مزوّد خدمات الدفع (PSP) في المغرب: الترخيص والتكاليف والإدماج

مزوّد خدمات الدفع — PSP اختصارًا — هو الوسيط الذي يتيح لشركة أن تستخلص من زبنائها عبر الإنترنت دون أن تصبح هي نفسها طرفًا في نظام الدفع. وفي المغرب، يستند مزوّد خدمات الدفع إلى مؤسسة أداء مرخَّصة من بنك المغرب: هذا الترخيص هو ما يخوّل مسك حسابات الأداء وتنفيذ العمليات لحساب التجار.

تضع هذه الصفحة التعريفات، وتصف سلسلة الدفع عبر الإنترنت، وتفصّل ما يقدّمه مزوّد مرخَّص للتاجر، وكم يكلّف، وكيف يُدمَج — ثم تقول ما تفعله ChariPay في كل نقطة من هذه النقاط.

ما هو مزوّد خدمات الدفع (PSP) في المغرب؟

مزوّد خدمات الدفع: التعريف

يضع مزوّد خدمات الدفع رهن إشارة التجار وسائل قبول الدفع — البطاقة البنكية، والنقد مقابل مرجع حسب المزوّد — ويتكفل بمعالجة العملية حتى قيد المبلغ في حساب التاجر. والاختصار PSP مأخوذ من الإنجليزية «payment service provider». وفي المغرب يُستعمل أيضًا مصطلحان متجاوران يُستحسن عدم الخلط بينهما: بوابة الدفع، وتعني الجزء التقني (صفحة الدفع، والواجهة البرمجية، والإشعارات)، ومؤسسة الأداء، وتعني الكيان الخاضع للتنظيم الذي يمسك الحسابات.

البوابة برنامج؛ ومؤسسة الأداء صفة قانونية. وقد يكون مزوّد خدمات الدفع الاثنين معًا، أو بوابة مسنودة إلى مؤسسة أداء من الغير. والسؤال الذي يُطرح هو نفسه في الحالتين: أي كيان مرخَّص، وهل تمرّ خدمتكم عبره؟

سلسلة الدفع عبر الإنترنت

حين يسدّد زبون طلبية على صفحة دفع، تتعاقب خمس حلقات في ثوانٍ معدودة:

1. 1الزبون يُدخل بطاقته على صفحة يستضيفها المزوّد — أو، إن كان يدفع نقدًا، يتلقى مرجعًا يقدّمه في الوكالة.
2. 2البوابة تشفّر البيانات، وتطلق مصادقة ‎3-D Secure لدى بنك الزبون، وتحيل طلب التفويض.
3. 3شبكات البطاقات تنقل التفويض، ثم التسوية، بين بنك الزبون والمؤسسة التي تتلقى الأموال.
4. 4مؤسسة الأداء تتلقى الأموال وتخصّصها لحساب أداء التاجر.
5. 5حساب التاجر يُقيَّد فيه المبلغ؛ ويتصرف فيه التاجر وفق قواعد مزوّده — دفعة نحو بنكه، أو استرداد، أو عمليات من الحساب.

لكل حلقة آجالها وإخفاقاتها المحتملة: بطاقة مرفوضة، مصادقة مهجورة، إيداع لم يتم قط. وهذا هو سبب وجود الويب هوك: تصلكم النتيجة عبر إشعار موقَّع، لا عبر صفحة عودة الزبون أبدًا.

ترخيص بنك المغرب والقانون ‎103-12

أحدث القانون ‎103-12 المتعلق بمؤسسات الائتمان والهيئات المعتبرة في حكمها صفة مؤسسة الأداء في المغرب: كيان مستقل عن البنوك، مرخَّص من بنك المغرب لتقديم خدمات الأداء ومسك حسابات الأداء. ويترتب على الترخيص رقابة مستمرة والتزامات بشأن حماية أموال الزبناء والمراقبة الداخلية. وهو ما يفصل بين مزوّد يمسك أموالكم ومزوّد لا يعدو أن يمرّرها.

