Introduction : l'émission de cartes bancaires, un système d'ingénierie à part entière
Émettre une carte bancaire ne se résume pas à imprimer un plastique avec un logo. Derrière chaque carte Visa ou Mastercard émise au Maroc se cache une infrastructure technique complexe : des systèmes d'autorisation en temps réel, des modules cryptographiques, des protocoles de sécurité, des connexions aux réseaux internationaux et un cadre réglementaire strict.
Ce guide s'adresse aux équipes techniques - CTO, architectes système, responsables produit - qui veulent comprendre comment fonctionne l'émission de cartes bancaires au Maroc, quels sont les composants nécessaires, et comment un partenaire BaaS comme ChariBaaS permet de simplifier ce processus.
Si vous cherchez plutôt une vue d'ensemble business sur les cartes en marque blanche, consultez notre article : Carte bancaire en marque blanche au Maroc.
Architecture d'un système d'émission de cartes
Un système d'émission de cartes bancaires (card issuing system) se décompose en plusieurs couches techniques, chacune ayant un rôle précis dans le cycle de vie de la carte et des transactions.
Le Card Management System (CMS)
Le CMS est le cœur du système. Il gère le cycle de vie complet de chaque carte : création, activation, suspension, remplacement, renouvellement et clôture. C'est dans le CMS que sont stockées les données de la carte (PAN, date d'expiration, statut), les règles du programme et les paramètres de chaque porteur.
Les fonctions principales du CMS incluent :
- Gestion du cycle de vie : création de cartes physiques et virtuelles, activation, blocage temporaire, remplacement, annulation
- Paramétrage des règles : plafonds de transaction (par jour, par semaine, par mois), restrictions géographiques, restrictions par type de marchand (MCC)
- Gestion des porteurs : lien entre la carte, le compte de paiement et l'identité du porteur
- Reporting : extraction de données pour la conformité, le pilotage commercial et l'analyse de fraude
Le processeur d'autorisation (Authorization Engine)
Quand un porteur présente sa carte chez un marchand ou en ligne, une demande d'autorisation est envoyée en temps réel à l'émetteur. Le processeur d'autorisation est le composant qui reçoit cette demande, l'évalue et renvoie une réponse (approbation ou refus) en quelques millisecondes.
Le processeur d'autorisation exécute les contrôles suivants à chaque transaction :
- Vérification du statut de la carte : la carte est-elle active ? Non expirée ? Non bloquée ?
- Vérification du solde : le compte de paiement associé dispose-t-il des fonds suffisants ?
- Contrôle des limites : la transaction respecte-t-elle les plafonds définis (montant unitaire, cumul journalier, nombre de transactions) ?
- Restrictions MCC : le type de marchand est-il autorisé par les règles du programme ?
- Contrôles de fraude : les règles de détection de fraude (vélocité, géolocalisation, comportement inhabituel) sont-elles respectées ?
- Authentification 3D Secure : pour les transactions en ligne, le processeur gère le flux 3DS (Verified by Visa / Mastercard SecureCode)
Le temps de réponse est critique : les réseaux Visa et Mastercard imposent un délai maximum de réponse de 2 à 3 secondes. Au-delà, la transaction est automatiquement refusée (timeout).
Le module cryptographique (HSM)
Le HSM (Hardware Security Module) est un dispositif matériel dédié à la gestion des clés cryptographiques. Il est indispensable pour :
- La génération des clés de carte : chaque carte possède des clés cryptographiques uniques (CVV, iCVV, dCVV) générées et stockées dans le HSM
- La vérification des PIN : le PIN est vérifié en comparant le PIN chiffré reçu avec la valeur stockée, sans jamais exposer le PIN en clair
- Le chiffrement des données sensibles : les PAN et autres données sensibles sont chiffrés au repos et en transit via des clés gérées par le HSM
- La tokenisation : génération et gestion des tokens pour les paiements mobiles et en ligne
Les HSM utilisés dans l'industrie des cartes doivent être certifiés FIPS 140-2 Level 3 ou supérieur, et conformes aux exigences PCI PTS (Pin Transaction Security).
