بوابة الدفع الإلكتروني في المغرب: كيف تعمل، من يشغّلها، وكيف تختارونها

بوابة الدفع الإلكتروني في المغرب (payment gateway) هي الخدمة التي تتيح لمقاولة أن تستخلص من زبنائها بالبطاقة أو نقدًا، بالدرهم، في حساب باسمها، دون أن تلمس رقم بطاقة واحدًا. وهي تستند إلى مؤسسة مرخَّصة من بنك المغرب. وسواء بحثتم عن «بوابات الدفع الالكتروني في المغرب» أو عن «منصة دفع» أو عن «حلول الدفع الإلكتروني في المغرب»، فالسؤال واحد: أيّ بوابة، وبأيّ كلفة، وكيف تُدمج؟ تجيب هذه الصفحة بالمعايير لا بالترتيب، وبأرقامنا المنشورة، وبقواعد السوق كما تغيّرت سنة 2025، وبكود حقيقي.

بوابة الدفع، المنصة، مزوّد خدمات الدفع، المعالج: من يفعل ماذا

التعريف في أربعين كلمة

بوابة الدفع هي الخدمة التي تعرض على زبونكم صفحة أداء، وتُخضع العملية للمصادقة، وتنقل طلب الترخيص، وتُخطر خادمكم بالنتيجة بطريقة موثوقة، ثم تضع المال رهن إشارتكم في حساب أداء، قبل أي دفعة نحو بنككم.

في المغرب، تدلّ أربع تسميات على الخدمة نفسها تقريبًا، كلٌّ منها من زاوية. «بوابة الدفع» تركّز على الجانب التقني: الصفحة المستضافة، وAPI، والإشعارات. و«منصة الدفع» و«حل الدفع» تعنيان العرض الكامل، ومعه بوابة التاجر التي تديرون منها حسابكم. و«معالج الدفع» (payment processor) هو الفاعل الذي يعالج الترخيص والتسوية. أما «مزوّد خدمات الدفع» (PSP) فهو المصطلح التنظيمي والتجاري للجهة التي تبيعكم الخدمة. تفصّل صفحة مزوّد خدمات الدفع في المغرب هذا الدور الأخير، ويقارن دليل كيف تختارون منصة الدفع بين عائلات العروض. أما هنا، فحديثنا عن البوابة نفسها: ما يجب أن تتوفر عليه، وكم تكلّف، وكيف تُربط بنشاطكم.

سلسلة الأداء، من الزبون إلى حساب الأداء

يعبر الأداء عبر الإنترنت ست حلقات في بضع ثوانٍ. ومعرفتها تعني أن تعرفوا أين يمكن أن يتعثّر الأداء، ومن المسؤول في كل مرحلة.

1. 1الزبون يفتح صفحة الأداء التي تستضيفها البوابة، من موقعكم، أو من رابط وصله عبر WhatsApp، أو من رمز QR معروض في متجركم.
2. 2الصفحة المستضافة تستقبل بيانات البطاقة داخل محيط حاصل على شهادة PCI DSS؛ ولا يرى خادمكم رقم البطاقة أبدًا.
3. 3مصادقة ‎3-D Secure: يتحقق بنك المشتري من العملية، برمز يصله عبر SMS أو بتأكيد في تطبيقه البنكي. والبنك هو من يقرر، معاملةً بمعاملة.
4. 4طلب الترخيص يعبر شبكات البطاقات حتى يبلغ بنك المشتري، الذي يقبله أو يرفضه.
5. 5الويب هوك الموقَّع يُخطر خادمكم بالنتيجة: payment.succeeded، أو payment.failed إن طلبتموه. هو المرجع الذي يُعتدّ به، لا صفحة العودة أبدًا.
6. 6حساب الأداء المفتوح باسمكم يُقيَّد بالمبلغ؛ وتتصرّفون فيه وفق القواعد التي يضعها مزوّدكم.

وحين يختار الزبون النقد — على صفحة رابط دفع يُستعمل مرة واحدة —، يحلّ محلّ الحلقات من الثانية إلى الرابعة مرجعٌ يُسدَّد في وكالة؛ أما الحلقتان الخامسة والسادسة فلا تتغيّران. وهذا ما يجعل الطريقة شفافة تمامًا بالنسبة إلى كودكم وإلى محاسبكم.

مزوّد خدمات الدفع، البوابة، مؤسسة الأداء، المقتني: الجدول

في ChariPay، تُشغَّل البوابة من طرف Chari Money، مؤسسة الأداء المرخَّصة من بنك المغرب، وهي نفسها التي تمسك حساب الأداء الخاص بكم.

وللسؤال الأول في الجدول جواب عملي لا يحتاج إلى أي موعد تجاري: ابدؤوا في وضع الاختبار. ثلاثة حقول — الاسم، والبريد الإلكتروني المهني، والشركة — ثم رابط تفعيل يصلكم عبر البريد الإلكتروني لاختيار كلمة المرور، فمفتاح اختبار تنشئونه بأنفسكم من بوابة التاجر، فأول أداء تجريبي ببطاقة الاختبار. السندبوكس مجانية وبلا حدّ زمني، ولا موافقة تنتظرونها؛ أما التحقق من شركتكم (KYB) فلا يُشترط إلا للانتقال إلى الإنتاج.

