Paiement en ligne sécurisé : rassurer vos clients au moment de payer

Un paiement en ligne sécurisé, pour votre client, c'est d'abord un paiement qu'il comprend : une page de paiement hébergée qui porte votre nom et votre logo, un montant en dirhams, une confirmation demandée par sa propre banque grâce à 3-D Secure, et une carte qui ne passe jamais par vous. Le reste dépend de vous : afficher qui opère le paiement, vos coordonnées et vos conditions, ne jamais demander une donnée de carte par message, confirmer chaque paiement sans délai. Ce guide reprend chacun de ces points, avec les phrases à publier sur votre site et les réponses à donner aux doutes les plus fréquents.

Un paiement en ligne sécurisé, vu par votre client

Au moment de payer, votre client se pose deux questions, même s'il ne les formule pas : où va ma carte, et qui encaisse mon argent ? Tant qu'il n'a pas de réponse, il hésite, et parfois il abandonne. Un paiement en ligne sécurisé répond aux deux avant qu'il ait à les poser.

Où va sa carte. Sur une page de paiement hébergée par la plateforme, pas sur votre site ni dans vos messages. Il la saisit lui-même, et sa banque lui demande de confirmer.

Qui encaisse. Vous, par l'intermédiaire de votre plateforme de paiement. Quand c'est ChariPay, la réponse exacte est la suivante : ChariPay est une plateforme de paiement marocaine, un PSP opéré par Chari Money, établissement de paiement agréé par Bank Al-Maghrib. C'est cette phrase, telle quelle, que votre client doit pouvoir trouver.

Ne promettez pas un paiement « 100 % sécurisé » : la sécurité se démontre par ce que le client voit et vit, pas par un slogan. Ce que fait la plateforme de son côté — authentification forte, journal d'audit, conformité — est détaillé sur la page sécurité et conformité ; ce guide traite de ce que vous montrez, vous, à vos clients.

Une page de paiement hébergée, à votre nom et à vos couleurs

Le premier signal de confiance est visuel : le client doit reconnaître votre boutique sur la page où il paie. Deux cas, selon votre façon d'encaisser.

• Une session de paiement, sur votre site. La session de checkout reprend vos couleurs et votre logo : le bloc config.frontend de la session porte un thème, un logo et le nom de votre entreprise. Le client passe de votre panier à une page qui lui ressemble.
• Un lien de paiement, envoyé par message. La page d'un lien affiche votre nom et votre logo ; elle se règle depuis les paramètres de votre compte.

Sur les deux, le montant s'affiche en dirhams : tout est en dirhams marocains (MAD), sans conversion. Un client qui lit le montant exact de sa commande, sous le nom de votre boutique, n'a pas l'impression de quitter votre magasin. La présentation complète de la page hébergée est sur la page du checkout hébergé.

Une règle d'intégration à ne jamais contourner : la page de paiement ne s'insère jamais dans une iframe cachée. Le client doit voir où il saisit sa carte.

Le plus simple est de voir votre page telle que votre client la verra. Commencer en mode test : trois champs (nom, e-mail professionnel, entreprise), un lien d'activation reçu par e-mail pour choisir votre mot de passe, puis le portail, où vous réglez votre page et créez, si vous intégrez par l'API, votre clé de test après une ré-authentification. Payez avec la carte de test 4918 9141 0719 5005, CVV 123, n'importe quelle date d'expiration future, code 3-D Secure 555 : seule cette carte est acceptée, et aucun argent réel ne circule. C'est gratuit, sans limite de durée et sans validation à attendre.

La confirmation auprès de sa banque : le rôle de 3-D Secure

Les paiements par carte passent par l'authentification 3-D Secure : le porteur confirme auprès de sa banque, ce qui protège le commerçant contre l'essentiel des impayés et des contestations.

Pour votre client, cela se traduit par une étape de plus, et c'est une bonne nouvelle : après avoir saisi sa carte, il voit sa banque lui demander de confirmer le paiement, par le moyen qu'elle a prévu. C'est sa banque, pas vous ni la plateforme, qui vérifie que c'est bien lui. Expliquez-le en une phrase sur votre page de commande : un acheteur qui voit sa propre banque intervenir est rassuré, à condition de s'y attendre.

Cette étape a aussi ses échecs : abandon pendant l'authentification, refus de la banque émettrice, données erronées, soupçon de fraude. Beaucoup de cartes marocaines sont, par défaut, fermées au paiement en ligne. La lecture marchand de ces échecs, et ce que vous pouvez améliorer, est dans 3-D Secure et taux de réussite. Ce que l'acheteur peut faire lui-même après un refus est expliqué dans carte refusée en paiement en ligne — un lien utile à envoyer à un client bloqué.