La passerelle réseau (Network Gateway)
La passerelle réseau est le point de connexion entre le système de l'émetteur et les réseaux de paiement (Visa, Mastercard). Au Maroc, cette connexion peut passer par le Centre Monétique Interbancaire (CMI), qui joue le rôle d'intermédiaire pour les transactions domestiques, ou être établie directement avec les réseaux pour les transactions internationales.
La passerelle réseau gère :
- Les messages ISO 8583 : le protocole standard utilisé pour les transactions par carte (autorisations, annulations, reversals)
- Le routage : aiguillage des transactions vers le bon réseau selon le BIN
- La compensation et le règlement : échange des fichiers de clearing avec les réseaux pour le règlement financier des transactions
Le flux d'une transaction de bout en bout
Pour bien comprendre l'infrastructure, suivons le parcours complet d'une transaction par carte, du moment où le porteur présente sa carte jusqu'au règlement final.
Phase 1 : Autorisation (temps réel)
- Le porteur présente sa carte chez un marchand (paiement par puce, NFC ou en ligne)
- Le terminal de paiement du marchand envoie une demande d'autorisation à son acquéreur (la banque du marchand)
- L'acquéreur transmet la demande au réseau (Visa ou Mastercard) via le protocole ISO 8583
- Le réseau identifie l'émetteur grâce au BIN et route la demande vers le processeur de l'émetteur
- Le processeur d'autorisation exécute les contrôles (statut, solde, limites, fraude)
- Le processeur renvoie une réponse (code 00 = approuvé, ou un code de refus)
- La réponse remonte la chaîne : réseau, acquéreur, terminal, et le marchand voit "Transaction approuvée"
L'ensemble de ce flux se déroule en moins de 2 secondes dans des conditions normales.
Phase 2 : Compensation (clearing)
En fin de journée, les transactions autorisées sont consolidées dans des fichiers de clearing échangés entre l'émetteur, le réseau et l'acquéreur. C'est lors de cette phase que les montants exacts sont confirmés (le montant final peut différer légèrement de l'autorisation, par exemple pour les pourboires au restaurant ou les transactions en devises).
Phase 3 : Règlement (settlement)
Le règlement est le transfert effectif des fonds. L'émetteur débite le compte du porteur et transfère les fonds au réseau, qui les redistribue à l'acquéreur du marchand. Ce processus intervient généralement en J+1 ou J+2.
Certification PCI-DSS : une obligation incontournable
Toute entité qui stocke, traite ou transmet des données de carte doit être conforme au standard PCI-DSS (Payment Card Industry Data Security Standard). Pour un émetteur de cartes, cette certification est non négociable.
Les 12 exigences PCI-DSS
Le standard PCI-DSS comprend 12 exigences regroupées en 6 objectifs :
- Installer et maintenir un pare-feu pour protéger les données des titulaires de cartes
- Ne pas utiliser les paramètres par défaut des fournisseurs pour les mots de passe et la sécurité
- Protéger les données stockées des titulaires de cartes (chiffrement, masquage)
- Chiffrer la transmission des données de carte sur les réseaux publics
- Utiliser et mettre à jour des logiciels antivirus
- Développer et maintenir des systèmes et applications sécurisés
- Restreindre l'accès aux données des titulaires de cartes
- Attribuer un identifiant unique à chaque utilisateur du système
- Restreindre l'accès physique aux données des titulaires de cartes
- Tracer et surveiller tous les accès aux ressources réseau et aux données
- Tester régulièrement les systèmes de sécurité
- Maintenir une politique de sécurité de l'information
Niveaux de conformité
Pour les émetteurs de cartes, le niveau de conformité le plus élevé (Level 1) est généralement requis. Cela implique un audit annuel sur site par un QSA (Qualified Security Assessor) certifié par le PCI SSC, ainsi que des tests de pénétration trimestriels par un ASV (Approved Scanning Vendor).