وبالنسبة إلى التاجر، يجيب الترخيص عن ثلاثة أسئلة ملموسة: من يراقب المزوّد، وأين تكون أموالكم بين الاستخلاص والدفعة، ومن المسؤول إذا ساء شيء. وتصف هذه الصفحة الإطار في خطوطه العريضة؛ أما ما يعنيه في نشاطكم بالتحديد، فمستشاركم القانوني أو خبيركم المحاسب هو وحده من يبتّ فيه.

ما يقدّمه مزوّد خدمات دفع مرخَّص للتاجر

يقدّم مزوّد خدمات الدفع المرخَّص خمس خدمات، بالترتيب الذي تمرّ به الدفعة عبرها.

الاستخلاص

يشمل الاستخلاص البطاقة البنكية، مع مصادقة ‎3-D Secure، وكذلك — لدى ChariPay — النقد في الوكالة: يتلقى الزبون مرجعًا، ويودع المبلغ في وكالة من شبكة Chari، ويُخطَر التاجر لحظة تأكيد الشبكة للإيداع. وتصل الطريقتان إلى الحساب نفسه، والكشف نفسه، والتصدير نفسه.

مسك حساب الأداء

حساب الأداء هو قلب الخدمة: حساب خاضع للتنظيم باسم الشركة، له RIB، يُقيَّد فيه كل دفعة ناجحة. ليس رصيدًا معروضًا في واجهة، بل حساب يتصرف منه التاجر. ويصفه سؤالان: متى تصبح الدفعة الناجحة متاحة فيه، وما الذي يستطيع التاجر فعله منه دون المرور عبر بنكه.

الدفعة نحو البنك

تنقل الدفعة الأموال من حساب الأداء إلى بنك التاجر. وتختلف الأنماط من مزوّد إلى آخر — عند الطلب، أو في تاريخ قارّ، أو تلقائيًا متى سُجّل حساب التسوية. وتُراجَع نقطتان في العقد: الأجل بين الاستخلاص ووصول الأموال إلى البنك، وكلفة كل دفعة.

الاسترداد

يجب أن يكون الاسترداد ممكنًا دون مغادرة النظام: كليًا أو جزئيًا، من البوابة أو عبر الواجهة البرمجية — POST /v1/refunds، التي تردّ بـ 202 ريثما تُسوَّى العملية.

الإشعار

كل حدث يهمّ — دفعة ناجحة، ودفعة فاشلة إن طلبتم ذلك — يُدفع إلى خادم التاجر عبر ويب هوك. والإشعار موقَّع حتى لا يستطيع أحد تزويره، ومؤرَّخ حتى لا يمكن إعادة تشغيله، ويُعاد تسليمه إن لم يردّ الخادم.

كم يكلّف مزوّد خدمات الدفع في المغرب

بنية التكاليف، عمومًا

يُقرأ عقد مزوّد خدمات الدفع سطرًا سطرًا. والبنود التي تتكرر من مزوّد إلى آخر:

• رسوم التفعيل — تُؤدّى مرة واحدة، عند الفتح أو عند الانتقال إلى الإنتاج.
• العمولة عن كل معاملة — نسبة من المبلغ، تُستكمل أحيانًا بجزء ثابت عن كل عملية.
• الاشتراك — مبلغ جزافي شهري أو سنوي، مستقل عن الحجم.
• الاستردادات — تُفوتر أحيانًا، أو تتم دون ردّ العمولة الأصلية.
• الدفعات — كلفة عن كل تحويل نحو بنككم، أو أجل يقوم مقامها.
• الضمانة أو وديعة الضمان — مبلغ محتجز، متناسب مع مخاطر النشاط.
• غير المسدَّد والمنازعات — الرسوم المرتبطة بنزاع حول معاملة بالبطاقة.

ردّ الفعل الصائب ليس مقارنة نسبة معروضة، بل طلب الكلفة الكاملة لشهر نموذجي على حجمكم الفعلي: العمولات والرسوم الثابتة والاستردادات والدفعات.

