Paiement par lien : comment fonctionnent les liens de paiement, frais et fraude

Comment fonctionne un lien de paiement

Un lien de paiement est une URL qui ouvre une page de caisse hébergée par un fournisseur de paiement. Vous le créez dans le tableau de bord, l'application ou l'API du fournisseur avec un montant, une description et parfois une date d'expiration ou une limite du nombre d'utilisations. Vous l'envoyez par texto, courriel, clavardage ou code QR. Le client l'ouvre sur son propre appareil, saisit ses détails de carte ou de portefeuille, et le fournisseur envoie le paiement pour autorisation. Vous recevez une notification et le paiement apparaît dans votre compte comme toute autre vente en ligne. Les liens peuvent être à usage unique pour une facture ou un dépôt, ou réutilisables pour un article à prix fixe comme un cours ou un montant de don. Comme la page appartient au fournisseur, vous n'avez pas besoin d'un site Web, d'un panier d'achat ni d'un terminal pour prendre le paiement.

Lien de paiement vs facture

Les deux se chevauchent, et plusieurs fournisseurs mettent un lien de paiement dans chaque facture. Une facture est un document de facturation formel. Elle porte des postes, des taxes, des échéances, des numéros de facture et des conditions de paiement, et elle peut envoyer des rappels automatiques et enregistrer des paiements partiels. Un simple lien de paiement est plus léger : un montant et un bouton de paiement. Utilisez une facture lorsque l'équipe des comptes fournisseurs du client a besoin d'un document, lorsque vous facturez à terme, ou lorsque vous voulez des rappels et des rapports d'échéancier. Utilisez un lien pour les dépôts, les commandes téléphoniques, les soldes ponctuels et les conversations qui se terminent par « comment est-ce que je vous paie? ». Vérifiez la tarification, car certains fournisseurs facturent la même chose pour les deux et d'autres ajoutent des frais de facturation ou un forfait mensuel.

Tarification carte absente

Un paiement par lien est une transaction carte absente. La carte n'est ni approchée, ni insérée, ni glissée sur un terminal, alors l'interchange des réseaux de cartes pour ces ventes est généralement plus élevé que pour les ventes carte présente, et les fournisseurs à taux fixe publient habituellement un taux en ligne plus élevé. Saisir manuellement un numéro de carte dans un terminal virtuel est aussi carte absente. Plusieurs fournisseurs facturent un supplément pour les cartes saisies manuellement, car c'est l'entreprise, pas le client, qui manipule le numéro de carte. Par exemple, la page de tarification américaine de Square liste un taux distinct pour la saisie manuelle et les paiements par carte en dossier. Avec un fournisseur en interchange plus, la majoration est fixe et l'interchange sous-jacent varie selon la carte et le type de transaction. Comparez le coût total par vente, y compris les frais mensuels, pas seulement le pourcentage annoncé.

Tarification publiée des liens et factures

Le tableau montre les frais que chaque fournisseur publie sur sa propre page de tarification américaine, vérifiée le 14 septembre 2026. Les taux changent et peuvent différer selon le forfait, le type de carte, le pays et le volume. La tarification personnalisée n'est pas montrée. Confirmez sur la page du fournisseur avant de vous inscrire.

Contrôles de fraude : AVS, CVV et 3-D Secure

Les pages de caisse hébergées prennent habituellement en charge trois vérifications principales. Le service de vérification d'adresse (AVS) compare le code postal ou l'adresse de facturation que le client saisit avec ce que l'émetteur a au dossier. La vérification du code de sécurité de carte (CVV2 ou CVC2) confirme que le client a le code imprimé sur la carte. Aucun des deux ne bloque une vente à lui seul. Les paramètres de votre fournisseur déterminent si une discordance refuse le paiement. EMV 3-D Secure, maintenu par EMVCo, envoie des données de transaction, d'appareil et de paiement à l'émetteur de carte afin que celui-ci puisse authentifier le titulaire de carte. EMVCo décrit deux parcours : un flux sans friction où l'émetteur approuve en arrière-plan après une évaluation du risque, et un flux avec défi où le client confirme avec un code à usage unique, une application bancaire ou la biométrie. Selon les règles du réseau et le résultat, une authentification 3-D Secure réussie peut transférer la responsabilité de certaines rétrofacturations pour fraude à l'émetteur. Demandez à votre fournisseur si 3-D Secure est activé par défaut et combien cela coûte. D'autres signaux utiles sont une adresse de livraison inhabituelle, de nombreuses tentatives d'un même appareil, et un client qui vous demande d'envoyer le lien à un nouveau numéro ou courriel.