Le coût d'obtention et de maintien de la certification PCI-DSS Level 1 est significatif : entre 500 000 et 2 000 000 MAD par an, en comptant l'audit, les tests, l'infrastructure de sécurité et les ressources humaines dédiées.
La tokenisation : sécuriser les paiements modernes
La tokenisation est devenue un pilier de l'émission de cartes modernes. Elle est indispensable pour supporter les paiements mobiles (Apple Pay, Google Pay, Samsung Pay) et les transactions en ligne récurrentes.
Comment fonctionne la tokenisation
Le principe est simple : le numéro de carte réel (PAN) est remplacé par un jeton (token) unique, généré par le Token Service Provider (TSP) du réseau de paiement. Ce token est lié à un contexte spécifique : un appareil, un marchand ou un canal de paiement.
Quand un porteur ajoute sa carte à Apple Pay, par exemple :
- L'application envoie les données de la carte au TSP de Visa ou Mastercard
- Le TSP contacte l'émetteur pour vérifier et autoriser la tokenisation
- L'émetteur approuve et le TSP génère un token (DPAN - Device PAN)
- Le token est stocké dans le Secure Element du téléphone
- Lors d'un paiement, c'est le token qui est transmis, jamais le PAN réel
Avantages de la tokenisation pour l'émetteur
- Réduction de la fraude : un token volé n'est pas utilisable en dehors de son contexte
- Mise à jour automatique : quand une carte est renouvelée, les tokens sont mis à jour automatiquement, sans que le porteur ait à re-enregistrer sa carte
- Meilleure expérience utilisateur : les paiements mobiles sont plus rapides et plus fluides
- Conformité PCI simplifiée : les marchands qui utilisent des tokens n'ont pas besoin de stocker des PAN
Les protocoles de sécurité : 3D Secure et EMV
3D Secure 2 (3DS2)
Le protocole 3D Secure est le standard d'authentification pour les paiements en ligne. Sa version 2 (3DS2), désormais obligatoire au Maroc pour les transactions e-commerce, améliore significativement l'expérience utilisateur par rapport à la première version.
En 3DS2, l'émetteur reçoit un ensemble de données contextuelles sur la transaction (appareil utilisé, adresse IP, historique du porteur) et peut décider d'authentifier le porteur de manière "frictionless" (sans interaction) ou de demander une authentification forte (OTP par SMS, biométrie).
L'émetteur doit déployer un ACS (Access Control Server) pour gérer le flux 3DS2. Cet ACS reçoit les demandes d'authentification, évalue le risque, et renvoie la décision au marchand via le Directory Server du réseau.
EMV et les cartes à puce
Le standard EMV (Europay, Mastercard, Visa) régit les transactions par carte à puce et sans contact (NFC). Chaque carte EMV contient une puce qui génère un cryptogramme unique pour chaque transaction, rendant la copie de carte pratiquement impossible.
Pour un émetteur, la conformité EMV implique :
- La personnalisation des puces : chargement des clés cryptographiques, des données du porteur et des paramètres de risque dans la puce lors de la fabrication
- La gestion des scripts EMV : l'émetteur peut envoyer des commandes à la puce via des scripts (mise à jour des compteurs, changement de PIN, blocage de carte)
- Le support des transactions sans contact : configuration des paramètres NFC (CVM limit, floor limit)
Intégration API : comment ChariBaaS simplifie l'émission
L'un des principaux avantages du modèle BaaS est de transformer cette complexité technique en APIs simples et bien documentées. Plutôt que de construire et de certifier votre propre infrastructure, vous intégrez les APIs de votre partenaire BaaS.
