paiement, il couvre cartes, virements et stablecoins, ces derniers via une extension x402.

ARN

Acquirer Reference Number : référence de 23 chiffres attribuée par l'acquéreur au moment de la compensation d'une transaction carte. Elle permet de tracer l'opération de bout en bout dans les systèmes du scheme et de l'émetteur. C'est la preuve standard qu'un remboursement a bien été émis lorsqu'un client affirme ne rien avoir reçu.

Autorisation

Demande envoyée en temps réel à l'émetteur (messages ISO 8583) pour vérifier la validité de la carte, l'absence d'opposition, la provision et le risque de fraude. Une autorisation approuvée réserve le montant sur le plafond du porteur mais ne transfère aucun fonds : c'est la capture puis le settlement qui matérialisent le paiement. Le code réponse (00 = accord, 05 = refus...) conditionne la suite du parcours.

AVS

Address Verification Service : contrôle qui compare l'adresse de facturation saisie par l'acheteur avec celle connue de l'émetteur, et retourne un code de correspondance (totale, partielle, aucune). Très utilisé aux États-Unis, au Royaume-Uni et au Canada, il est quasi inexistant en France. C'est un signal antifraude complémentaire du CVV, pas une authentification.

B

Bénéficiaire de confiance

Mécanisme de whitelisting prévu par la DSP2 : le payeur inscrit un commerçant ou un bénéficiaire de virement sur une liste tenue par son émetteur ou sa banque. Les transactions ultérieures vers ce bénéficiaire peuvent alors être exemptées de SCA. La liste est gérée exclusivement côté banque du payeur, jamais par le commerçant.

BIC

Business Identifier Code (ISO 9362), aussi appelé code SWIFT : identifiant de 8 ou 11 caractères d'un établissement financier (banque, pays, localisation, agence). Il route les messages sur le réseau SWIFT et complétait historiquement l'IBAN dans SEPA. Depuis la règle « IBAN only » (2016), il n'est plus exigible pour les paiements SEPA.

BIN

Bank Identification Number : les 6 à 8 premiers chiffres du PAN (8 chiffres depuis la révision ISO/IEC 7812 appliquée par les schemes en avril 2022). Il identifie l'émetteur, le scheme, le type de produit (débit, crédit, commercial, prépayé) et le pays d'émission. Les tables BIN alimentent le routage, la tarification et les règles antifraude des acquéreurs et PSP.

BIN sponsor

Établissement membre principal d'un scheme qui met ses BIN, sa licence et son agrément à disposition d'acteurs non membres (fintechs, néobanques) pour émettre des cartes ou acquérir des transactions. Le sponsor reste responsable vis-à-vis du scheme et du régulateur, notamment sur la conformité LCB-FT de ses partenaires. C'est la brique qui a permis l'explosion des offres de cartes en marque blanche.

BNPL

Buy Now Pay Later : paiement fractionné (3 ou 4 échéances) ou différé proposé au moment du checkout, porté en France par Alma, Klarna, Oney ou Floa. Longtemps hors du champ du crédit à la consommation grâce à sa durée inférieure à 90 jours, il y est intégré par la directive crédit consommation révisée (UE) 2023/2225, en cours de transposition (échéance novembre 2025, application 2026). Le modèle repose sur une commission commerçant élevée (1,5 à 4 %) en échange d'une hausse du panier moyen.

C

camt.053

Message ISO 20022 de relevé de compte de fin de journée (Bank to Customer Statement), successeur structuré du MT940. Il détaille chaque écriture avec des références exploitables automatiquement (end-to-end id, RUM, montants bruts/nets), ce qui en fait la matière première de la réconciliation. Ses compléments : camt.052 (relevé intraday) et camt.054 (avis de débit/crédit, notamment le détail des remises).

Cantonnement

Obligation faite aux établissements de paiement et de monnaie électronique de protéger les fonds de leur clientèle : dépôt sur un compte séparé ouvert chez un établissement de crédit, ou couverture par garantie/assurance. Les fonds cantonnés échappent aux créanciers de l'établissement en cas de défaillance. C'est le mécanisme qui sécurise les encaissements pour compte de tiers des marketplaces et PSP.

Capture

Confirmation par le commerçant qu'une autorisation doit être effectivement débitée, envoyée à l'acquéreur dans une remise. En e-commerce, elle intervient souvent à l'expédition (autorisation à la commande, capture au départ du colis), en totalité ou partiellement. Une autorisation non capturée expire, en général au bout de 7 jours (davantage pour certains MCC comme l'hôtellerie).

Card testing

Fraude consistant à tester en masse des numéros de cartes volés ou générés, via des micro-transactions ou des autorisations à zéro, sur des sites mal protégés. Elle se repère à des pics soudains de tentatives refusées et dégrade la réputation du MID auprès des émetteurs. Parades : CAPTCHA, contrôles de vélocité, exigence du CVV, blocage des BIN anormalement sollicités.

Card-on-file (COF)

Carte enregistrée chez un commerçant ou son PSP pour des paiements ultérieurs : achat en un clic, abonnements, recharges. Les transactions COF relèvent du cadre CIT / MIT des schemes, qui exige un premier paiement authentifié puis le chaînage des références. La bonne pratique consiste à stocker un token (idéalement un network token) plutôt que le PAN.

Carte co-badgée

Carte portant deux marques de paiement, typiquement CB + Visa ou CB + Mastercard en France. Le règlement Interchange (IFR, art. 8) garantit au porteur le droit de choisir la marque au moment de payer, le commerçant pouvant paramétrer un choix prioritaire sur son terminal. L'enjeu est économique : le routage CB ou international ne coûte pas la même chose à l'accepteur.

Carte commerciale

Carte affaires ou corporate, émise pour des dépenses professionnelles. Elle est exclue des plafonds d'interchange du règlement IFR, d'où des taux d'interchange souvent compris entre 1,3 et 2 %, répercutés dans la MSC. C'est aussi l'un des rares cas où le surcharging reste licite dans certains pays de l'UE.

CB

« Cartes Bancaires », le scheme domestique français créé en 1984 et gouverné par le GIE CB : environ 76 millions de cartes et de l'ordre de 15 milliards de transactions par an. La quasi-totalité des cartes CB sont co-badgées avec Visa ou Mastercard, CB étant utilisé en priorité pour les transactions domestiques. Son interchange domestique est inférieur à celui des schemes internationaux, ce qui en fait un atout de coût pour les commerçants français.

CB2A

Protocole français d'échanges monétiques entre le point d'acceptation (TPE, serveur de paiement) et l'acquéreur, dérivé d'ISO 8583 : demandes d'autorisation et fichiers de télécollecte. Chaque acquéreur en maintient une implémentation, ce qui complexifie les certifications de terminaux. Il migre progressivement vers les standards européens nexo, fondés sur ISO 20022.

Chargeback

Procédure d'impayé carte : à la demande du porteur (fraude, produit non reçu, service non conforme), l'émetteur reprend les fonds à l'acquéreur, qui les débite au commerçant. Elle est encadrée par les règles des schemes, avec des délais de contestation de l'ordre de 120 jours et des codes motifs normalisés. Coût réel pour le marchand : montant perdu + frais de dossier (15 à 50 €) + dégradation de son ratio de chargebacks.