ما يجب أن تتوفر عليه بوابة الدفع في المغرب

أن تشغّلها مؤسسة أداء مرخَّصة من بنك المغرب (القانون ‎103-12)

تلقّي مال المشتري، والاحتفاظ به أثناء معالجة العملية، ثم تحويله إلى التاجر: هذا نشاط منظَّم. فقد أحدث القانون ‎103-12 المتعلق بمؤسسات الائتمان والهيئات المعتبرة في حكمها صفة مؤسسة الأداء: كيان متميّز عن البنوك، مرخَّص من بنك المغرب، خاضع لرقابة مستمرة، ومخوَّل لمسك حسابات الأداء وتنفيذ عمليات الأداء لحساب زبنائه. والبوابة لا «تُرخَّص» بوصفها برنامجًا؛ المرخَّص هو المؤسسة التي تشغّلها. ويعرض بنك المغرب، في صفحته الرسمية هيكل النظام البنكي، عدد مؤسسات الائتمان والهيئات المعتبرة في حكمها المرخَّص لها في المغرب، حسب الفئة — ومؤسسات الأداء فئة قائمة بذاتها — وتطوّر هذا العدد سنةً بعد سنة (آخر سنة معروضة: 2024). ولكل مزوّد، اطلبوا الاسم الدقيق للكيان المرخَّص الذي سيمسك أموالكم، وتحقّقوا منه لدى المصادر الرسمية، وفي مقدّمتها بنك المغرب، لا في الإعلانات ولا في المقارنات المنشورة هنا وهناك.

شهادة PCI DSS من المستوى 1

معيار PCI DSS هو معيار أمن بيانات البطاقات الذي يصدره مجلس معايير أمان صناعة بطاقات الدفع (PCI Security Standards Council)، وقد وُضع، كما يصفه المجلس، لتعزيز أمن بيانات حسابات بطاقات الدفع وتشجيع الاعتماد الواسع لتدابير متّسقة لأمن البيانات في العالم كله. والمستوى 1 هو أكثر المستويات صرامة. وبوابة حاصلة على الشهادة في هذا المستوى تُبقيكم خارج المحيط الثقيل: فأنتم تاجر لا يرى رقم بطاقة أبدًا، ويتقلّص استبيان التقييم الذاتي الخاص بكم تبعًا لذلك — وهي نقطة تؤكّدونها مع مستشاركم. ومنصة ChariPay حاصلة على شهادة PCI DSS من المستوى 1، تُجدَّد كل سنة؛ والتفاصيل في صفحة الأمان.

القانون ‎09-08

بيانات زبنائكم — الاسم، والبريد الإلكتروني، والهاتف، وسجل المشتريات — معطيات ذات طابع شخصي بمفهوم القانون ‎09-08، الذي تسهر على احترامه اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP). والبوابة تعالج هذه المعطيات لحسابكم: فعليها أن تقول أين تُستضاف، ومن يطّلع عليها، وكيف تُحجب في السجلات. وفي ChariPay، تُعالَج المعطيات في إطار القانون ‎09-08، وتُحجب المعطيات الحساسة في السجلات، ويخضع تصدير المعطيات الشخصية لمراقبة صارمة.

التسوية بالدرهم في حساب باسم الشركة

المقاولة المغربية تفوتر وتصرّح وتؤدي بالدرهم. لذا ينبغي أن تصل المستخلصات بالدرهم، إلى حساب ممسوك في المغرب، بـ RIB باسم الشركة، حتى يقابل كلَّ بيعٍ حركةٌ واضحة في الحساب. وكل ما يُسوّى بعملة أخرى أو عبر كيان خارج المغرب يُدخل إلى حساباتكم تنظيم الصرف وفوارق التحويل بين العملات، وعلى خبيركم المحاسب أن يفسّرها سطرًا بسطر. وفي ChariPay، كل شيء بالدرهم، دون أي تحويل عملة؛ بل إن API لا تتضمن أصلًا حقلًا للعملة.

ما الذي تغيّر سنة 2025: من يحق له تشغيل الاقتناء بالبطاقة

لسنوات، ظلّ الاقتناء بالبطاقة في المغرب — أي نشاط قبول معاملات البطاقة لحساب التجار — متمركزًا لدى مشغّل بين بنكي وحيد. وبموجب قراره رقم ‎152/D/2024 بتاريخ 31 أكتوبر 2024، جعل مجلس المنافسة الالتزامات التي قدّمها هذا المشغّل والبنوك المساهمة فيه ملزِمة، بهدف فتح هذه السوق أمام المنافسة. ويوضّح بلاغ المجلس بتاريخ 19 ماي 2025 الجدول الزمني، بالفرنسية:

« les EDP et les filiales des banques dédiées à l'acquisition dûment autorisées, peuvent, dès le premier mai 2025, opérer sur le marché »