Les endpoints principaux
Un système d'émission de cartes via API expose généralement les endpoints suivants :
- POST /cards : créer une nouvelle carte (physique ou virtuelle) pour un porteur donné
- GET /cards/{id} : récupérer les détails d'une carte (statut, type, date d'expiration)
- PATCH /cards/{id} : modifier les paramètres d'une carte (limites, statut, restrictions)
- POST /cards/{id}/activate : activer une carte physique après réception
- POST /cards/{id}/freeze : bloquer temporairement une carte
- POST /cards/{id}/unfreeze : débloquer une carte
- GET /cards/{id}/transactions : lister les transactions d'une carte
- POST /cards/{id}/pin/reset : réinitialiser le PIN d'une carte
- GET /cards/{id}/sensitive-data : récupérer les données sensibles (PAN, CVV) pour affichage sécurisé dans l'application
Webhooks et événements
En complément des APIs, un système d'émission de cartes envoie des notifications en temps réel via des webhooks pour chaque événement significatif :
- card.created : une carte a été créée
- card.activated : une carte a été activée
- card.frozen / card.unfrozen : blocage ou déblocage
- transaction.authorized : une transaction a été autorisée
- transaction.declined : une transaction a été refusée
- transaction.settled : une transaction a été réglée
- transaction.reversed : une transaction a été annulée
Ces webhooks permettent à votre application de réagir en temps réel : notification push au porteur, mise à jour du solde affiché, déclenchement d'alertes de sécurité.
Sécurité de l'intégration
L'accès aux APIs d'émission de cartes est protégé par plusieurs couches de sécurité :
- Authentification OAuth 2.0 : chaque appel API est authentifié via un token bearer
- Chiffrement TLS 1.3 : toutes les communications sont chiffrées en transit
- IP Whitelisting : seules les adresses IP autorisées peuvent appeler les APIs
- Données sensibles tokenisées : les PAN et CVV ne sont jamais transmis en clair dans les réponses API ; ils sont accessibles uniquement via un endpoint dédié avec un token à usage unique
Le rôle du CMI dans l'écosystème marocain
Le Centre Monétique Interbancaire (CMI) est un acteur central de l'écosystème de paiement par carte au Maroc. Créé par les banques marocaines, il joue un double rôle : acquéreur domestique et switch monétique.
Le CMI comme switch
Le CMI route les transactions domestiques entre émetteurs et acquéreurs marocains. Quand un porteur d'une carte émise au Maroc paie chez un marchand marocain, la transaction peut transiter par le switch du CMI plutôt que par les réseaux internationaux. Cela réduit les coûts de traitement et les délais.
Les implications pour un émetteur
Un émetteur de cartes au Maroc doit être connecté au CMI (directement ou via son processeur) pour :
- Traiter les transactions domestiques efficacement
- Participer au système de compensation interbancaire
- Respecter les règles de routage locales définies par Bank Al-Maghrib
Construire vs acheter : le calcul économique
Les équipes techniques qui évaluent un programme d'émission de cartes se trouvent face à un choix fondamental : construire leur propre infrastructure ou s'appuyer sur un partenaire BaaS.
Construire en interne
Construire sa propre infrastructure d'émission implique :
- Obtenir un agrément d'établissement de paiement auprès de Bank Al-Maghrib (6 à 18 mois)
- Obtenir un BIN auprès de Visa ou Mastercard (processus de certification membre)
- Déployer un CMS et un processeur d'autorisation (achat ou licence d'un logiciel spécialisé)
- Installer et certifier des HSM (200 000 à 500 000 MAD par module)
- Obtenir la certification PCI-DSS Level 1 (500 000 à 2 000 000 MAD/an)
- Se connecter au CMI et aux réseaux de paiement
- Recruter une équipe spécialisée (ingénieurs monétique, compliance officers, opérations)
Le coût total de mise en place est estimé entre 10 et 20 millions de MAD, avec un délai de 12 à 24 mois avant le premier lancement.