CIT / MIT

Distinction normalisée par Visa et Mastercard entre transactions initiées par le client (Customer Initiated Transaction) et par le commerçant (Merchant Initiated Transaction : récurrents, échelonnés, no-show, compléments). Les MIT sont hors du champ de la SCA, à condition qu'un CIT initial ait été authentifié et que les transactions soient chaînées par les références du scheme. Un flag MIT mal posé se traduit par des soft declines massifs.

Clearing

Compensation : l'échange des données de transactions entre acteurs et le calcul des positions nettes de chacun, préalable au règlement effectif des fonds. Pour les cartes, il est opéré par les schemes ; pour les virements et prélèvements SEPA, par les CSM comme STET ou EBA Clearing. Clearing et settlement sont deux étapes distinctes : on échange d'abord l'information, on règle ensuite l'argent.

CNP

Card Not Present : transaction où la carte n'est pas physiquement présentée (e-commerce, MOTO, abonnements). C'est là que se concentre l'essentiel de la fraude carte : l'OSMP mesure un taux de fraude sur les paiements à distance environ vingt fois supérieur à celui de la proximité, d'où l'obligation de SCA. Le couple 3-D Secure + tokenisation est la réponse standard du marché.

CSM

Clearing and Settlement Mechanism : infrastructure qui compense et règle les paiements SEPA entre PSP. Exemples : STET en France, STEP2 et RT1 d'EBA Clearing au niveau paneuropéen, TIPS de l'Eurosystème pour l'instantané en monnaie de banque centrale. Un PSP doit être joignable, directement ou indirectement, sur un CSM pour chaque scheme auquel il adhère.

CVV

Cryptogramme visuel (CVV2/CVC2) : 3 chiffres au dos de la carte (4 au recto pour American Express), vérifiés par l'émetteur lors des paiements à distance. Il prouve la détention physique de la carte au moment de la saisie. PCI DSS interdit formellement son stockage après autorisation, même chiffré — c'est l'une des non-conformités les plus sanctionnées.

D

DCC

Dynamic Currency Conversion : au moment de payer à l'étranger, le terminal ou le DAB propose de régler dans la devise de la carte plutôt que la devise locale. La conversion est opérée par l'acquéreur avec des marges souvent comprises entre 3 et 12 %, presque toujours défavorables au porteur. Le règlement (UE) 2019/518 impose d'afficher la marge par rapport au taux BCE ; la règle d'or reste de toujours payer en devise locale.

Débit différé

Modalité française : les paiements par carte du mois sont agrégés et débités en une seule fois en fin de mois, sans intérêts. Au sens du règlement Interchange, la carte à débit différé est traitée comme une carte de crédit (plafond d'interchange à 0,3 %). Elle se distingue du crédit renouvelable : il n'y a ni revolving ni coût pour le porteur, seulement un décalage de trésorerie.

Directory Server (DS)

Composant central du protocole 3-D Secure, opéré par chaque scheme : il tient l'annuaire des BIN enrôlés et route les messages d'authentification entre le 3DS Server du commerçant et l'ACS de l'émetteur. C'est lui qui sait, pour un PAN donné, quel ACS interroger et en quelle version de protocole. En cas d'indisponibilité de l'ACS, il peut produire une réponse de tentative (attempt).

DORA

Digital Operational Resilience Act, règlement (UE) 2022/2554 applicable depuis le 17 janvier 2025 : il harmonise la gestion du risque informatique du secteur financier européen — gouvernance, notification des incidents majeurs, tests de résilience et surveillance des prestataires tiers critiques comme les fournisseurs cloud. Les établissements de paiement, EME et PSP y sont pleinement assujettis, sous le contrôle de l'ACPR et des autorités européennes de supervision. Un incident opérationnel majeur doit désormais être notifié au régulateur dans des délais stricts.

DPAN

Device PAN : token spécifique à un appareil, provisionné dans un wallet (Apple Pay, Google Wallet) à la place du PAN réel lors de l'enrôlement de la carte. Il est stocké dans le Secure Element du téléphone ou géré en HCE, et peut être révoqué à distance sans réémettre la carte physique. Le commerçant ne voit jamais le PAN sous-jacent, ce qui réduit son exposition PCI.

Drop-in (composant)

Composant d'intégration prêt à l'emploi fourni par un PSP (Adyen Drop-in, Stripe Payment Element, Braintree Drop-in) qui affiche automatiquement les moyens de paiement disponibles et orchestre la collecte des données, les redirections et le 3-D Secure avec un minimum de code. Il s'appuie en général sur des hosted fields en iframe, ce qui maintient le marchand dans un périmètre PCI allégé. C'est le compromis courant entre la page hébergée, simple mais peu personnalisable, et l'intégration par API complète, souple mais lourde en conformité.

DSP2

Directive (UE) 2015/2366 sur les services de paiement, applicable depuis janvier 2018 : authentification forte obligatoire (RTS SCA, généralisée sur l'e-commerce en 2021), ouverture des comptes aux tiers via API (AISP/PISP), interdiction du surcharging sur les cartes de consommateurs, plafonnement de la responsabilité du payeur. Elle a fait de l'open banking une obligation réglementaire et non une option commerciale.

DSP3

Paquet législatif proposé par la Commission européenne en juin 2023, combinant une directive DSP3 (agréments, supervision) et un règlement PSR directement applicable (droits des utilisateurs, SCA, fraude). Au menu : renforcement de la vérification du bénéficiaire, partage de responsabilité en cas de fraude par manipulation, accès direct des établissements de paiement aux systèmes de paiement, fusion du régime de la monnaie électronique. Application effective attendue au plus tôt vers 2027-2028, après adoption définitive et période transitoire.

Dynamic linking

Exigence des RTS de la DSP2 pour les paiements électroniques à distance : le code d'authentification généré lors de la SCA doit être dynamiquement lié au montant et au bénéficiaire affichés au payeur. Toute modification de l'un ou l'autre invalide l'authentification, ce qui neutralise les attaques par détournement de transaction. Concrètement, l'app bancaire affiche « Payer 149,90 € à Marchand X » avant validation biométrique.

E

EBICS

Electronic Banking Internet Communication Standard : protocole sécurisé d'échange de fichiers entre entreprises et banques, adopté en France en 2010 en remplacement d'ETEBAC (également utilisé en Allemagne, Suisse et Autriche). Il transporte remises de virements pain.001, prélèvements pain.008 et relevés camt.053/MT940. La variante française EBICS TS ajoute la signature électronique disjointe des ordres.

ECI

Electronic Commerce Indicator : code retourné à l'issue du parcours 3-D Secure qualifiant le niveau d'authentification obtenu. Chez Visa : 05 (authentifié), 06 (tentative), 07 (non authentifié) ; chez Mastercard : 02, 01, 00 respectivement. C'est l'ECI qui conditionne le transfert de responsabilité et le traitement de la transaction par l'émetteur.

Émetteur

Banque ou établissement qui délivre la carte (ou tient le compte) du payeur : il autorise les transactions, porte le risque de crédit et de fraude côté porteur, et perçoit l'interchange. Il opère aussi l'ACS pour l'authentification 3-D Secure. Dans le modèle à quatre coins, il fait face à l'acquéreur via le scheme.

EMV

Standard mondial des cartes à puce et du sans contact, géré par EMVCo (Visa, Mastercard, Amex, JCB, Discover, UnionPay). Chaque transaction génère un cryptogramme dynamique, rendant le clonage de la puce impraticable — la fraude s'est massivement déplacée vers les canaux à distance (CNP). EMVCo spécifie aussi 3-D Secure, la tokenisation de paiement et les QR codes EMV.