أي إن مؤسسات الأداء (EDP) وفروع البنوك المخصّصة للاقتناء، المرخَّص لها وفق القانون، يمكنها أن تعمل في هذه السوق منذ فاتح ماي 2025. ويشير البلاغ نفسه إلى أن المرحلة الانتقالية تنتهي في فاتح نونبر 2025، فيما يذكّر البلاغ المشترك لمجلس المنافسة وبنك المغرب بتاريخ 10 يوليوز 2026 بأن هذا القرار فرض تفويت كامل محفظة عقود التجار التي كانت لدى المشغّل السابق، في أجل أقصاه 31 يناير 2026 بالنسبة إلى العقود الخاصة، و30 أبريل 2026 بالنسبة إلى العقود العمومية. وعمليًا بالنسبة إليكم: لم يعد الاقتناء بالبطاقة حكرًا على فاعل واحد، وصار سؤال «أيّ كيان هو المرخَّص، ولأيّ نشاط؟» أول ما تطرحونه على أي مزوّد.

ملاحظتان أخريان، تحقّقنا منهما يوم تحرير هذه الصفحة. لا يرد المغرب في لائحة البلدان التي تتوفر فيها سترايب (Stripe)، المنشورة على stripe.com/global؛ ويفصّل مقال سترايب Stripe في المغرب الإطار الذي ينطبق، وما تترتّب عليه الحلول الالتفافية. أما ما يتيحه باي بال (PayPal) لمقاولة مستقرة في المغرب وما لا يتيحه، فيتناوله مقال باي بال PayPal في المغرب. وفي الحالتين، يبقى الجواب المتناسب مع زبناء مغاربة هو الاستخلاص المحلي، بالدرهم، في حساب باسمكم.

طرق الدفع التي تستخلصها البوابة

بطاقات Visa وMastercard وMaroc Pay مع ‎3-D Secure

ينبغي لبوابة دفع تعمل في المغرب أن تقبل البطاقات الدولية والمحلية معًا؛ وفي ChariPay، تُقبل افتراضيًا بطاقات Visa وMastercard وMaroc Pay، مع مصادقة ‎3-D Secure. وواقعتان ميدانيتان تؤثّران في نسبة نجاح أداءاتكم أكثر من أي إعداد تقني. الأولى: كثير من البطاقات المغربية مغلقة افتراضيًا أمام الأداء عبر الإنترنت، وعلى الزبون أن يفعّلها لدى بنكه. والثانية: أسباب الفشل هي، بالترتيب، التخلي أثناء المصادقة، ثم رفض البنك المُصدِر، ثم البيانات الخاطئة، ثم الاشتباه في الاحتيال. وتسجّل بوابة التاجر وAPI سبب كل رفض، ويجب أن تُفتح صفحة الأداء في علامة التبويب الرئيسية، لا داخل iframe مخفي أبدًا. ويمكن في ChariPay تفعيل وسائل أخرى بطلب، حسب نشاطكم.

النقد في الوكالة، بالمرجع

جزء من زبنائكم لا يملك بطاقة، أو يرفض استعمالها عبر الإنترنت. وChariPay هي بوابة الدفع الوحيدة في المغرب التي تستخلص النقد أيضًا في الوكالة: على صفحة رابط دفع يُستعمل مرة واحدة، يختار الزبون النقد، فيتلقى مرجعًا، ويودع المبلغ في وكالة من شبكة Chari. ويصلكم payment.succeeded بمجرد أن تؤكد الشبكة الإيداع، فتتحول حالة الرابط إلى «مدفوع»، ويصبح المبلغ متاحًا في تلك اللحظة. وعبر API، يمنح رابطٌ أُنشئ بـ paymentMethod: CASH المؤدّيَ رمز cashinCode يقدّمه في الوكالة؛ وكل أداء نقدي يستند إلى رابط يُستعمل مرة واحدة: مرجع واحد لكل إيداع. أما جلسة الدفع المنشأة عبر API فلا تستخلص إلا البطاقة: ولكي يعرض المتجر النقد عند الطلب، ينشئ رابطًا يُستعمل مرة واحدة لكل طلب.

وبالنسبة إلى متجر يعيش على الدفع عند الاستلام، هذا هو الفرق بين نقد يتنقّل مع عامل التوصيل وطلبٍ يغادر المستودع مدفوعًا سلفًا. ويقارن مقال الدفع الإلكتروني في المغرب بين الطرق بالتفصيل.

البوابة + حساب الأداء: المال متاح في اللحظة

البوابة التي تُخطركم بأداء، والحساب الذي يستقبله، شيئان مختلفان؛ فحسب المزوّد، قد يبقى المال في انتظار التسوية. أما في ChariPay، فكل أداء ناجح — بالبطاقة أو نقدًا — يصبح متاحًا في اللحظة في حساب الأداء الخاص بكم: حساب أداء حقيقي خاضع للتنظيم، تمسكه Chari Money، بـ RIB باسم شركتكم وشهادة PDF قابلة للتنزيل من بوابة التاجر أو عبر API. لا «يوم + 1»، ولا رصيد نائم.