S'appuyer sur un partenaire BaaS
En passant par un partenaire comme ChariBaaS, vous accédez à l'ensemble de cette infrastructure via des APIs, sans investissement initial massif :
- Pas d'agrément nécessaire : ChariBaaS est déjà agréé par Bank Al-Maghrib
- Pas de BIN à obtenir : le BIN est celui du partenaire (BIN sponsorship)
- Pas de certification PCI : l'infrastructure est déjà certifiée
- Intégration rapide : 8 à 16 semaines pour un lancement
- Coût proportionnel : frais par carte émise et par transaction, plutôt qu'un investissement fixe
Ce modèle est particulièrement adapté aux fintechs, aux startups et aux entreprises qui veulent valider un cas d'usage avant d'investir massivement.
Carte physique : le processus de fabrication et de personnalisation
L'émission de cartes physiques comporte une dimension logistique importante que les équipes techniques doivent anticiper.
Fabrication
Les cartes physiques sont fabriquées par des imprimeurs certifiés par Visa et Mastercard. La fabrication comprend :
- Impression du design : les visuels sont imprimés en haute qualité sur le support PVC, PET ou métal
- Encapsulation de la puce : la puce EMV est intégrée au support et connectée aux contacts électriques
- Intégration de l'antenne NFC : pour les cartes sans contact, une antenne est intégrée dans le corps de la carte
- Contrôle qualité : chaque lot est testé pour vérifier la lisibilité de la puce, le fonctionnement du NFC et la qualité d'impression
Personnalisation électrique
La personnalisation électrique consiste à charger les données du porteur et les clés cryptographiques dans la puce de la carte. Cette étape se fait dans un environnement sécurisé certifié :
- Chargement du profil EMV : paramètres de risque, limites, application ID
- Injection des clés cryptographiques : clés de session, clés de chiffrement PIN, clés d'authentification
- Écriture des données porteur : PAN, date d'expiration, nom du porteur
Personnalisation graphique
La personnalisation graphique comprend :
- Gravure ou impression du PAN : le numéro de carte peut être gravé en relief (embossing), gravé à plat (indent printing) ou imprimé à plat
- Impression du nom du porteur et de la date d'expiration
- Application du CVV au dos de la carte
Fulfilment et expédition
Une fois personnalisée, la carte est mise sous enveloppe sécurisée avec un courrier d'accompagnement contenant les instructions d'activation. L'expédition se fait via un transporteur sécurisé, avec suivi et preuve de livraison.
Gestion de la fraude : les outils à la disposition de l'émetteur
La fraude est le risque numéro un pour un émetteur de cartes. Un programme de gestion de fraude robuste combine des règles statiques, des modèles de scoring et des outils de monitoring en temps réel.
Règles de détection
Les règles de détection les plus courantes incluent :
- Vélocité : nombre de transactions dans une fenêtre de temps (ex. plus de 5 transactions en 10 minutes)
- Montant inhabituel : transaction significativement supérieure au montant moyen du porteur
- Géolocalisation : transaction dans un pays différent de la dernière transaction, dans un délai incompatible avec un déplacement physique
- MCC à risque : certaines catégories de marchands présentent un risque de fraude plus élevé
- Tentatives multiples : plusieurs tentatives de paiement refusées en peu de temps
Scoring de risque
Les systèmes modernes attribuent un score de risque à chaque transaction en combinant les règles statiques avec des modèles de machine learning entraînés sur l'historique des transactions. Ce score détermine si la transaction est approuvée, refusée ou soumise à une vérification supplémentaire.
Monitoring et alertes
Un dashboard de monitoring en temps réel permet à l'équipe opérations de suivre les taux de fraude, les patterns suspects et les alertes. Des seuils d'alerte automatiques déclenchent des notifications quand les indicateurs dépassent les normes.
Comment ChariBaaS peut vous accompagner
ChariBaaS (Chari Money SA) est un établissement de paiement agréé par Bank Al-Maghrib qui propose une infrastructure complète d'émission de cartes accessible via API.