EPI

European Payments Initiative : alliance de banques européennes lancée en 2020 pour bâtir une solution de paiement paneuropéenne indépendante de Visa et Mastercard. Après l'abandon du volet carte, EPI a racheté iDEAL et Payconiq en 2023 et lancé le wallet Wero en 2024, fondé sur le virement instantané de compte à compte. Actionnaires notables : BNP Paribas, Crédit Agricole, BPCE, Société Générale, Deutsche Bank, ING, Worldline.

Établissement de monnaie électronique

EME : établissement agréé (par l'ACPR en France) pour émettre de la monnaie électronique — valeur stockée sur support ou compte, remboursable à tout moment (wallets à solde, cartes prépayées). Le régime, issu de la directive DME2 de 2009, est appelé à fusionner avec celui des établissements de paiement dans le cadre du paquet DSP3. Les fonds collectés sont soumis à cantonnement.

Établissement de paiement

EP : statut créé par la première directive sur les services de paiement (DSP1, 2007, transposée en France en 2009), permettant de fournir des services de paiement (acquisition, transferts, initiation, information sur les comptes) sans être une banque. Agréé et supervisé par l'ACPR, il est soumis à des exigences de capital, au cantonnement des fonds et à la LCB-FT, mais ne peut ni collecter des dépôts ni octroyer des crédits hors exceptions étroites. La plupart des PSP et PayFacs européens opèrent sous ce statut.

Euro numérique

Projet de monnaie numérique de banque centrale (MNBC) de détail de la BCE : un équivalent numérique du billet, gratuit pour les particuliers, utilisable en ligne et hors ligne avec un haut niveau de confidentialité. La phase de préparation court depuis novembre 2023 et le cadre législatif européen est toujours en discussion ; une émission n'est pas envisagée avant la fin de la décennie. Les banques redoutent la désintermédiation des dépôts, plafonnée par un mécanisme de détention maximale.

F

Fallback

Mécanisme de repli vers un mode dégradé : lecture de la piste magnétique quand la puce EMV est illisible, saisie manuelle du PAN, ou autorisation hors ligne sous plafond (floor limit) quand le réseau est indisponible. Les transactions fallback sont plus risquées et souvent exclues des garanties de paiement. Les schemes les restreignent drastiquement, la piste magnétique étant en voie d'extinction.

Fraude par manipulation (APP fraud)

Authorized Push Payment fraud : la victime exécute elle-même un virement sous l'effet d'une manipulation — faux conseiller bancaire, faux RIB de fournisseur, fausse annonce. C'est la première cause de fraude aux virements relevée par l'OSMP, et l'irrévocabilité du virement instantané en aggrave l'impact. Réponses en cours : Verification of Payee obligatoire, partage de responsabilité renforcé dans le paquet DSP3/PSR, remboursement obligatoire au Royaume-Uni depuis octobre 2024.

Frictionless

Parcours 3-D Secure sans interaction du porteur : l'ACS authentifie sur la seule base des données de risque transmises (device, historique, adresse IP, montant) ou applique une exemption. À l'inverse, le challenge exige une action du client — validation dans l'app bancaire, biométrie, OTP. L'optimisation du taux de frictionless, via des données 3DS riches et l'exemption TRA, est un levier majeur de conversion.

Friendly fraud

Fraude « amicale » : le porteur légitime conteste une transaction qu'il a réellement effectuée — achat oublié, abonnement familial non reconnu, ou abus délibéré. Elle représente une part majeure des chargebacks e-commerce et se distingue mal de la vraie fraude au moment de la dispute. Visa a durci les règles de preuve avec Compelling Evidence 3.0 (2023), qui permet de requalifier un chargeback fraude grâce à l'historique de commandes du client.

G

Gateway

Passerelle de paiement : la brique technique qui transporte la transaction du site ou de la caisse du commerçant vers l'acquéreur ou le processeur — chiffrement, conversion de formats, orchestration du 3-D Secure. Contrairement à l'acquéreur, elle ne touche pas les fonds et ne porte pas le risque financier. Les PSP modernes intègrent gateway, acquisition et antifraude dans une offre unique.

GENIUS Act

Guiding and Establishing National Innovation for U.S. Stablecoins Act : première loi fédérale américaine sur les stablecoins, promulguée le 18 juillet 2025. Elle crée un statut d'émetteur de payment stablecoins adossés intégralement à des réserves liquides (cash, bons du Trésor), avec publication mensuelle des réserves et interdiction de rémunérer les détenteurs. C'est le pendant américain du volet stablecoins de MiCA, dont l'adoption a accéléré l'entrée des banques et des géants du paiement sur ce marché.

GIE CB

Groupement d'intérêt économique Cartes Bancaires, créé en 1984 : il gouverne le scheme CB — règles de fonctionnement, sécurité, agréments des équipements, interbancarité — pour une centaine de membres (banques et établissements de paiement). Il ne traite pas lui-même les flux : les autorisations circulent entre membres et la compensation passe par STET. C'est l'artisan historique de l'interbancarité française, un cas d'école de scheme domestique résilient.

H

Hosted fields

Champs de saisie de carte hébergés par le PSP et intégrés en iframes dans la page même du commerçant : le client garde l'impression de rester sur le site marchand, mais les données de carte transitent directement chez le PSP sans jamais toucher les serveurs du commerçant. Cette architecture maintient le marchand en SAQ A ou SAQ A-EP, à la différence de l'intégration par API directe qui bascule en SAQ D. Elle offre plus de maîtrise du design que la page de paiement entièrement redirigée.

HSM

Hardware Security Module : boîtier matériel inviolable qui génère, stocke et utilise les clés cryptographiques sans jamais les exposer — vérification de PIN, cryptogrammes EMV, tokenisation, signature. Certifiés FIPS 140-2/3 et PCI PTS HSM, ils sont incontournables chez les émetteurs, acquéreurs et processeurs. Toute la sécurité de la monétique repose in fine sur ces équipements et leurs cérémonies de clés.

I

IBAN

International Bank Account Number (ISO 13616) : identifiant international de compte — 27 caractères en France (FR + clé de contrôle modulo 97 + code banque, guichet, numéro de compte, clé RIB). C'est la clé universelle des paiements SEPA. Refuser un IBAN d'un autre pays SEPA (« discrimination à l'IBAN ») est illégal, mais reste une pratique constatée chez certains créanciers.

ICS

Identifiant Créancier SEPA : identifie de façon unique l'émetteur de prélèvements SDD. En France, il compte 13 caractères (FR + clé de contrôle + code activité sur 3 caractères + Numéro National d'Émetteur à 6 chiffres) et s'obtient via sa banque auprès de la Banque de France. Couplé à la RUM, il identifie chaque mandat de prélèvement de manière unique dans tout l'espace SEPA.

Interchange

Commission payée par l'acquéreur à l'émetteur sur chaque transaction carte, censée rémunérer la garantie de paiement et le risque porté côté porteur. Le règlement Interchange la plafonne dans l'EEE à 0,2 % pour les cartes de débit et 0,3 % pour les cartes de crédit des consommateurs. C'est la principale composante de la MSC facturée au commerçant, devant les scheme fees.

Interchange++

Modèle de tarification acquéreur transparent : le commerçant paie l'interchange réel + les scheme fees réels + une marge acquéreur explicite (le « ++ »). Il s'oppose au tarif blended, taux unique opaque qui lisse les écarts entre cartes. L'IC++ est recommandé dès que les volumes le justifient : il fait profiter le commerçant des plafonds réglementaires et révèle le vrai coût de chaque type de carte.

