Choisir son PSP au Maroc : les bonnes questions
Les tarifs se comparent en dernier. Avant eux, huit questions séparent un prestataire de paiement qu'on subit d'un partenaire qu'on garde.
Le réflexe naturel devant plusieurs prestataires de paiement est de comparer les commissions. C'est la dernière étape, pas la première : une commission se renégocie, une architecture ne se rattrape pas. Voici les questions à poser avant de signer — à nous comme à n'importe qui.
1. Qui détient l'agrément, et lequel ?
Au Maroc, l'activité d'établissement de paiement est régulée par Bank Al-Maghrib. La question n'est pas « êtes-vous sérieux ? » mais « quelle entité est agréée, et votre service passe-t-il par elle ? ». Un prestataire qui répond avec précision — l'entité, le statut — vous dit aussi comment vos fonds sont cantonnés et qui les supervise.
Notre réponse, pour l'exemple : ChariPay est opéré par Chari Money, établissement de paiement agréé par Bank Al-Maghrib — et votre solde vit sur un compte de paiement avec un RIB au nom de votre entreprise.
2. Où vivent les données de carte ?
La certification PCI DSS existe précisément pour cette question. Le niveau 1 est le plus exigeant, audité chaque année. Mais la meilleure réponse d'architecture reste : « les numéros de carte ne touchent jamais nos serveurs, ni les vôtres ». Si votre intégration vous fait manipuler un numéro de carte, votre périmètre de conformité vient d'exploser — c'est vous qui porterez l'audit.
3. Que se passe-t-il quand un paiement échoue ?
Tout le monde encaisse bien les paiements qui réussissent. Le vrai test : demandez à voir un paiement refusé dans l'interface. Le motif est-il lisible ? Le client peut-il réessayer ? Vous, pouvez-vous distinguer une carte refusée d'un abandon d'authentification ? Un prestataire qui montre ses échecs proprement en gère aussi proprement les conséquences.
4. Le webhook est-il signé, et rejouable ?
Votre commande ne doit partir que sur notification du prestataire — jamais sur la page de retour du client. Deux exigences techniques en découlent : la notification doit être signée (sans quoi n'importe qui peut vous faire livrer), et rejouable depuis l'interface quand votre serveur était indisponible. L'absence de l'une des deux se paiera en incidents de production.
5. Comment sort-on ?
La question la moins posée et la plus révélatrice. Vos données — transactions, clients, historique — sont-elles exportables intégralement ? Le préavis est-il raisonnable ? Un prestataire confiant dans son service n'a pas besoin de rendre la sortie douloureuse.
6. La sandbox est-elle un vrai environnement ?
Un environnement de test doit se comporter comme la production : mêmes API, mêmes webhooks, mêmes statuts, données fictives. Méfiez-vous du « sandbox » qui n'est qu'une documentation. Le test décisif : votre équipe peut-elle simuler un paiement échoué, un remboursement, une notification perdue — avant d'avoir signé quoi que ce soit ?
7. Qui répond, et en combien de temps ?
Le jour où un versement n'arrive pas, vous ne voulez pas d'un formulaire anonyme. Demandez qui répond — un chargé de compte ? une équipe technique ? — et par quel canal. Au Maroc, un numéro qui décroche et un WhatsApp qui répond valent souvent mieux qu'un portail de tickets.
8. L'encaissement couvre-t-il vos clients réels ?
La carte bancaire ne couvre qu'une partie de la clientèle marocaine. Selon votre activité, la vraie question est : comment vos clients qui paient en liquide, ou sans carte, entrent-ils dans le même système — avec la même comptabilité, le même rapprochement, le même export ?
Et alors, les tarifs ?
Une fois ces huit réponses en main, comparez les tarifs — sur votre volume réel, pas sur un pourcentage affiché. Demandez le coût complet d'un mois type : commissions, frais fixes, remboursements, versements. Et souvenez-vous que la ligne la plus chère d'un contrat de paiement n'est jamais la commission : c'est l'intégration à refaire quand on s'est trompé de partenaire.
Écrit par Équipe ChariPay.