وهذا حساب الأداء بـ RIB يُستعمل كحساب حقيقي. ترسلون منه تحويلات نحو أي حساب لدى بنك مغربي: يُعرض بيان الرسوم قبل التأكيد، ويُصادَق على التحويل برمز لمرة واحدة إن فعّلتم هذا التحقق، وتُطبَّق مهلة أمان بعد إضافة أي مستفيد جديد، ويمكنكم الوصول إلى خمسة مستفيدين مفضّلين على الأكثر لتحويل سريع، ويتوصل المستفيد بالمال في غضون 24 ساعة عمل كما تشير إلى ذلك بوابة التاجر. وتؤدّون فواتيركم لدى الدائنين المرجعيين — الهاتف، والماء، والكهرباء، والضريبة على السيارات — من الرصيد مباشرة، برمزَي تحقق وإيصال يُرسَل عبر SMS. وتطلقون تعبئات الاتصالات عبر API. أما الدفعة نحو بنككم فتبقى عملية مستقلة، على إيقاعكم: تلقائية كل ليلة بمجرد ضبط حساب تسوية، أو بتحويل عند الطلب.

حساب الأداء يكمّل بنككم ولا يحلّ محله: يخرج منه المال بتحويل أو بأداء فاتورة أو بتعبئة اتصالات، وتفصل أدوار بوابة التاجر — المالك، والمسيّر، وأمين الصندوق، والمحاسب — بين من يطّلع ومن يُطلق العمليات، وتُسجَّل كل عملية في سجل تدقيق مسلسل تشفيريًا لا يمكن إعادة كتابته.

كم تكلّف بوابة الدفع في المغرب

البنود الخمسة في أي عرض سعر

يُقرأ عرض سعر بوابة الدفع في المغرب على خمسة أسطر، أيًّا كان المزوّد. اطلبوها كلها قبل أي مقارنة.

1. 1رسوم التشغيل، تُؤدّى مرة واحدة، وتسمّى أحيانًا رسوم التركيب أو الإدماج.
2. 2العمولة عن كل معاملة ناجحة، بنسبة مئوية، يُضاف إليها أحيانًا مبلغ ثابت؛ وتختلف حسب وسائل الأداء والمنتجات وحجم المعاملات.
3. 3الضمانة، أي وديعة الضمان، وشروط استرجاعها.
4. 4الدفعات نحو بنككم: وتيرتها، ورسومها إن وُجدت، وقبل كل شيء أجل إتاحة الأموال — وهو السطر الأكثر كلفة حين يبقى غامضًا.
5. 5الاستردادات: هل هي مجانية أم مؤدّى عنها، وهل تُرَدّ العمولة الأولى عند الاسترداد.

وسعر «ابتداءً من» لا يقول شيئًا، وحده، عن البنود الأربعة الأخرى: اطلبوا البنود الخمسة كتابةً من كل مزوّد حتى تقارنوا عروضًا كاملة.

أرقامنا المنشورة

السندبوكس مجانية، بلا حدّ زمني ودون التزام: 0 درهم. ورسوم التشغيل 6 000 درهم شاملة الضريبة، تُؤدّى مرة واحدة عند الانتقال إلى الإنتاج — ولا شيء قبل ذلك. أما العمولة بالنسبة المئوية عن كل معاملة ناجحة فتُحدَّد، كالضمانة، بعد دراسة ملفكم، حسب منتجاتكم ووسائل الأداء وحجم معاملاتكم؛ ولا ننشر عمولة «ابتداءً من»، بل يصلكم عرض مفصَّل بالأرقام قبل أي التزام. واسترداد المال لزبون مجاني، كليًا أو جزئيًا. وكل تحويل من الحساب يعرض بيان رسومه قبل التأكيد. ويشمل العرض دون أي إضافة: حساب الأداء بـ RIB وشهادته، وبوابة التاجر كاملة، والنقد في الوكالة، والمستعملين والأدوار، والويب هوك الموقَّع مع مفاتيح السندبوكس والإنتاج، وتتبّع المعاملات، ومواكبة الانتقال إلى الإنتاج من طرف فريق الإدماج. والتفاصيل في صفحة التسعير.

إدماج البوابة: بلا كود ومع الكود

ثلاثة مداخل تغطي أغلب الحالات؛ تختارون المدخل الذي يناسب طريقة بيعكم، ويمكنكم الجمع بين أكثر من مدخل. وعنوان أساسي واحد، https://api-psp.charipay.ma، يخدم السندبوكس والإنتاج معًا: المفتاح هو الذي يحدّد البيئة، chari_sk_test_… للاختبار، وchari_sk_live_… للمال الحقيقي.

روابط الدفع (رابط، QR، ملصق PDF، WhatsApp)

رابط الدفع هو الإدماج بلا كود: مبلغ، ووصف، وصفحة أداء جاهزة للمشاركة عبر البريد الإلكتروني أو WhatsApp أو رمز QR أو ملصق PDF يُطبع ويُعلَّق قرب الصندوق. يُستعمل مرة واحدة أو مرات متعددة، وتنتهي صلاحيته بعد 24 ساعة أو 7 أيام أو 30 يومًا، أو لا تنتهي أبدًا، أو في تاريخ تحددونه؛ وحالاته: نشط، ومدفوع، وملغى، ومنتهي الصلاحية. يتم كل ذلك من بوابة التاجر — أو بنداء API واحد، كما تصفه صفحة روابط الدفع:

curl -X POST 'https://api-psp.charipay.ma/v1/payment-links' \
  -H 'X-CHARI-PAY-API-KEY: chari_sk_test_...' \
  -H 'Content-Type: application/json' \
  -H 'Idempotency-Key: 7f3a9c12' \
  -d '{
    "amount": 149.90,
    "description": "الطلب 1234",
    "singleUse": true,
    "paymentMethod": "CARD",
    "customerPhone": "+212600000000",
    "externalId": "order-1234",
    "notificationUrl": "https://votre-boutique.ma/webhooks/charipay"
  }'