IPR

Instant Payments Regulation, règlement (UE) 2024/886 : il rend le virement instantané universel dans la zone euro — obligation de réception depuis le 9 janvier 2025 et d'émission depuis le 9 octobre 2025, tarif plafonné au prix du virement classique, vérification du bénéficiaire (VoP) obligatoire et filtrage des sanctions quotidien plutôt qu'à la transaction. Les pays hors zone euro suivent avec des échéances décalées (2027).

ISO 20022

Norme universelle de messages financiers structurés en XML, organisée en familles : pain (client-banque), pacs (interbancaire), camt (reporting). Elle est le socle de SEPA, de TARGET et de la migration des paiements transfrontières SWIFT (fin de la coexistence avec les MT en novembre 2025). Sa richesse — données de remise structurées, LEI, adresses normalisées — améliore réconciliation, conformité et filtrage.

ISO 8583

Norme historique des messages de paiement par carte : types de messages (0100 autorisation, 0110 réponse, 0400 annulation...) et champs numérotés — 2 (PAN), 4 (montant), 11 (STAN), 37 (RRN), 39 (code réponse). Chaque scheme et chaque protocole domestique (dont CB2A) en dérive son dialecte. Elle reste le cœur battant des réseaux carte, malgré la montée d'ISO 20022 et des API.

K

KYA (Know Your Agent)

Know Your Agent : extension des principes du KYC et du KYB à l'ère des agents IA, consistant à identifier un agent autonome, à vérifier son mandat et son périmètre d'autorisation, et à le relier à une personne ou une entité responsable. Le concept a émergé en 2025 avec les protocoles de paiement agentique, qui s'appuient sur des verifiable credentials pour prouver l'identité et l'habilitation de l'agent. L'objectif est d'éviter qu'un agent compromis ou détourné n'engage des paiements hors du consentement de l'utilisateur.

KYB

Know Your Business : vérification d'une entreprise cliente — existence légale, bénéficiaires effectifs (UBO), sanctions, réalité de l'activité et cohérence avec le MCC déclaré. Les acquéreurs et PayFacs le pratiquent à l'onboarding de chaque marchand, puis en continu via la surveillance des transactions. Un KYB défaillant expose à la fraude marchande (sites fantômes, blanchiment par fausses ventes) et aux sanctions du régulateur.

KYC

Know Your Customer : identification et vérification de l'identité du client à l'entrée en relation puis en continu — document d'identité, détection du vivant, criblage PEP et sanctions. C'est le socle opérationnel de la LCB-FT pour tout PSP. En France, l'identification à distance s'appuie sur des prestataires de vérification certifiés (référentiel PVID de l'ANSSI) ou l'identité numérique.

L

LCB-FT

Lutte contre le blanchiment de capitaux et le financement du terrorisme : vigilance client (KYC/KYB), surveillance des opérations, déclarations de soupçon à Tracfin, gel des avoirs et filtrage des sanctions. Le paquet AML européen adopté en 2024 crée un règlement unique directement applicable et l'autorité AMLA à Francfort (montée en charge 2025-2028, supervision directe des acteurs les plus risqués). Les établissements de paiement figurent parmi les assujettis les plus contrôlés par l'ACPR.

Lettrage

Rapprochement comptable ligne à ligne entre les factures et leurs règlements (ou entre écritures débit et crédit) dans la comptabilité auxiliaire clients/fournisseurs. Il s'automatise grâce aux références portées par les paiements : numéro de facture, end-to-end id des virements, RUM des prélèvements. Un lettrage propre est le préalable de toute réconciliation bancaire fiable.

Liability shift

Transfert de responsabilité en cas de fraude : vers l'émetteur lorsque la transaction a été authentifiée 3-D Secure (ou tentée, selon l'ECI), et vers la partie la moins conforme EMV en proximité. Il ne couvre que la fraude (carte volée, usurpation), jamais les litiges commerciaux, qui restent contestables par chargeback. C'est l'incitation économique qui a fait adopter la puce puis le 3DS.

M

Marketplace

Plateforme mettant en relation acheteurs et vendeurs tiers, qui encaisse pour le compte de ces derniers. Cet encaissement pour compte de tiers est un service de paiement : il exige un agrément (établissement de paiement), un statut d'agent, ou le recours à un PSP spécialisé qui cantonne les fonds et opère les reversements. La DSP2 a fermé l'ancienne tolérance de « l'agent commercial » dont abusaient les plateformes.

MCC

Merchant Category Code (ISO 18245) : code à 4 chiffres classant l'activité du commerçant — 5411 supermarchés, 5812 restaurants, 7995 jeux d'argent... Il détermine l'interchange applicable, les règles de risque, certaines interdictions d'acceptation et les programmes de cashback des émetteurs. Un MCC mal déclaré est une infraction aux règles schemes et un signal de fraude marchande.

Merchant of record

Entité juridiquement vendeuse vis-à-vis du client final : c'est elle qui encaisse, collecte la TVA, assume conformité, fraude et chargebacks, et apparaît sur le relevé bancaire. Des acteurs (Paddle, resellers d'apps) proposent ce modèle clé en main aux éditeurs de logiciels. À distinguer du PayFac, qui facilite le paiement mais n'est jamais partie à la vente.

MiCA

Markets in Crypto-Assets, règlement (UE) 2023/1114 : premier cadre européen harmonisé des crypto-actifs. Ses règles sur les stablecoins — jetons de monnaie électronique (EMT) et jetons se référant à des actifs (ART) — s'appliquent depuis le 30 juin 2024, le reste du dispositif depuis le 30 décembre 2024. Émetteurs et prestataires sur crypto-actifs (CASP) sont agréés et supervisés par les autorités nationales (AMF et ACPR en France), sous la coordination de l'ESMA et de l'EBA.

MID

Merchant ID : identifiant du contrat d'acceptation d'un commerçant chez son acquéreur. Un même commerçant en détient souvent plusieurs — par canal (proximité/e-commerce), devise, enseigne ou entité juridique. C'est l'unité de mesure des programmes de surveillance des schemes : ratios de fraude et de chargebacks se calculent par MID.

Modèle à quatre coins

Architecture type d'une transaction carte : le porteur et son émetteur d'un côté, l'accepteur et son acquéreur de l'autre, le scheme au centre qui fixe les règles et route les flux. Il s'oppose au modèle à trois coins (American Express historiquement), où une même entité émet les cartes et acquiert les commerçants. La quasi-totalité des volumes Visa, Mastercard et CB fonctionnent en quatre coins.

Monétique

Terme français désignant l'ensemble des traitements électroniques des paiements par carte : émission, acquisition, autorisation, compensation, terminaux, sécurité cryptographique. Par extension, il recouvre tout l'écosystème carte — GIE CB, processeurs, industriels du terminal. Le mot n'a pas de véritable équivalent anglais, où l'on parle de cards ou payments.

MOTO

Mail Order / Telephone Order : paiement à distance dont les données de carte sont saisies par le commerçant lui-même (téléphone, courrier). Les transactions MOTO sont hors du champ de la SCA, mais sans authentification ni liability shift : le commerçant supporte la fraude. À réserver à des parcours contrôlés — centres d'appel avec saisie DTMF sécurisée, liens de paiement en alternative.