بنية تكاليف ChariPay

نحن لا ننشر عمولة «ابتداءً من»: فهي تُحدَّد، مع الضمانة، بعد دراسة ملفكم. والتفصيل على صفحة التسعير، والسندبوكس تتيح اختبار الخدمة كاملة قبل الالتزام بدرهم واحد.

كيف يُدمَج مزوّد خدمات الدفع

يتم إدماج مزوّد خدمات الدفع على مراحل، وأولاها لا تتطلب أي سطر برمجة.

روابط الدفع

من البوابة، ينشئ التاجر رابطًا بالمبلغ المطلوب، لاستعمال واحد أو متعدد، ويشاركه عبر البريد أو واتساب؛ والرابط نفسه متاح كرمز QR وكملصق يُعرض في المحل. ويدفع الزبون على صفحة مستضافة، بالبطاقة مع ‎3-D Secure أو نقدًا في الوكالة.

صفحة الدفع المستضافة

حين تأتي الطلبيات من موقع أو تطبيق، ينشئ النظام الخلفي للتاجر جلسة دفع (POST /v1/payment-sessions) بالمبلغ بالدرهم — ولا يتضمن إنشاء الجلسة حقلًا للعملة — ويوجّه الزبون إلى عنوان صفحة الدفع المُعاد. وتُدخَل بيانات البطاقة على الصفحة المستضافة، لا على خوادم التاجر أبدًا.

الواجهة البرمجية الكاملة

يعرض عقد REST نفسه الزبناء، والمنتجات والطلبيات، والاشتراكات باستحقاقاتها وتذكيراتها التلقائية في اليوم الأول والثالث والسابع بعد الاستحقاق، والاستردادات، والمعاملات مع تصديرها بصيغة CSV. اثنتا عشرة وحدة، واثنتان وستون نقطة نهاية، وأمثلة بـcurl وJavaScript وPython وPHP، ومجموعة Postman، وملف OpenAPI، وحزمة للمساعدين البرمجيين: كل ذلك على توثيق الواجهة البرمجية.

تسري قاعدتان على كل عملية إنشاء: ترويسة Idempotency-Key تجعل النداء قابلًا لإعادة التشغيل دون ازدواج، وexternalId — فريد في كل بيئة — يتيح استرجاع مورد بمعرّفكم الخاص.

الويب هوكس

تصل نتيجة الدفع عبر ويب هوك موقَّع بـ HMAC-SHA256. وترافق كل تسليم ترويستان، X-CHARI-SIGNATURE وX-CHARI-TIMESTAMP، مع تسامح قدره ±5 دقائق في الطابع الزمني. وإن لم يردّ خادمكم، يُعاد التسليم على فترات متزايدة — دقيقة، و5 دقائق، و30 دقيقة، وساعة، ثم كل 6 ساعات — حتى ست عشرة محاولة، أي نحو 72 ساعة، ويمكن إعادة تشغيل كل تسليم من البوابة. ويفصّل دليل الويب هوكس المعالجة التي تتفادى الأخطاء الكلاسيكية.

من السندبوكس إلى الإنتاج

السندبوكس مجانية، بلا حدّ زمني، وتُفتح دون موعد، في ثماني خطوات، من التسجيل على portal-psp.charipay.ma/register إلى مفتاح الواجهة البرمجية الذي تنشئونه بأنفسكم. وتكفي بطاقة اختبار واحدة: 4918914107195005، CVV 123، رمز ‎3-D Secure 555.

عنوان الواجهة البرمجية لا يتغير: https://api-psp.charipay.ma في السندبوكس كما في الإنتاج. المفتاح هو الذي يختار البيئة — chari_sk_test_… أو chari_sk_live_…. وما دام الإنتاج غير مفعَّل على حسابكم، يردّ كل نداء في الإنتاج بـ 403 مع الرمز PRODUCTION_ACCESS_NOT_ENABLED: لا شيء يمكن استخلاصه بالخطأ. ويتم الانتقال إلى الإنتاج مع فريق الإدماج، بعد دراسة الملف وأداء رسوم التفعيل — والمسار مفصَّل في من السندبوكس إلى الإنتاج.