يتضمن الجواب reference الخاص بالرابط وpayUrl، أي العنوان العام الذي تشاركونه. وإعادة النداء بالـ externalId نفسه تُرجع الرابط الموجود بدل إنشاء رابط ثانٍ. ومع "paymentMethod": "CASH"، ينتج الطلب نفسه مرجعًا يُسدَّد نقدًا في الوكالة.

صفحة الدفع المستضافة مع ‎3-D Secure

بالنسبة إلى موقع تجاري، يصبح كل طلب جلسة دفع: تنشئونها من جهة الخادم، وتحيلون المشتري إلى عنوان صفحة الدفع الذي يعود به الجواب، فيؤدي بالبطاقة مع ‎3-D Secure، وتؤكدون الطلب عند وصول الويب هوك — لا بمجرد عودة المشتري إلى موقعكم أبدًا. والجلسة لا تستخلص إلا البطاقة: فلكي تعرضوا النقد في الوكالة أيضًا، أنشئوا للطلب رابط دفع يُستعمل مرة واحدة، كما في المثال أعلاه — بالويب هوك payment.succeeded نفسه وبالكشف نفسه. والجلسة تُستعمل مرة واحدة، وتنتهي صلاحيتها افتراضيًا بعد 72 ساعة من إنشائها، وتحمل ألوانكم وشعاركم، ولا تلمسون بيانات البطاقة في أي لحظة. تصف صفحة الأداء عبر الإنترنت المسار، ويقدّم مرجع جلسات الدفع كل حقل. وبلغة Python:

import os, requests

response = requests.post(
    'https://api-psp.charipay.ma/v1/payment-sessions',
    headers={
        'X-CHARI-PAY-API-KEY': os.environ['CHARI_PAY_API_KEY'],
        'Content-Type': 'application/json',
        'Idempotency-Key': 'order-2026-0421-payment',
    },
    json={
        'amount': 250.00,
        'orderId': 'ORD-2026-0421',
        'externalId': 'order-2026-0421',
        'config': {
            'customer': {
                'firstName': 'Amine',
                'lastName': 'Bennani',
                'email': 'amine.bennani@example.com',
                'phone': '+212600000000',
            },
            'urls': {
                'accept': 'https://votre-boutique.ma/paiement/succes',
                'decline': 'https://votre-boutique.ma/paiement/echec',
                'notification': 'https://votre-boutique.ma/webhooks/charipay',
            },
        },
        'metadata': {'cartId': 'c_987'},
    },
)
response.raise_for_status()
data = response.json()  # data['sessionId'], data['checkoutUrl'], data['expiresAt']

يعني الرمز 201 أن الجلسة أُنشئت للتو؛ ويعني 200 مع الـ externalId نفسه أنها كانت موجودة من قبل. وكلاهما نجاح. والمبلغ بالدرهم، بالوحدات الكبرى مع رقمين عشريين؛ وorderId مرجعكم التجاري، دون شرط تفرّد؛ أما metadata فتعود كما هي في الويب هوك.

واجهة API REST: ثلاثة نداءات

يكفي الإدماجَ الكامل ثلاثة نداءات: الإنشاء (رابط أو جلسة)، والتحقق (الويب هوك الموقَّع)، والاسترداد (POST /v1/refunds، بجواب 202، ثم الحدث refund.succeeded). والويب هوك هو القطعة الأهم. فكل إرسال يحمل الترويسة X-CHARI-SIGNATURE، وهي HMAC-SHA256 بالنظام الست عشري محسوبة على timestamp + "." + rawBody، والترويسة X-CHARI-TIMESTAMP بالميلي ثانية؛ وتزيلون التكرار بالاعتماد على Chari-Event-Id. وهذا هو التحقق كما يوثّقه مرجع الويب هوك:

const crypto = require('crypto');

function verify(rawBody, signature, timestamp, secret) {
  // نافذة مكافحة الإعادة: ±5 دقائق — والطابع الزمني بالميلي ثانية.
  if (Math.abs(Date.now() - Number(timestamp)) > 5 * 60 * 1000) return false;

  const expected = crypto
    .createHmac('sha256', secret)
    .update(`${timestamp}.${rawBody}`)
    .digest('hex');

  // التوقيع المشوَّه يُرجع false — ولا يرمي استثناءً أبدًا (فالرمز 500 يطلق إعادة المحاولات).
  if (!/^[0-9a-f]{64}$/i.test(signature)) return false;

  // مقارنة بزمن ثابت: لا `===` أبدًا.
  return crypto.timingSafeEqual(Buffer.from(expected, 'hex'), Buffer.from(signature, 'hex'));
}

وإن لم يُجب خادمكم برمز 2xx، يُعاد الإرسال — بعد دقيقة، ثم 5 دقائق، ثم 30 دقيقة، ثم ساعة، ثم كل 6 ساعات، حتى 16 محاولة على مدى 72 ساعة تقريبًا — ويعرض سجل الإرسال في بوابة التاجر كل محاولة. وتضم API اثني عشر نموذجًا و62 نقطة نهاية، موثّقة علنًا بأمثلة بـ curl وJavaScript وPython وPHP، مع مجموعة Postman ومواصفة OpenAPI: انظروا صفحة API الدفع، ولقراءة موجَّهة، دليل API الدفع في المغرب.