MSC

Merchant Service Charge : la commission totale payée par le commerçant à son acquéreur, composée de l'interchange (reversé à l'émetteur), des scheme fees (reversés au réseau) et de la marge acquéreur. En France, elle va de moins de 0,2 % pour la grande distribution en CB à plus de 1,5 % pour un petit e-commerçant en cartes internationales. Sa structure se négocie en blended ou en Interchange++.

MT940

Relevé de compte de fin de journée au format SWIFT MT : historique, compact, mais peu structuré — le détail des opérations tient dans le champ 86 en texte semi-libre, ce qui complique l'automatisation. Il est progressivement remplacé par le camt.053 ISO 20022, nativement structuré. De nombreuses trésoreries d'entreprise l'utilisent encore, faute de migration des chaînes existantes.

N

Network token

Token émis par le scheme (Visa Token Service, Mastercard Digital Enablement Service) qui remplace le PAN pour un commerçant ou un wallet donné. Son cycle de vie est géré par le réseau : il survit à la réémission de la carte et se met à jour automatiquement. Bénéfices mesurés : 2 à 3 points de taux d'autorisation en plus sur les paiements enregistrés, et un interchange parfois plus favorable.

nexo

Standards ouverts de l'association nexo standards, unifiant les échanges monétiques en Europe : spécification applicative du terminal (nexo FAST), protocole terminal-acquéreur (nexo Acquirer), protocole caisse-terminal (nexo Retailer), fondés sur ISO 20022. Ils remplacent progressivement les protocoles domestiques comme CB2A, avec une certification unique valable dans plusieurs pays. Les grands déploiements de terminaux paneuropéens (retail, pétrole) les ont adoptés en premier.

NFC

Near Field Communication : la technologie radio courte portée du paiement sans contact, par carte ou mobile. En France, le plafond est de 50 € par transaction carte (au-delà, insertion et PIN), sans plafond en paiement mobile authentifié par biométrie (CDCVM). Le sans contact représente environ deux tiers des paiements par carte en magasin dans la zone euro selon les études de la BCE.

O

On-us

Transaction où l'émetteur de la carte et l'acquéreur du commerçant sont le même établissement. Elle peut être autorisée et compensée en interne, sans transiter par le scheme, avec des coûts réduits — sous réserve des règles du réseau sur le reporting. Le phénomène est significatif sur les marchés bancaires concentrés.

Open banking

Ouverture des comptes de paiement à des tiers agréés via des API, rendue obligatoire par la DSP2 : agrégation d'informations (AISP) et initiation de paiement (PISP). Les banques doivent exposer des interfaces dédiées performantes, sous le contrôle des régulateurs. Le futur cadre européen (FIDA, paquet DSP3) doit étendre le partage de données au-delà des paiements — épargne, crédit, assurance — vers l'open finance.

Orchestration

Couche technique placée au-dessus de plusieurs PSP et acquéreurs : routage intelligent des transactions, retry en cascade sur un second acquéreur après échec, tokenisation centralisée (coffre indépendant), réconciliation et reporting unifiés. Elle réduit la dépendance à un prestataire unique et optimise coûts et taux d'acceptation. Acteurs : Payrails, Gr4vy, Primer, ou des solutions internes chez les grands marchands.

OSMP

Observatoire de la sécurité des moyens de paiement, présidé par la Banque de France : il publie le rapport annuel de référence sur la fraude aux moyens de paiement scripturaux — 1,195 milliard d'euros de fraude en 2023, avec un taux de fraude carte de 0,053 %. Il réunit banques, commerçants, associations de consommateurs et pouvoirs publics, et émet des recommandations qui font autorité (sécurisation de l'enrôlement dans les wallets, VoP, authentification).

P

Page de paiement hébergée

Page — ou champs en iframe — servie par le PSP, où le client saisit ses données de carte : celles-ci ne transitent jamais par les serveurs du commerçant. C'est le moyen le plus simple de réduire le périmètre PCI DSS (éligibilité au SAQ A). L'alternative, l'intégration par API directe, offre plus de contrôle sur l'expérience mais fait basculer le marchand en SAQ D avec des obligations bien plus lourdes.

pain.001

Message ISO 20022 d'ordre de virement (Customer Credit Transfer Initiation), transmis par l'entreprise à sa banque, typiquement via EBICS. Il porte les lots, dates d'exécution, IBAN des bénéficiaires et références de bout en bout qui se retrouveront dans les relevés du créancier. Son pendant pour l'émission de prélèvements est le pain.008.

PAN

Primary Account Number : le numéro de la carte, de 12 à 19 chiffres (16 le plus souvent), structuré en BIN + identifiant de compte + chiffre de contrôle de Luhn. C'est la donnée la plus sensible de l'écosystème carte, au cœur des exigences PCI DSS. La tendance de fond est de ne plus jamais le manipuler en clair, au profit des tokens.

PAR

Payment Account Reference (EMVCo) : référence de 29 caractères qui relie un PAN et l'ensemble des tokens qui en dérivent (wallets, network tokens). Elle permet de reconnaître un même compte carte à travers ses représentations — pour la fidélité, la gestion de la fraude ou les rapprochements — sans jamais exposer le PAN. Elle ne peut pas servir à initier un paiement.

Passkey

Identifiant FIDO2/WebAuthn : une paire de clés cryptographiques propre à chaque site, débloquée localement par biométrie ou code, par nature résistante au phishing. Elle combine possession (l'appareil) et inhérence (la biométrie), ce qui en fait un candidat solide pour la SCA bancaire et l'authentification des wallets. Les schemes la déploient dans Click to Pay et les émetteurs commencent à l'accepter pour le 3DS.

Pay-per-crawl

Mécanisme lancé par Cloudflare en juillet 2025 (en bêta) permettant à un éditeur de faire payer les robots d'indexation des IA à chaque requête d'accès à son contenu, au lieu de les bloquer ou de les laisser l'aspirer gratuitement. Il réutilise le code de statut HTTP 402 Payment Required pour signaler le tarif au crawler, ouvrant la voie à une monétisation à l'usage entre agents et sites. Il s'inscrit dans la même vague que le protocole x402 de paiement machine à machine.

PayFac

Payment Facilitator : acteur qui agrège des sous-marchands sous son propre contrat d'acquisition (master MID) et son propre KYB, permettant un onboarding en quelques minutes au lieu de plusieurs jours — modèle popularisé par Stripe et Square. Le PayFac porte le risque financier et de conformité de ses sous-marchands vis-à-vis de l'acquéreur et des schemes. En Europe, l'activité requiert en pratique un statut d'établissement de paiement ou d'agent.

PCI DSS

Payment Card Industry Data Security Standard : le référentiel de sécurisation des données de cartes (12 exigences couvrant réseau, chiffrement, accès, journalisation, tests), géré par le PCI Security Standards Council fondé par les schemes. La version 4.0 est obligatoire depuis le 31 mars 2024, ses exigences « futures » depuis le 31 mars 2025 (v4.0.1 publiée en juin 2024). Toute entité qui stocke, traite ou transmet des données carte y est soumise, avec un niveau de validation fonction des volumes.

Personal Identification Number : le code secret du porteur, vérifié soit en ligne par l'émetteur, soit hors ligne par la puce EMV. Il circule exclusivement chiffré dans des blocs normalisés (ISO 9564), manipulés par des HSM de bout en bout. En France, il est requis pour les paiements sans contact carte au-delà de 50 € et reste la méthode de vérification de référence en proximité.