الأسئلة الثمانية التي تُطرح على مزوّد خدمات الدفع

الأسعار تُقارَن آخرًا. وقبلها، ثمانية أسئلة تفصل بين مزوّد تتحمّلونه وشريك تحتفظون به:

1. 1من يحمل الترخيص، وأين يعيش مالي؟
2. 2أين تعيش بيانات البطاقة؟
3. 3ماذا يحدث حين تفشل دفعة؟
4. 4هل الويب هوك موقَّع، وقابل لإعادة التشغيل؟
5. 5كيف نخرج — هل البيانات قابلة للتصدير؟
6. 6هل السندبوكس بيئة حقيقية؟
7. 7من يجيب، وفي كم من الوقت؟
8. 8هل يغطي الاستخلاص زبناءكم الحقيقيين، بمن فيهم من لا يملك بطاقة؟

كل سؤال مفصَّل في دليل اختيار منصة الدفع في المغرب. اطرحوها علينا كما تطرحونها على أي أحد.

ChariPay بصفتها مزوّد خدمات دفع

ChariPay هي بوابة الدفع الخاصة بـ Chari، وتشغّلها Chari Money، مؤسسة الأداء المرخَّصة من بنك المغرب. نقطة نقطة:

الترخيص والأمان. حساب الأداء الخاص بكم تمسكه Chari Money، تحت رقابة البنك المركزي. والمنصة حاصلة على شهادة PCI DSS من المستوى الأول — المستوى الأكثر تشددًا، يُدقَّق سنويًا — وتُعالَج البيانات في إطار القانون ‎09-08. والتفصيل على صفحة الأمان.

حساب الأداء. تملك شركتكم حساب أداء له RIB باسمها. كل دفعة ناجحة تكون متاحة فيه في اللحظة. ومن هذا الحساب: تحويلات بنكية (مع عرض سعر، ورمز لاستعمال واحد إن فعّلتموه؛ ويخضع كل مستفيد جديد لمهلة أمان من 24 ساعة)، وأداء الفواتير، وتعبئة رصيد الاتصالات عبر الواجهة البرمجية. وتتم الدفعة نحو بنككم بتحويل عند الطلب، أو تلقائيًا كل ليلة متى ضُبط حساب التسوية.

الاستخلاص. البطاقة البنكية مع ‎3-D Secure، والنقد في الوكالة بالمرجع، في شبكة Chari — ChariPay هي بوابة الدفع الوحيدة في المغرب التي تستخلص النقد أيضًا في الوكالة. انظروا الدفع عبر الإنترنت في المغرب لما يغيّره ذلك حين لا يملك جزء من زبنائكم بطاقة.

الأدوات. روابط الدفع (إرسال، ورمز QR، وملصق، واستعمال واحد أو متعدد)، وصفحة دفع مستضافة عبر جلسات الدفع، واشتراكات باستحقاقات وتذكيرات في اليوم الأول والثالث والسابع بعد الاستحقاق، ومنتجات وطلبيات، واستردادات كلية أو جزئية.

البوابة. أربعة أدوار — مالك، ومسيّر، وأمين صندوق، ومحاسب —، ومستخدمون متعددون، وتصدير CSV، وإعادة تشغيل الويب هوكس.

السعر. بند قارّ واحد: رسوم التفعيل، 6 000 درهم شاملة الضريبة، تُؤدّى مرة واحدة عند الانتقال إلى الإنتاج. أما العمولة والضمانة فتُحدَّدان بعد دراسة الملف؛ والسندبوكس والاستردادات لا تكلّف شيئًا.