متاجر Shopify وWooCommerce والمواقع المخصّصة: عبر API، دون أي إضافة

لنقلها صراحة: لا توجد إضافة ChariPay لمنصة Shopify ولا لمنصة WooCommerce، ولا امتداد يُثبَّت. على هاتين المنصتين، تستخلصون بإحدى طريقتين. دون مطوّر، برابط دفع يُرسَل عند تأكيد الطلب. ومع مطوّر، بإنشاء جلسة دفع عند المصادقة على السلة، ثم وسم الطلب «مدفوعًا» عند وصول الويب هوك — ويكفي لذلك صنف PHP أو خدمة Node صغيرة. والموقع المخصّص يتبع النمط نفسه تمامًا. ويفصّل دليل الدفع الإلكتروني للتجارة الإلكترونية في المغرب المسارين، منصةً بمنصة، وما يغيّرانه في الدفع عند الاستلام.

اختيار بوابتكم: شبكة المعايير العشرة

لا ننشر أي مقارنة بالأسماء: فالأرقام المتداولة عن المزوّدين نادرًا ما تكون موثّقة المصدر، وجدول يذكر عمولات غير متحقَّق منها يضلّل أكثر مما يفيد. وإليكم بدلًا من ذلك الشبكة التي يمكنكم ملؤها لدى مزوّدكم الحالي أو لدى أي مرشّح — العمود الوحيد المملوء هو عمود ChariPay، ملأناه نحن بالحقائق الواردة في هذه الصفحة.

وإن عجز مزوّد عن الإجابة كتابةً عن أحد هذه الأسئلة العشرة، فاعتبروا الجواب «لا». وللمنهجية الكاملة — عائلات العروض، والأسئلة التي تُطرح، والأخطاء التي تُتجنّب — اقرؤوا كيف تختارون منصة الدفع.

من السندبوكس إلى الإنتاج في ثماني خطوات

يُفتح وضع الاختبار منذ التسجيل، ولا موافقة تنتظرونها لتبدؤوا. والتحقق من شركتكم لا يُشترط إلا للإنتاج.

1. 1أنشئوا حساب الاختبار في بوابة التاجر: ثلاثة حقول — الاسم، والبريد الإلكتروني المهني، والشركة — ثم رابط التفعيل الذي يصلكم عبر البريد الإلكتروني لاختيار كلمة المرور.
2. 2سجّلوا الدخول، واختاروا شركتكم، وإن طلب حسابكم ذلك، فعّلوا تطبيقًا للمصادقة الثنائية.
3. 3أنشئوا مفتاح الاختبار بأنفسكم، بالصلاحيات التي يحتاجها إدماجكم فقط: لا يُعرض المفتاح كاملًا إلا مرة واحدة، فاحفظوه في خزنة أسرار أو في متغيّر بيئة.
4. 4أنشئوا رابط دفع أو جلسة دفع وأدّوها ببطاقة الاختبار الوحيدة: الرقم ‎4918 9141 0719 5005، وCVV 123، وتاريخ انتهاء في المستقبل، ورمز ‎3-D Secure هو 555. وكل رقم آخر يُرفض.
5. 5صرّحوا بنقطة استقبال الويب هوك على HTTPS عمومي، وأرسلوا حدثًا تجريبيًا، وتحقّقوا من التوقيع ومن إزالة التكرار، ثم اختبروا أداءً مرفوضًا واستردادًا، لا الحالة الناجحة وحدها.
6. 6كوّنوا ملف الإنتاج: وثائق الهوية والسجل التجاري، مع موافقة بشرية مزدوجة؛ ويصلكم العرض المفصَّل بالأرقام — العمولة والضمانة — بعد الدراسة.
7. 7أدّوا رسوم التشغيل البالغة 6 000 درهم شاملة الضريبة؛ وما دام الإنتاج غير مفعَّل، يتلقى المفتاح chari_sk_live_… جوابًا صريحًا 403 برمز PRODUCTION_ACCESS_NOT_ENABLED.
8. 8يوم الانتقال، غيّروا المفتاح وسرّ الويب هوك — ولا شيء غيرهما: العناوين والحمولات ورموز الخطأ متطابقة. واحتفظوا بالسندبوكس بيئةً للتجربة قبل كل تعديل.

