Comment les sites web acceptent les paiements par carte : le flux complet

Accepter les cartes en ligne implique une chorégraphie sécurisée multi-acteurs. Voici le flux de bout en bout.

Acteurs clés

Client — Porteur de carte.
Marchand (Site web) — Vend biens/services.
Passerelle de paiement — Pont sécurisé (Stripe, Braintree, Authorize.net, Adyen).
Acquéreur / Banque marchande — Établissement financier du marchand.
Réseau de carte — Visa, Mastercard, Amex, Discover.
Émetteur / Banque émettrice — Banque du client.

Le client saisit ses coordonnées sur la page de paiement du marchand (champs hébergés / iframe → PCI SAQ A).
La passerelle chiffre et tokenise les données (TLS 1.2+). Envoie à l'acquéreur.
L'acquéreur route vers le réseau de carte → émetteur.
L'émetteur autorise : Carte valide ? Fonds suffisants ? Règles anti-fraude OK ? → Retourne code d'autorisation (approbation/refus).
La passerelle relaie le résultat au marchand → page de succès ou erreur.
Compensation et règlement (J+1 à J+3 ouvrés) :
- Le marchand regroupe les transactions approuvées → acquéreur.
- Acquéreur → réseau → émetteur.
- L'émetteur porte au relevé du porteur ; fonds versés au compte marchand (moins frais).
Exécution de la commande déclenchée par le marchand sur succès.

PCI DSS — Obligatoire pour toute entité touchant aux données de carte. Utilisez SAQ A (champs totalement hébergés) pour minimiser le périmètre.
3D Secure 2 (3DS2) — Authentification forte (SCA) en UE/Royaume-Uni ; transfert de responsabilité.
Tokenisation — Stockez des tokens, pas les PAN, pour la facturation récurrente.

Les stacks modernes (Stripe, Braintree, Square) gèrent 90 % de cette complexité. Ne reconstruisez pas à partir de zéro.