أسئلة شائعة

ما الفرق بين مزوّد خدمات الدفع وبوابة الدفع ومؤسسة الأداء؟

مزوّد خدمات الدفع هو المزوّد الذي تتعاقدون معه. والبوابة هي جزؤه التقني — صفحة الدفع، والواجهة البرمجية، والويب هوكس. ومؤسسة الأداء هي الكيان المرخَّص من بنك المغرب الذي يمسك حسابات الأداء. ولدى ChariPay، البوابة هي ChariPay ومؤسسة الأداء هي Chari Money.

هل على التاجر أن يحصل بنفسه على ترخيص للاستخلاص عبر الإنترنت؟

كقاعدة عامة، لا: الترخيص تحمله مؤسسة الأداء التابعة للمزوّد الذي يتعاقد معه التاجر. وما يُطلب منكم هو ملف — الدراسة التي تسبق الانتقال إلى الإنتاج. وقد يكون للنشاط المنظَّم في حد ذاته التزاماته الخاصة: وذلك ما يبتّ فيه مستشاركم.

كم تبلغ كلفة مزوّد خدمات الدفع في المغرب؟

يختلف ذلك من عقد إلى آخر — انظروا البنود أعلاه. ولدى ChariPay: سندبوكس مجانية، ورسوم تفعيل قدرها 6 000 درهم شاملة الضريبة تُؤدّى مرة واحدة عند الانتقال إلى الإنتاج، وعمولة وضمانة تُحدَّدان بعد دراسة الملف، واسترداد مجاني.

كم يستغرق الإدماج؟

رابط دفع يُنشأ من البوابة لا يتطلب برمجة ولا مهلة. أما مع الواجهة البرمجية، فيفتح المطوّر السندبوكس الخاصة به ويجري أول نداء في اليوم نفسه؛ والباقي يتوقف على ما تربطونه. والانتقال إلى الإنتاج يلي دراسة الملف.

هل يحلّ حساب الأداء ChariPay محلّ بنكي؟

لا، بل يكمّله. هو حساب أداء خاضع للتنظيم، له RIB باسم شركتكم، تكون فيه مستخلصاتكم متاحة في اللحظة. ويبقى بنككم وجهة الدفعات — عند الطلب أو كل ليلة. ولا يوجد سحب نقدي: يخرج المال من الحساب بالتحويل، أو بأداء فاتورة، أو بتعبئة رصيد الاتصالات.

هل يستطيع زبنائي الذين لا يملكون بطاقة أن يدفعوا؟

نعم، نقدًا في الوكالة: يتلقى الزبون مرجعًا، ويودع المبلغ في وكالة من شبكة Chari، وتُخطَرون لحظة تأكيد الإيداع. وتنطلق الطلبية مدفوعة سلفًا.

هل يمكن استعمال Stripe في المغرب؟

حتى اليوم، لا تشمل القائمة الرسمية للبلدان التي تدعمها Stripe المغربَ، ولم يُعلَن علنًا عن أي جدول زمني. أما الالتفافات المتداولة — إنشاء شركة في الخارج، أو الاستخلاص على حساب طرف آخر — فلها عواقب تُدرس مع مستشاركم قبل أي خطوة: أموال مستخلصة خارج المغرب على كيان أجنبي، والتزامات ضريبية في بلد التأسيس، والتزامات مغربية في الصرف والضريبة على القيمة المضافة حين يكون زبناؤكم مغاربة، وخطر إغلاق الحساب، وبطاقات مغربية لا تُقبل دائمًا. مزوّد خدمات الدفع المرخَّص في المغرب يستخلص بالدرهم، على حساب أداء مغربي — ويعود Stripe في المغرب على كل نقطة.

هل تمرّ بيانات بطاقات زبنائي عبر خوادمي؟

لا، إن كنتم تستعملون روابط الدفع أو صفحة الدفع المستضافة: تُدخَل البطاقة على الصفحة التي تستضيفها ChariPay، ضمن نطاق معتمَد PCI DSS من المستوى الأول. ولا يتعامل خادمكم إلا مع مراجع الجلسات والإشعارات الموقَّعة.