La carte de votre client ne passe jamais par vous

C'est l'argument le plus fort, et il est vrai : votre client saisit sa carte sur le checkout hébergé, dans un périmètre certifié PCI DSS niveau 1 : vous ne voyez jamais de numéro de carte, et votre questionnaire d'auto-évaluation s'en trouve réduit — à confirmer avec votre conseil ou votre acquéreur.

La plateforme est certifiée PCI DSS niveau 1, une certification renouvelée chaque année. PCI DSS est le standard de sécurité des données de cartes publié par le PCI Security Standards Council, conçu, tel que le Conseil le décrit, pour renforcer la sécurité des données des comptes de cartes de paiement et favoriser une large adoption de mesures de sécurité des données cohérentes dans le monde entier. Le niveau 1 est le plus exigeant. Cette certification est celle de la plateforme, pas de votre boutique : n'écrivez jamais que votre site est « certifié PCI DSS ». Ce que vous pouvez écrire, en revanche, c'est que vous ne voyez ni ne conservez aucun numéro de carte — et côté plateforme, les numéros de carte ne sont jamais écrits en base de données.

Pour le détail de ce que PCI DSS implique côté commerçant, lisez PCI DSS pour les commerçants.

Rassurer vos clients avant le paiement : ce qu'il faut afficher

La confiance se construit avant la page de paiement, sur votre site, votre page produit ou votre profil. Vérifiez que chacun de ces éléments est visible là où le client décide d'acheter.

• Qui opère le paiement. Deux phrases simples, par exemple : « Les paiements de cette boutique passent par ChariPay. ChariPay est une plateforme de paiement marocaine, un PSP opéré par Chari Money, établissement de paiement agréé par Bank Al-Maghrib. » Le détail est sur la page qui opère ChariPay, vers laquelle vous pouvez renvoyer.
• Vos coordonnées. Nom de l'entreprise, téléphone, e-mail, et un moyen de vous joindre qui répond vraiment.
• Vos conditions de vente et de remboursement. Ce qui se passe si le produit ne convient pas, et comment le client est remboursé.
• Le montant total, en dirhams. Livraison comprise si elle est payante, avant que le client n'arrive sur la page de paiement.
• Le mode de paiement. « Paiement par carte avec 3-D Secure, sur une page de paiement hébergée » : le client sait à quoi s'attendre.

N'ajoutez aucun badge, sceau ou logo de certification que vous n'avez pas obtenu vous-même, et n'écrivez pas que votre boutique est « certifiée » : un client attentif le vérifiera, et un faux sceau détruit la confiance qu'il devait créer.

Ce que vous ne demandez jamais à un client

La règle la plus rassurante est aussi la plus simple : vous ne demandez jamais de numéro de carte, de cryptogramme (CVV) ou de code reçu de sa banque par message, par téléphone ou par e-mail. Jamais de photo de carte non plus, même « pour vérifier ». Le seul endroit où votre client saisit sa carte, c'est la page de paiement hébergée — celle de votre boutique ou celle d'un lien de paiement que vous lui envoyez.

Écrivez-le en toutes lettres, sur votre site et dans vos messages automatiques :

Nous ne vous demanderons jamais votre numéro de carte, votre code de sécurité ou un code reçu de votre banque, que ce soit par message, par téléphone ou par e-mail. Pour payer, utilisez uniquement la page de paiement de notre boutique ou le lien de paiement que nous vous envoyons.

Cette phrase protège vos clients contre ceux qui usurperaient votre nom, et elle vous protège vous. Les fraudes qui visent directement le commerçant — fausse capture d'écran de paiement, redirection falsifiée, prise de contrôle du portail — sont traitées dans fraude au paiement en ligne.

Après le paiement : confirmations et suivi

Le moment qui suit le paiement compte autant que celui qui le précède : un client qui n'a pas de nouvelles s'inquiète, et vous écrit.

1. 1Côté portail. Le lien passe « payé », et une notification vous signale l'encaissement dans le portail. Pour une session, le statut se lit par l'API.
2. 2Côté serveur. Confirmez la commande sur réception du webhook, jamais sur la seule redirection : la redirection dit que l'acheteur est revenu, pas que le paiement est acquis.
3. 3Côté client. Envoyez votre propre message de confirmation, dès que le paiement est confirmé : le montant, votre référence de commande, la suite — préparation, expédition, rendez-vous.

Un exemple :

Paiement bien reçu pour votre commande n° 1042 (349 MAD), merci ! Nous la préparons et vous écrirons dès qu'elle part. Une question ? Répondez simplement à ce message.

Répondre aux doutes et repérer où l'on abandonne

Certaines questions reviennent ; préparez vos réponses une fois pour toutes, sur une page d'aide ou dans vos réponses enregistrées.

