Configurer un nouveau terminal : ce qu'exigent les règles des cartes

Ce que l'appareil lui-même doit faire

Le Tableau 5-8 s'ouvre sur des exigences qui s'appliquent à tous les appareils d'acceptation dans toutes les régions. L'appareil doit agir selon les préférences de la carte pour la vérification du titulaire de carte et/ou demander une autorisation en ligne — et la règle ajoute que lorsque le code de service, la liste des méthodes de vérification du titulaire de carte ou les qualificateurs de transaction de carte indiquent une préférence pour une signature du titulaire de carte, le commerçant peut traiter la transaction sans la signature. Il doit accepter tous les identifiants de paiement à 16 chiffres. Il doit mettre à la disposition du titulaire de carte toutes les interfaces de transaction prises en charge par le commerçant. Il doit pouvoir lire une bande magnétique et compléter une transaction par lecture de bande magnétique, sauf pour les appareils sans-contact uniquement conformes et pour un appareil d'acceptation mobile qui est à la fois conforme à la solution approuvée par PCI pour les appareils commerciaux prêts à l'emploi et capable de compléter une transaction de paiement par un autre moyen au même endroit. Rien de tout cela n'est une préférence. C'est la base que la boîte est censée respecter à l'arrivée.

Le test de niveau 3 est le travail de l'acquéreur, et il a des déclencheurs

La section 5.6.2.1 exige qu'un acquéreur complète avec succès le test Visa Global Level 3 en utilisant les fichiers de test Visa Global L3 avant de déployer un nouvel appareil de lecture de puce, après un changement important à un appareil de lecture de puce, et pour résoudre un problème d'interopérabilité tel qu'exigé par Visa, en soumettant les résultats via l'outil de rapport de conformité des puces (Chip Compliance Reporting Tool). Dans les régions LAC et É.-U., la soumission via CCRT n'est pas requise pour les acquéreurs participant au programme d'auto-accréditation des acquéreurs de puces (Global Chip Acquirer Self Accreditation Program). Cela importe pour un commerçant pour une raison pratique : un terminal qui arrive configuré est le résultat d'un processus que quelqu'un d'autre possède, et « un changement important » inclut le type de changement de micrologiciel ou de configuration qui survient entre votre commande et votre livraison. Demander quand la version déployée a été testée pour la dernière fois est une question raisonnable qui a une vraie réponse.

Le clavier NIP, et ce que signifie « activer »

Le Tableau 5-8 exige que pour les appareils dans un environnement en personne, le commerçant active le clavier NIP pour permettre les transactions par NIP. Pour les appareils à puce à contact, si un clavier NIP actif ou un port de clavier NIP capable de prendre en charge un NIP est utilisé, l'appareil doit se conformer aux normes de chiffrement de Visa et être actif pour les transactions initiées par puce Visa — et s'il est inactif pour les transactions initiées par puce, il doit prendre en charge un logiciel assurant la conformité aux normes de chiffrement de Visa. Un appareil à puce à contact doit aussi être un appareil de lecture de puce, être approuvé par EMVCo, et traiter la transaction en utilisant les données lues sur la puce d'une carte à puce, sauf si la puce n'est pas conforme EMV, si le lecteur de puce est hors service, si la puce fonctionne mal ou ne peut être lue, ou s'il n'y a pas d'identifiant d'application mutuellement pris en charge. Un clavier NIP hors service dès le premier jour n'est pas un problème cosmétique à soulever plus tard.

Le sans-contact et le paiement par téléphone ont des points de conformité précis

Pour la puce sans-contact, le Tableau 5-8 exige une certification EMVCo de niveau 1 avec un appareil de couplage de proximité à portée complète et une certification EMVCo ou Visa de niveau 2; que l'appareil ne limite pas le montant d'une transaction sans-contact; qu'il transmette le champ indicateur de facteur de forme à Visa dans la demande d'autorisation et le relevé de compensation lorsqu'il est fourni; et qu'il soit capable d'activer et de traiter activement une transaction en utilisant le chemin de transaction qVSDC. Les appareils conformes à la spécification de paiement sans-contact Visa 2.1 ou ultérieure, ou à l'EMV Contactless Book C-3, doivent fixer la limite de vérification du titulaire de carte requise par le lecteur et la limite plancher sans-contact du lecteur aux valeurs applicables. Pour une solution Tap to Phone, l'appareil doit se conformer à la spécification de noyau Visa Ready Tap to Phone VRTPKS V1.1 ou ultérieure. Ces niveaux de certification ont des significations publiées : EMVCo indique que le test de niveau 1 « évalue la conformité de l'appareil d'acceptation aux protocoles de communication définis dans les spécifications EMV Chip Contact and Contactless », et que le test de niveau 2 « évalue la conformité de l'appareil d'acceptation aux fonctionnalités logicielles définies » dans celles-ci. Notre guide sur le paiement sans contact explique ce que ce cadre demande d'un téléphone utilisé comme terminal.

Les appareils sans-contact uniquement comportent une condition que l'on oublie souvent

Le Tableau 5-8 précise qu'un appareil sans-contact uniquement doit « ne pas avoir un lecteur de puce à contact ou une fente pour bande magnétique désactivés », et que pour une solution Tap to Phone, il doit se conformer aux exigences de l'acquéreur de la section 5.6.3.1. C'est une règle plus stricte qu'elle n'y paraît : un appareil ne devient pas sans-contact uniquement en désactivant simplement les autres lecteurs, et un comptoir qui a discrètement désactivé sa fente à puce pour accélérer une file d'attente a changé le statut de l'appareil sans remplir les conditions requises. La section 5.6.2.3 fixe des conditions distinctes pour le déploiement d'appareils d'acceptation sans-contact uniquement. Si vous envisagez de retirer une interface des options du client, c'est une conversation à avoir avec votre acquéreur.

Un exemple illustratif de mise en service qui a révélé les problèmes

Exemple illustratif, chiffres ronds inventés. Un commerce installe quatre nouveaux terminaux et effectue 20 transactions de test sur ceux-ci avant l'ouverture : une sur chaque interface prise en charge par le commerce, plus un refus, une annulation, un remboursement partiel et une vente saisie manuellement. Deux constatations en ressortent, et aucune n'est exotique. Le clavier NIP d'un terminal est inactif, alors que le Tableau 5-8 exige qu'il soit activé dans un environnement en personne. L'en-tête du reçu d'un terminal porte le nom commercial du commerçant précédent, ce qui est un problème de descripteur qui refait surface plus tard sous forme de litiges. Les deux se corrigent en vingt minutes un mardi, mais gâchent un après-midi un samedi. Notre guide sur les descripteurs de facturation explique pourquoi le second mérite plus d'attention qu'il n'y paraît.