L'infrastructure technique ChariBaaS
- Processeur d'autorisation : traitement en temps réel avec un taux de disponibilité de 99.99%
- CMS complet : gestion du cycle de vie des cartes physiques et virtuelles
- HSM certifié : gestion cryptographique conforme aux standards PCI PTS
- Conformité PCI-DSS Level 1 : infrastructure auditée et certifiée annuellement
- Connexion CMI et réseaux : intégration directe avec le CMI, Visa et Mastercard
- Gestion de fraude : règles configurables et scoring de risque en temps réel
- 3D Secure 2 : ACS intégré pour l'authentification des transactions en ligne
- Tokenisation : support Apple Pay, Google Pay et tokenisation marchande
Pour qui ?
Ce service s'adresse aux fintechs, aux entreprises et aux plateformes qui souhaitent intégrer l'émission de cartes dans leur produit sans construire leur propre infrastructure.
Pour en savoir plus, consultez notre page services d'émission de cartes ou contactez notre équipe pour discuter de votre projet.
Conclusion
L'émission de cartes bancaires est un domaine d'ingénierie exigeant qui combine sécurité, performance, conformité et fiabilité. Chaque composant - du HSM au processeur d'autorisation, du CMS à la passerelle réseau - doit fonctionner de manière irréprochable pour garantir une expérience de paiement fluide et sécurisée.
Au Maroc, le cadre réglementaire et l'infrastructure technique sont en place. Les établissements de paiement agréés par Bank Al-Maghrib comme ChariBaaS proposent déjà des solutions d'émission de cartes accessibles via API, permettant à toute entreprise de lancer son propre programme carte sans investissement initial massif.
Le choix entre construire et acheter dépend de votre échelle, de votre ambition et de vos ressources. Mais dans la plupart des cas, le modèle BaaS offre le meilleur ratio coût/délai pour un lancement rapide et maîtrisé.
Pour aller plus loin, consultez nos ressources connexes :
Questions fréquentes
- Quels sont les composants techniques nécessaires pour émettre des cartes bancaires au Maroc ?
- L'émission de cartes bancaires au Maroc nécessite quatre composants principaux : un système de gestion de cartes (card management system), un processeur d'autorisation en temps réel, un module HSM (Hardware Security Module) pour la gestion cryptographique, et une plateforme conforme PCI-DSS. L'ensemble doit être connecté aux réseaux Visa et/ou Mastercard via le Centre Monétique Interbancaire (CMI) ou directement.
- Quelle est la différence entre un émetteur et un processeur de cartes au Maroc ?
- L'émetteur (issuer) est l'établissement agréé par Bank Al-Maghrib qui détient la responsabilité réglementaire et financière de chaque carte. Le processeur est la plateforme technique qui traite les transactions en temps réel : autorisations, compensations, gestion des limites et détection de fraude. Un émetteur peut internaliser le processing ou le déléguer à un tiers certifié.
- Combien coûte l'infrastructure technique pour émettre des cartes au Maroc ?
- Construire sa propre infrastructure de processing coûte entre 5 et 15 millions de MAD, sans compter les coûts de certification PCI-DSS et les frais de connexion aux réseaux. En passant par un partenaire BaaS comme ChariBaaS, l'investissement initial est réduit à l'intégration API et aux frais de programme, ce qui permet de lancer un programme carte pour une fraction de ce coût.
- Qu'est-ce que la tokenisation et pourquoi est-elle importante pour l'émission de cartes ?
- La tokenisation remplace le numéro de carte réel (PAN) par un jeton unique (token) lors des paiements mobiles (Apple Pay, Google Pay) et des transactions en ligne récurrentes. Elle réduit considérablement le risque de fraude car le token n'a aucune valeur en dehors de son contexte d'utilisation. Tout programme d'émission de cartes moderne doit supporter la tokenisation.