PISP

Payment Initiation Service Provider : tiers agréé (DSP2) qui initie un virement directement depuis le compte bancaire du payeur, avec son consentement, via les API d'open banking. C'est le socle du « pay by bank » : combiné au virement instantané, il concurrence la carte sur l'e-commerce, les gros paniers et le paiement de factures. Le PSR (paquet DSP3) doit améliorer la qualité et l'homogénéité des API dont il dépend.

Porteur

Le titulaire de la carte (cardholder), lié à son émetteur par le contrat porteur. En France, sa responsabilité avant opposition est plafonnée à 50 € en cas de perte ou vol avec utilisation du PIN, et la fraude à distance doit lui être intégralement remboursée sauf négligence grave ou fraude de sa part (art. L. 133-19 du Code monétaire et financier). L'authentification forte a déplacé le débat vers la caractérisation de cette négligence grave.

Pré-autorisation

Autorisation de réservation (« empreinte ») sans capture immédiate, utilisée par les hôtels, loueurs et stations-service : le montant estimé bloque le plafond du porteur jusqu'à la complétion au montant final ou l'expiration. Les schemes encadrent sa durée de vie (de quelques jours à 30 jours selon le MCC) et exigent la libération des fonds non utilisés. Une pré-autorisation non soldée est une source classique de litiges porteurs.

Processeur

Prestataire technique qui traite les flux pour le compte d'un émetteur (issuer processing : autorisations, gestion du parc de cartes, oppositions) ou d'un acquéreur (acquiring processing : acceptation, compensation, litiges). Exemples : Worldline, Fiserv, Global Payments, Marqeta côté émission nouvelle génération. Le règlement Interchange impose la séparation entre le scheme et ses activités de processing.

PSP

Prestataire de Services de Paiement : au sens de la DSP2, tout fournisseur de services de paiement — banques, établissements de paiement, établissements de monnaie électronique. Dans l'usage commercial, le terme désigne le prestataire d'encaissement en ligne (Stripe, Adyen, Worldline, Checkout.com...) combinant gateway, acquisition, antifraude et reporting. Le choix du PSP détermine taux d'acceptation, coûts et périmètre PCI du marchand.

R

R-transactions

Famille des opérations SEPA « retournées », identifiées par des codes motifs ISO : reject (rejet avant règlement), return (retour après règlement), refund (remboursement demandé par le débiteur), recall (rappel par la banque du donneur d'ordre). Leur taux est l'indicateur clé de la qualité d'un flux de prélèvements — les impayés SDD (provision insuffisante, contestation) coûtent des frais par opération. Les fichiers de R-transactions alimentent le recouvrement et la mise à jour des mandats.

Ratio de chargebacks

Proportion de transactions contestées d'un marchand (nombre de disputes rapporté aux transactions du mois). Les schemes imposent des programmes de surveillance à seuils — VAMP de Visa (consolidé en avril 2025, qui agrège fraude déclarée et disputes) et ECP de Mastercard — avec des seuils de l'ordre de 0,7 à 1,5 %. Dépassement : plans de remédiation, amendes, puis résiliation du contrat d'acquisition et inscription sur les listes noires du réseau.

RDR

Rapid Dispute Resolution : dispositif Verifi (groupe Visa) de résolution automatique en pré-dispute — le marchand définit des règles (montant, motif, MCC) selon lesquelles il rembourse automatiquement, ce qui stoppe le chargeback formel avant sa création. Il économise les frais de dossier et l'effort de représentation, mais les litiges résolus restent comptabilisés dans le ratio VAMP. Équivalent côté Mastercard : les alertes Ethoca.

Reason code

Code motif normalisé d'un chargeback, propre à chaque scheme : chez Visa, familles 10.x (fraude, ex. 10.4 fraude carte absente), 12.x (erreurs de traitement) et 13.x (litiges consommateur, ex. 13.1 marchandise non reçue) ; chez Mastercard, 4837 (transaction non autorisée) ou 4853 (litige porteur). Le reason code détermine les preuves recevables et les délais du representment. L'analyse de leur distribution guide les plans anti-chargebacks.

Réconciliation

Rapprochement de bout en bout entre commandes, transactions vues par le PSP, versements reçus en banque et écritures comptables. Elle s'appuie sur les rapports de settlement du PSP, les relevés camt.053 et les références partagées (RRN, ARN, end-to-end id). C'est elle qui détecte transactions manquantes, écarts de frais, doubles versements — un chantier chronophage que l'orchestration et les données ISO 20022 réduisent fortement.

Règlement Interchange (IFR)

Règlement (UE) 2015/751 : il plafonne l'interchange des cartes de consommateurs (0,2 % débit, 0,3 % crédit), impose la séparation comptable entre schemes et activités de processing, garantit le choix de l'application sur les cartes co-badgées et oblige l'acquéreur à détailler ses commissions au commerçant. Les cartes commerciales et les schemes à trois coins purs sont hors plafonds. Il a fait chuter le coût de l'acceptation, partiellement compensé par la hausse des scheme fees.

Remboursement (refund)

Crédit initié par le commerçant vers la carte ou le compte du client après règlement : c'est une transaction distincte (et non l'annulation de la première), créditée sous 2 à 5 jours ouvrés. Règle absolue : rembourser sur le moyen de paiement d'origine — un remboursement par virement parallèle n'empêche pas un chargeback de prospérer et fait payer deux fois. L'ARN du remboursement sert de preuve en cas de contestation.

Remise

Lot de transactions capturées transmis par le commerçant (ou son terminal/PSP) à l'acquéreur pour compensation, généralement en fin de journée. En proximité française, elle s'effectue par télécollecte. La composition et l'heure limite de remise (cut-off) conditionnent la date de versement des fonds au commerçant.

Representment

Seconde présentation : la contestation d'un chargeback par l'acquéreur, qui re-soumet la transaction avec les preuves fournies par le marchand — preuve de livraison, logs 3-D Secure, correspondances client, historique de commandes. Les délais de réponse sont stricts (de l'ordre de 20 à 30 jours selon les schemes) et le dossier doit répondre précisément au reason code invoqué. Visa Compelling Evidence 3.0 permet désormais de faire requalifier une fraude alléguée en friendly fraud avec deux transactions antérieures non contestées.

Request to Pay (SRTP)

SEPA Request-to-Pay, scheme de l'EPC opérationnel depuis 2021 : un message normalisé de demande de paiement adressé au payeur, qui l'accepte et déclenche un virement — idéalement instantané — en retour. Ce n'est pas un moyen de paiement mais une couche de messagerie qui structure les paiements A2A : facture électronique, e-commerce, point de vente. Wero et plusieurs banques européennes l'utilisent comme brique sous-jacente.

Retrieval request

Demande de documentation (copy request) émise par l'émetteur avant un éventuel chargeback, pour obtenir la facturette ou les justificatifs de la transaction. Devenue rare avec la dématérialisation et la simplification des règles schemes, elle subsiste sur certains litiges et chez certains réseaux. Ne pas y répondre dans les délais peut entraîner un chargeback sans droit de représentation.

Rolling reserve

Réserve glissante : l'acquéreur ou le PSP retient un pourcentage des encaissements du marchand (typiquement 5 à 15 %) pendant une période glissante de 90 à 180 jours, pour couvrir les chargebacks et impayés futurs. Elle est systématique dans les secteurs à livraison différée ou à risque : voyage, billetterie, abonnements longs, crypto. Ses conditions (taux, durée, libération) se négocient au contrat d'acquisition.