Risque d'hameçonnage et d'usurpation

Les liens de paiement habituent les clients à cliquer sur un lien dans un message et à saisir des détails de carte. Les criminels copient ce modèle avec de faux textos et courriels « payez votre solde ». Plus vos messages ressemblent à ceux de tout le monde, plus ils sont faciles à imiter. Réduisez le risque en envoyant seulement lorsque le client s'y attend, par exemple après un appel, une soumission ou un travail terminé. Incluez le nom de votre entreprise, le montant et son objet. Dites à l'avance à vos clients quel canal vous utilisez et que vous ne demanderez jamais de détails de carte par réponse. Là où le fournisseur l'offre, utilisez un domaine personnalisé pour la page de caisse afin que le lien montre votre propre marque. La page de tarification de Stripe, par exemple, liste une option de domaine personnalisé payante. Évitez les raccourcisseurs de liens publics, qui cachent la destination du lien. Donnez aux clients un moyen de vérifier, comme un numéro de téléphone sur votre site Web ou une option de payer depuis leur compte client à la place.

Envoyer des liens par texto : consentement et identification de l'expéditeur

Aux États-Unis, la messagerie texte d'entreprise fonctionne selon les règles des opérateurs autant que la loi. Les principes et pratiques exemplaires de messagerie de la CTIA disent que les expéditeurs de messages devraient obtenir le consentement des consommateurs, donner des divulgations claires sur le type et l'objet des messages, s'identifier, respecter les désabonnements comme STOP et conserver des registres des consentements et désabonnements. Les opérateurs s'attendent maintenant à ce que la messagerie texte d'entreprise à partir de numéros standards à 10 chiffres soit enregistrée, habituellement par le biais de l'enregistrement de campagne 10DLC organisé par votre fournisseur de messagerie. Les numéros sans frais et les codes courts ont leurs propres processus de vérification. Envoyer des liens de paiement à partir d'un numéro enregistré et constant avec le nom de votre entreprise dans la première ligne aide à la livraison et à la confiance. Texter à partir d'un téléphone cellulaire personnel n'aide ni l'un ni l'autre. Les règles de consentement en vertu du Telephone Consumer Protection Act et des lois d'État s'appliquent aussi. Obtenez un avis si vous prévoyez texter des clients qui ne vous ont pas contacté en premier.

Portée PCI : pages hébergées et SAQ A

Comme le client saisit les données de carte sur la page du fournisseur, le numéro de carte ne touche jamais vos systèmes. C'est le principal avantage PCI des liens de paiement. La FAQ 1588 (février 2025) du PCI Security Standards Council traite du critère d'admissibilité du SAQ A sur les attaques par scripts. Elle précise que le critère ne s'applique pas aux commerçants qui redirigent les clients vers la page d'un fournisseur de paiement, ni à ceux qui externalisent entièrement les fonctions de paiement, par exemple en envoyant par courriel un lien vers le site Web du fournisseur. Ces commerçants doivent tout de même respecter les autres conditions du SAQ A. Celles-ci comprennent l'utilisation d'un fournisseur conforme à la norme PCI DSS, ne pas stocker, traiter ni transmettre électroniquement des données de carte sur leurs propres systèmes, et confirmer la conformité du fournisseur. Votre acquéreur confirme quel questionnaire s'applique. Vous perdez l'avantage si le personnel prend les numéros de carte au téléphone et les saisit dans le lien pour le client, ou si vous notez des détails de carte.

Remboursements et différends

Remboursez un paiement par lien du tableau de bord du fournisseur vers la carte d'origine. La plupart des fournisseurs ne remboursent pas leurs frais de traitement sur les remboursements. Vérifiez les conditions de chaque fournisseur. Les ventes carte absente sont exposées aux réclamations de fraude « je n'ai pas autorisé cela » et aux différends « non conforme à la description ». Conservez les preuves ensemble : la soumission ou la facture, le fil de messages montrant que le client a demandé le lien, le registre de livraison ou d'achèvement du travail, les résultats AVS et CVV, et le résultat de l'authentification 3-D Secure s'il en existe un. Mettez votre politique de remboursement sur la facture ou la page de caisse. Utilisez un descripteur de facturation que le client reconnaîtra. Répondez aux avis de différend avant l'échéance fixée par votre fournisseur, car une échéance manquée signifie habituellement que le différend est perdu.

Où les liens de paiement trouvent leur place

Les liens conviennent aux entreprises qui vendent à distance ou terminent le travail loin d'un comptoir. Les exemples comprennent les dépôts pour métiers et services sur le terrain, les services professionnels, les tuteurs et entraîneurs, les réservations d'événements, les commandes téléphoniques pour restaurants et détaillants, et les soldes après une visite en magasin. Ils conviennent moins aux ventes de comptoir à volume élevé, où un terminal est plus rapide et la tarification carte présente est habituellement plus basse, et à la facturation récurrente, où les abonnements avec carte stockée ou les factures avec paiement automatique sont plus faciles à gérer. Plusieurs entreprises utilisent les trois : un terminal en personne, des liens pour les paiements ponctuels à distance, et des factures pour les comptes à terme.