حالات الاستخدام

التجارة الإلكترونية

ينشئ المتجر الإلكتروني جلسة لكل طلب، ويحيل المشتري إلى صفحة الدفع المستضافة، ويؤكد الطلب عند وصول الويب هوك. ويتيح له النقد في الوكالة، المعروض عبر رابط دفع يُستعمل مرة واحدة يُنشأ للطلب، أن يعوّض الدفع عند الاستلام: يغادر الطلب مدفوعًا سلفًا، ويختفي الطرد المرفوض. ويغطي المتجر المستضاف من ChariPay أيضًا حالة من لا موقع له: نشر المنتجات وتتبّع الطلبات — في انتظار الأداء، ومدفوع، ومشحون، ومسلَّم. نقطة الانطلاق: الدفع الإلكتروني للتجارة الإلكترونية في المغرب.

البرمجيات كخدمة (SaaS) والاشتراكات

البرنامج الذي يُباع بالاشتراك يحتاج إلى حل دفع يدير الموافقة الصريحة للزبون، والإشعار المسبق قبل كل استحقاق، وحالات فشل الاقتطاع. ومع الاشتراكات، يُعاد الاقتطاع الفاشل في أربع محاولات — يوم الاستحقاق، ثم بعد يوم، ثم بعد ثلاثة أيام، ثم بعد سبعة أيام — وتصل كل مرحلة عبر الويب هوك، وتتيح نقطة نهاية خاصة بالسندبوكس فرض الاستحقاق التالي لتمرير سنة كاملة من الفوترة في دقيقة.

الأسواق الإلكترونية وشبكات الموزّعين

تستخلص السوق الإلكترونية (marketplace) أو شبكة الامتياز أو شبكة الموزّعين لحساب الغير. وينشئ نموذج التوزيع تجارًا فرعيين لكل منهم محفظته الخاصة، مع التحقق من الهوية (KYC)، وسقوف للأرصدة، وتجميع مركزي، ودفعات بموافقة مزدوجة؛ ويمكن لجلسة الدفع أن تحدّد المحفظة التي تُقيَّد. إنه حل الدفع الخاص بشبكة، لا بتاجر واحد.

البيع عبر WhatsApp وInstagram

التجارة التي تبيع عبر المراسلة لا تحتاج إلى موقع ولا إلى مطوّر: رابط دفع بمبلغ عرض السعر، يُرسَل في المحادثة، ويُؤدّى بالبطاقة أو نقدًا في الوكالة، فتظهر حالة «مدفوع» في بوابة التاجر. والملصق بـ QR يؤدي المهمة نفسها في المتجر للأداء بالبطاقة، والزبناء المسجَّلون يُعاد استعمالهم من بيع إلى آخر.

أسئلة شائعة

ما هي بوابة الدفع الإلكتروني؟

بوابة الدفع الإلكتروني هي الخدمة التي تعرض صفحة أداء على زبونكم، وتُخضع العملية للمصادقة، وتنقل طلب الترخيص، وتُخطركم بالنتيجة عبر ويب هوك، ثم تضع المال رهن إشارتكم في حساب أداء. وفي المغرب، تشغّلها مؤسسة مرخَّصة من بنك المغرب أو تستند إليها، كمؤسسة الأداء، وهي صفة تخوّل مسك حسابات الأداء لفائدة التجار تحت رقابة البنك المركزي.

كيف تعمل بوابة الدفع في المغرب؟

يؤدي الزبون على صفحة مستضافة، بالبطاقة مع ‎3-D Secure، أو نقدًا مقابل مرجع يسدّده في وكالة. بالنسبة إلى البطاقة، تنقل البوابة طلب الترخيص فيقبله بنك المشتري أو يرفضه؛ وبالنسبة إلى النقد، فالعبرة بتأكيد الإيداع. ويُقيَّد الأداء الناجح في حساب الأداء الخاص بكم، ويتوصل خادمكم بويب هوك موقَّع هو المرجع المعتمد. أما الدفعة نحو بنككم فعملية مستقلة، تلقائية كل ليلة أو عند الطلب.

ما الفرق بين بوابة الدفع ومزوّد خدمات الدفع ومؤسسة الأداء؟

البوابة هي البرنامج: الصفحة المستضافة، وAPI، والويب هوك، وبوابة التاجر. ومزوّد خدمات الدفع (PSP) هو المقاولة التي تبيعكم هذه الخدمة وتشغّلها. أما مؤسسة الأداء فهي الصفة التنظيمية، المرخَّصة من بنك المغرب بموجب القانون ‎103-12، التي تخوّل مسك أموالكم في حساب أداء. وقد يجمع فاعل واحد الأدوار الثلاثة؛ ويبقى السؤال الحاسم: أيّ كيان هو المرخَّص، وهل تمر أموالي عبره؟

ما هي أفضل بوابة دفع إلكتروني في المغرب؟

هي التي تستوفي المعايير العشرة الواردة في هذه الصفحة: مشغّل مرخَّص من بنك المغرب، وشهادة PCI DSS من المستوى 1، ومصادقة ‎3-D Secure، والبطاقات المحلية ومنها Maroc Pay، والنقد للزبناء الذين لا يملكون بطاقة، وسندبوكس مجانية، وويب هوك موقَّع، وAPI موثّقة، وأموال متاحة دون انتظار، واسترداد مجاني. ولا ننشر ترتيبًا بالأسماء: اطلبوا الشبكة كاملة كتابةً من كل مرشّح، وقارنوا الأجوبة لا الشعارات.