RRN

Retrieval Reference Number : référence de 12 caractères (champ 37 des messages ISO 8583) attribuée à la transaction lors de l'autorisation, qui la suit jusqu'au règlement. C'est la clé de rapprochement la plus utilisée entre les systèmes du marchand, de l'acquéreur et de l'émetteur. Elle figure sur les tickets TPE et dans la plupart des back-offices.

RUM

Référence Unique de Mandat : identifiant (35 caractères maximum) attribué par le créancier à chaque mandat de prélèvement SEPA. Le couple ICS + RUM identifie le mandat de manière unique dans tout l'espace SEPA et doit figurer dans chaque échéance SDD ainsi que dans la pré-notification adressée au débiteur. Un changement de RUM sans émission de nouveau mandat provoque des rejets.

S

SAQ

Self-Assessment Questionnaire : questionnaire d'auto-évaluation PCI DSS destiné aux marchands non soumis à un audit sur site par un QSA. Le type applicable dépend de l'intégration : SAQ A (paiement totalement externalisé, redirect ou iframe), SAQ A-EP (le site du marchand influence le flux de paiement), SAQ D (données de cartes touchées — des centaines d'exigences). Le choix de l'architecture de paiement est donc d'abord une décision de périmètre de conformité.

SCA

Strong Customer Authentication : authentification forte exigée par la DSP2, reposant sur au moins deux facteurs indépendants parmi connaissance (code), possession (téléphone, carte) et inhérence (biométrie). Elle s'applique aux paiements électroniques initiés par le payeur, avec des exemptions encadrées : faible montant (≤ 30 €), analyse de risque TRA, bénéficiaires de confiance — les MIT étant hors champ. Sa généralisation en France (2021) a fait chuter la fraude e-commerce authentifiée, au prix d'une friction que l'écosystème optimise depuis.

Scheme

Réseau de paiement définissant marques, règles et infrastructures : schemes cartes internationaux (Visa, Mastercard, Amex), domestiques (CB en France, girocard en Allemagne, Bancomat en Italie), et schemes interbancaires SEPA gérés par l'EPC (SCT, SCT Inst, SDD, SRTP). Le scheme fixe l'interchange (sous plafond réglementaire), arbitre les litiges et se rémunère par les scheme fees. Y adhérer suppose licence, conformité et participation aux règlements.

Scheme fees

Commissions facturées par les réseaux (Visa, Mastercard, CB...) aux émetteurs et acquéreurs : frais d'autorisation, de compensation, de licence de marque, de services optionnels. Composante croissante et peu lisible de la MSC : le régulateur britannique PSR a documenté une hausse de plus de 30 % en termes réels entre 2017 et 2021 chez Visa et Mastercard, sans amélioration de service correspondante. La tarification Interchange++ permet au commerçant de les voir ligne à ligne.

Scoring de fraude

Évaluation en temps réel du risque d'une transaction, combinant règles expertes, machine learning, empreinte d'appareil (device fingerprinting), vélocité et signaux comportementaux. Le score déclenche l'acceptation directe, un challenge 3-D Secure ou le refus, et alimente la demande d'exemption TRA. Les moteurs des PSP mutualisent les signaux de milliers de marchands, un avantage décisif sur les dispositifs isolés.

SCT

SEPA Credit Transfer : le virement SEPA standard en euros, scheme EPC lancé en 2008, crédité au plus tard le jour ouvré suivant (J+1). Il transporte 140 caractères de libellé et des références de bout en bout, et s'échange via les CSM. C'est toujours le véhicule des salaires, pensions et règlements fournisseurs, progressivement concurrencé par l'instantané.

SCT Inst

SEPA Instant Credit Transfer (2017) : virement en euros crédité en moins de 10 secondes, 24 h/24, 365 j/an. Le plafond de 100 000 € du scheme a été levé dans le cadre de la mise en conformité avec le règlement IPR — chaque PSP fixe désormais ses propres limites. Il représentait environ 20 % des virements de la zone euro début 2025, en forte accélération depuis la gratuité imposée par l'IPR.

SDD

SEPA Direct Debit : le prélèvement SEPA, fondé sur un mandat signé au créancier (identifié par ICS + RUM). Deux variantes : Core (tout débiteur, remboursement sans motif pendant 8 semaines, 13 mois en cas d'opération non autorisée) et B2B (entre professionnels, sans droit à remboursement, mandat enregistré par la banque du débiteur). Les impayés circulent sous forme de R-transactions facturées au créancier.

SEPA

Single Euro Payments Area : l'espace unique de paiement en euros — une quarantaine de pays (UE, EEE, Royaume-Uni, Suisse, micro-États) — où virements et prélèvements obéissent aux mêmes standards : IBAN, messages ISO 20022, schemes de l'EPC. La migration des formats nationaux s'est achevée en 2014 dans la zone euro. Un paiement SEPA transfrontière doit coûter le même prix qu'un paiement domestique.

Settlement

Règlement : le transfert effectif des fonds entre acteurs, après le clearing. Pour le commerçant, c'est le versement de l'acquéreur (J+1 à J+3 typiquement), net ou brut des commissions selon le contrat ; pour les infrastructures systémiques, il s'opère en monnaie de banque centrale (TARGET, TIPS). Les rapports de settlement du PSP sont la pièce maîtresse de la réconciliation.

Smart routing

Routage dynamique de chaque transaction vers le meilleur chemin d'encaissement : choix de la marque sur carte co-badgée (CB vs international), de l'acquéreur (coût, taux d'acceptation par BIN ou devise), bascule automatique sur un second acquéreur après un échec technique. Gains typiques : quelques dixièmes de point de taux d'acceptation et des économies de MSC substantielles à volume élevé. C'est l'argument central des plateformes d'orchestration.

Soft decline

Refus d'autorisation « souple », réversible : l'émetteur ne rejette pas la carte mais exige une action, typiquement une authentification (réponse 1A / 65 « SCA required »). Le bon réflexe est de rejouer immédiatement la transaction avec un parcours 3-D Secure. À l'inverse, un hard decline (carte volée, compte clos, fonds insuffisants) ne doit jamais être retenté à l'identique — les schemes pénalisent les retries abusifs.

Soft descriptor

Libellé qui apparaît sur le relevé bancaire du porteur, paramétrable par transaction chez la plupart des acquéreurs. Un libellé clair — nom commercial reconnaissable, ville ou contact — réduit sensiblement les chargebacks « transaction non reconnue », première source de friendly fraud involontaire. Les schemes encadrent son format (longueur, préfixe du PayFac pour les sous-marchands).

SoftPOS

Transformation d'un smartphone ou d'une tablette du commerçant en terminal d'acceptation sans contact, sans aucun matériel dédié (« Tap to Pay on iPhone/Android »). La sécurité est encadrée par le standard PCI MPoC, qui autorise notamment la saisie du PIN sur l'écran (PIN on Glass). C'est la voie d'équipement privilégiée des très petits commerçants, artisans et livreurs.

Stablecoin

Crypto-actif dont la valeur est stabilisée par indexation sur une monnaie (le plus souvent le dollar) et adossée à des réserves, par opposition aux crypto-actifs volatils. Le marché est de l'ordre de 250 milliards de dollars début 2026, dominé par l'USDT de Tether et l'USDC de Circle. Dans l'Union européenne il relève de MiCA (jetons EMT et ART) et, aux États-Unis, du GENIUS Act ; son usage comme rail de paiement et de règlement, notamment pour les agents IA via x402, est en forte croissance.