• « Pourquoi ma banque me demande-t-elle un code ? » « C'est 3-D Secure : votre banque vérifie que c'est bien vous qui payez. Ce code ne se communique à personne, pas même à nous. »
• « Qui encaisse sur cette page ? » « Notre boutique, par l'intermédiaire de ChariPay, une plateforme de paiement marocaine, un PSP opéré par Chari Money, établissement de paiement agréé par Bank Al-Maghrib. »
• « Mon paiement est-il passé ? » « Vous recevez notre confirmation dès que le paiement est confirmé. Sans message de notre part, écrivez-nous avant de payer une seconde fois. »

Pour savoir où vos clients hésitent, mesurez au lieu de deviner. Le portail montre l'entonnoir d'un lien ou d'une session — combien ont ouvert la page, combien ont saisi leur carte, combien sont allés au bout — et le module API Parcours client expose le résumé d'entonnoir et le détail des événements d'une ressource. Beaucoup d'ouvertures et peu de cartes saisies : la page ou le montant posent question. Beaucoup de cartes saisies et peu de paiements aboutis : regardez du côté de l'authentification et des refus bancaires. La méthode complète est dans l'article 3-D Secure et taux de réussite.

Questions fréquentes

Comment savoir si un paiement en ligne est sécurisé ?

Regardez où vous saisissez votre carte et qui encaisse. Un paiement sérieux se fait sur une page de paiement au nom de la boutique, avec un montant clair, et votre banque vous demande de confirmer grâce à 3-D Secure. Méfiez-vous de quiconque demande votre numéro de carte ou un code bancaire par message ou par téléphone, quel que soit le nom qu'il se donne.

Pourquoi la banque de mon client lui demande-t-elle un code ?

C'est l'authentification 3-D Secure : le porteur confirme le paiement auprès de sa banque, ce qui protège le commerçant contre l'essentiel des impayés et des contestations. Le code vient de sa banque, pas de vous ni de la plateforme. Prévenez vos clients de cette étape sur votre page de commande : un acheteur qui s'y attend la vit comme une garantie, pas comme un obstacle.

Puis-je mettre mon logo sur la page de paiement ?

Oui. La session de checkout reprend vos couleurs et votre logo : par l'API, le bloc config.frontend porte un thème, un logo et le nom de votre entreprise. La page d'un lien de paiement affiche votre nom et votre logo, réglés depuis les paramètres de votre compte. Vous pouvez tout vérifier en mode test avant d'envoyer votre premier lien réel à un client, et voir la page exactement comme il la verra.

Est-ce que je vois les numéros de carte de mes clients ?

Non. Votre client saisit sa carte sur la page hébergée, dans un périmètre certifié PCI DSS niveau 1 : vous ne voyez jamais de numéro de carte, et votre questionnaire d'auto-évaluation s'en trouve réduit, à confirmer avec votre conseil ou votre acquéreur. Côté plateforme, les numéros de carte ne sont jamais écrits en base de données. Vous pouvez donc l'écrire sur votre site.

Que faut-il afficher sur mon site pour rassurer avant le paiement ?

Qui opère le paiement, avec la phrase exacte sur ChariPay et Chari Money ; vos coordonnées complètes ; vos conditions de vente et de remboursement ; le montant total en dirhams avant la page de paiement ; et le mode de paiement, par carte avec 3-D Secure sur une page hébergée. N'ajoutez aucun badge ou sceau que vous n'avez pas obtenu vous-même : un client attentif le vérifie.

Un client peut-il me payer en m'envoyant sa carte par message ?

Non, et vous ne devez jamais l'accepter ni le demander : ni numéro de carte, ni cryptogramme, ni code bancaire, ni photo de carte par message, téléphone ou e-mail. Envoyez-lui plutôt un lien de paiement : il saisit sa carte lui-même sur la page hébergée, confirme auprès de sa banque, et vous êtes notifié quand le lien passe « payé ».

Comment savoir où mes clients abandonnent le paiement ?

Le portail montre l'entonnoir d'un lien ou d'une session : combien ont ouvert la page, combien ont saisi leur carte, combien sont allés au bout. Le module API Parcours client expose le même résumé et le détail des événements. Comparez les étapes entre elles : un écart entre ouverture et saisie ne se corrige pas comme un écart entre saisie et paiement abouti : chacun a ses propres causes.

Prochaine étape

Personnalisez votre page de paiement avec votre nom et votre logo, puis faites un paiement de test depuis un téléphone, étape 3-D Secure comprise, pour vivre exactement ce que vivra votre client : Commencer en mode test. Mettez ensuite à jour les mentions de votre site — qui opère le paiement, ce que vous ne demandez jamais —, en vous appuyant sur la page sécurité et conformité.

Sources

• PCI Security Standards Council — PCI DSS — lu le 2026-10-02