هل مصادقة ‎3-D Secure إلزامية؟

تمر الأداءات بالبطاقة عبر مصادقة ‎3-D Secure، وبنك المشتري هو من يقرر، معاملةً بمعاملة، الشكل الذي تتخذه: رمز يصل عبر SMS أو تأكيد في تطبيقه البنكي. لا شيء عليكم تفعيله من جهتكم؛ وما يهمّ نسبة نجاحكم هو صفحة أداء تُفتح في علامة التبويب الرئيسية، وزبناء فُعّلت بطاقاتهم للأداء عبر الإنترنت.

كم تكلّف عملية إدماج بوابة الدفع؟

في ChariPay، الاختبار لا يكلّف شيئًا: السندبوكس مجانية وبلا حدّ زمني. ورسوم التشغيل 6 000 درهم شاملة الضريبة، تُؤدّى مرة واحدة عند الانتقال إلى الإنتاج؛ أما العمولة عن كل معاملة ناجحة والضمانة فتُحدَّدان بعد دراسة ملفكم؛ والاسترداد مجاني. ويتوقف جهد التطوير على مساركم: لا شيء لرابط دفع؛ أما صفحة الدفع المستضافة فتتطلب تطويرًا من جهة الخادم — إنشاء الجلسة ومعالجة الويب هوك.

هل يمكن استخلاص النقد عبر بوابة الدفع؟

نعم، إن كانت البوابة تتيح ذلك. وChariPay هي بوابة الدفع الوحيدة في المغرب التي تستخلص النقد أيضًا في الوكالة: يختار الزبون النقد على صفحة رابط دفع يُستعمل مرة واحدة، فيتلقى مرجعًا، ويودع المبلغ في وكالة من شبكة Chari. وتتوصلون بالويب هوك نفسه الذي يصلكم عن أداء بالبطاقة، ويصبح المبلغ متاحًا في اللحظة، ويبقى الكشف والتصدير متطابقين.

متى يصبح المال متاحًا؟

بمجرد نجاح الأداء، بالبطاقة أو نقدًا في الوكالة، يصبح المبلغ متاحًا في حساب الأداء ChariPay الخاص بكم، الذي تمسكه Chari Money بـ RIB باسم شركتكم. وتستعملونه فورًا في تحويل أو أداء فاتورة أو تعبئة اتصالات. أما الدفعة نحو بنككم فعملية مستقلة: تلقائية كل ليلة بمجرد ضبط حساب تسوية، أو بتحويل عند الطلب.

هل سترايب Stripe وباي بال PayPal متاحان في المغرب؟

لا يرد المغرب في لائحة البلدان التي تتوفر فيها Stripe، المنشورة على stripe.com/global، وقد تحققنا منها يوم تحرير هذه الصفحة؛ فلا يمكن لمقاولة مغربية أن تفتح فيها حسابًا للاستخلاص. والتفاصيل والحلول الالتفافية في مقال سترايب Stripe في المغرب؛ أما وضع PayPal بالنسبة إلى مقاولة مغربية فيتناوله مقال باي بال PayPal في المغرب.

كيف أختبر بوابة الدفع قبل الإنتاج؟

أنشئوا حسابكم في بوابة التاجر، ثم مفتاح الاختبار، وأدّوا رابطًا أو جلسة ببطاقة الاختبار ‎4918 9141 0719 5005، وCVV 123، وتاريخ انتهاء في المستقبل، ورمز ‎3-D Secure هو 555. المسار حقيقي — صفحة مستضافة، ومصادقة، وويب هوك موقَّع — دون أي حركة لمال حقيقي. واختبروا أيضًا رفضًا، واستردادًا، وويب هوك يُجيب عنه خادمكم بخطأ، لتروا إعادة المحاولة وهي تعمل.

المصادر

• مجلس المنافسة — بلاغ 19 ماي 2025 (القرار رقم ‎152/D/2024 بتاريخ 31 أكتوبر 2024) — قُرئ في ‎2026-10-02
• مجلس المنافسة وبنك المغرب — البلاغ المشترك بتاريخ 10 يوليوز 2026 — قُرئ في ‎2026-10-02
• بنك المغرب — هيكل النظام البنكي (عدد المؤسسات المرخَّص لها حسب الفئة، ومنها مؤسسات الأداء) — قُرئ في ‎2026-10-02
• Stripe — البلدان التي تتوفر فيها Stripe — قُرئ في ‎2026-10-02
• مجلس معايير أمان صناعة بطاقات الدفع (PCI SSC) — معيار PCI DSS — قُرئ في ‎2026-10-02
• اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP) — القانون ‎09-08 — قُرئ في ‎2026-10-02

الخطوة التالية

لتجربة البوابة على مساركم الخاص: ابدؤوا في وضع الاختبار — ثلاثة حقول، مجانًا، دون أي التزام ولا حدّ زمني. وحين تريدون تقدير الكلفة لما بعد ذلك، تعرض صفحة التسعير أرقامنا المنشورة، ويجيب الفريق عن أسئلة ملفكم عبر صفحة اتصلوا بنا.