STAN

System Trace Audit Number : compteur à 6 chiffres (champ 11 des messages ISO 8583) attribué par l'initiateur du message, unique par jour et par système ou terminal. Combiné à la date, l'heure et au TID, il identifie sans ambiguïté un échange lors des recherches d'incidents et des réconciliations. Il sert aussi à apparier une demande d'annulation avec l'autorisation d'origine.

Stand-in

Stand-In Processing (STIP) : le scheme — ou le processeur — autorise à la place de l'émetteur lorsque celui-ci est indisponible ou répond trop lentement, selon des paramètres pré-convenus (plafonds par transaction et par période, MCC autorisés, vérification du CVV). Il garantit la disponibilité du réseau mais transfère du risque à l'émetteur, qui découvre les transactions a posteriori. Les paramètres de stand-in font partie des négociations d'adhésion au scheme.

STET

CSM créé par les grandes banques françaises : il compense les paiements de détail français — virements, prélèvements et transactions cartes CB (système CORE(FR)) — soit de l'ordre de 30 milliards d'opérations par an, ce qui en fait l'un des tout premiers systèmes de paiement de détail européens. Le règlement final s'effectue en monnaie de banque centrale via TARGET. Il opère aussi une offre de clearing SEPA paneuropéenne et le traitement de l'instantané.

Surcharging

Majoration du prix facturée au client selon le moyen de paiement utilisé. Elle est interdite dans l'UE pour les cartes de consommateurs dont l'interchange est plafonné par l'IFR (interdiction posée par la DSP2) ; la France l'interdit de manière générale pour tous les moyens de paiement. Elle reste possible dans certains pays sur les cartes commerciales, dans la limite du coût réel supporté.

SWIFT

Société coopérative belge opérant le réseau mondial de messagerie financière interbancaire : plus de 11 000 institutions dans plus de 200 pays. Elle transporte les paiements transfrontières (messages MT historiques, puis MX/ISO 20022, avec une fin de coexistence en novembre 2025) sans jamais détenir les fonds. SWIFT gpi a ramené la majorité des virements internationaux à moins de 30 minutes avec traçabilité de bout en bout.

T

Télécollecte

Transmission — historiquement nocturne — des remises stockées dans le TPE vers l'acquéreur pour compensation, via le protocole CB2A en France. La session enchaîne télécollecte des transactions, téléparamétrage du terminal et mise à jour des tables de sécurité. Le passage du RTC à l'IP l'a fiabilisée, et les terminaux connectés en permanence tendent vers la remise au fil de l'eau.

TID

Terminal ID : identifiant du terminal — ou du point d'encaissement logique — attribué par l'acquéreur et rattaché à un MID. Il figure sur les tickets clients et dans les messages d'autorisation, et permet de localiser précisément une transaction dans un parc multi-caisses. Indispensable au support technique, à la lutte contre la fraude interne et à la réconciliation par point de vente.

TIPS

TARGET Instant Payment Settlement : le service de l'Eurosystème (2018) qui règle les virements instantanés en monnaie de banque centrale, 24 h/24, transaction par transaction, en quelques secondes. Le règlement IPR et les décisions de la BCE poussent tous les PSP de la zone euro à y être joignables, directement ou via un CSM. Il élimine le risque de crédit interbancaire sur l'instantané, contrairement aux modèles à règlement différé.

Tokenisation

Remplacement d'une donnée sensible — le PAN au premier chef — par un jeton sans valeur exploitable, la correspondance étant conservée dans un coffre sécurisé (vault). Elle se décline en tokens propriétaires des PSP et en network tokens des schemes, aux cycles de vie différents. Bénéfices : réduction drastique du périmètre PCI DSS, neutralisation des fuites de données, continuité des paiements enregistrés.

TPE

Terminal de Paiement Électronique : l'équipement d'acceptation carte en proximité — lecture puce et sans contact, saisie du PIN, demande d'autorisation, télécollecte. Il est certifié PCI PTS pour la sécurité matérielle et agréé par les schemes acceptés (CB en France). Le marché évolue vers les terminaux Android riches en applications, le SoftPOS sans matériel et les protocoles unifiés nexo.

TRA

Transaction Risk Analysis : exemption de SCA fondée sur le taux de fraude global du PSP qui la demande — jusqu'à 100 € si son taux de fraude est ≤ 0,13 %, 250 € si ≤ 0,06 %, 500 € si ≤ 0,01 %. L'émetteur reste libre de refuser l'exemption et de répondre par un soft decline exigeant l'authentification. Point clé : quand l'exemption est demandée côté acquéreur, la responsabilité en cas de fraude reste au commerçant — c'est un arbitrage conversion/risque.

V

Verifiable credential

Attestation numérique infalsifiable et signée cryptographiquement, dont le modèle de données (W3C Verifiable Credentials Data Model 2.0) est une recommandation du W3C depuis mai 2025. Elle permet à son porteur de prouver un attribut — identité, habilitation, mandat — de façon sélective et vérifiable sans interroger l'émetteur en ligne. Brique du portefeuille d'identité européen (eIDAS 2.0), elle sert aussi de socle aux mandats des protocoles de paiement agentique comme AP2.

Verification of Payee (VoP)

Vérification de concordance entre le nom du bénéficiaire saisi par le payeur et le titulaire réel de l'IBAN, avec réponse match, close match (nom approchant affiché) ou no match avant validation du virement. Obligatoire dans la zone euro depuis le 9 octobre 2025 en application du règlement IPR, sur les virements instantanés comme classiques. C'est l'arme principale contre la fraude au faux RIB et les erreurs de saisie ; l'EPC en a normalisé le scheme et les API interbancaires.

Virement instantané

Nom courant du SCT Inst : les fonds sont disponibles chez le bénéficiaire en moins de 10 secondes, à toute heure, tous les jours. Depuis le règlement IPR, il ne peut pas être facturé plus cher qu'un virement classique — de fait gratuit dans la plupart des banques françaises depuis janvier 2025 — ce qui a fait décoller son usage. Son irrévocabilité en fait la cible privilégiée des fraudes par manipulation, d'où l'obligation conjointe de Verification of Payee.

W

Wallet

Portefeuille électronique. Deux familles : les wallets pass-through (Apple Pay, Google Wallet), où la carte tokenisée (DPAN) transite vers les rails carte classiques, et les wallets staged ou à solde (PayPal, comptes à valeur stockée), qui intercalent un compte entre le client et le commerçant. En France, l'OSMP surveille particulièrement l'enrôlement des cartes dans les wallets, vecteur identifié de fraude lorsqu'il est mal authentifié.

Wero

Wallet de paiement européen d'EPI, fondé sur le virement instantané de compte à compte — sans carte, donc sans interchange ni scheme international. Lancé en 2024 pour le paiement entre particuliers (Allemagne, France, Belgique), il succède à Paylib en France et s'étend progressivement au e-commerce puis au point de vente sur 2025-2027. C'est le pari des banques européennes pour une souveraineté des paiements face à Visa, Mastercard et aux wallets américains.

X

x402

Protocole de paiement ouvert lancé par Coinbase en mai 2025, qui ressuscite le code de statut HTTP 402 Payment Required pour intégrer le paiement nativement dans les échanges web. Il permet des micro-paiements par requête réglés en stablecoins (USDC), sans compte ni redirection, ce qui en fait un rail de choix pour les agents IA et les API facturées à l'usage (dont le pay-per-crawl). C'est l'une des briques d'un web où les machines paient les machines.