Double authentification du compte de paiement, codes et double validation des virements

La double authentification du compte de paiement, une fois activée, protège l'entrée du portail, mais ce n'est que la première couche. Chez ChariPay, les sorties d'argent que vous déclenchez passent par d'autres contrôles : une ré-authentification avant chaque action sensible, un code à usage unique qui valide chaque virement, le nombre d'approbateurs que vous fixez, un délai de sécurité après l'ajout d'un nouveau bénéficiaire, deux codes pour payer une facture, un demandeur et un approbateur distincts pour les reversements. Le journal d'audit, lui, est chaîné : l'historique ne peut pas être réécrit. Ce guide décrit chaque couche, ce qu'elle protège, et ce que vous devez régler de votre côté, jusqu'au départ d'un collaborateur.

Pourquoi l'accès au portail se protège en plusieurs couches

ChariPay est une plateforme de paiement marocaine, un PSP opéré par Chari Money, établissement de paiement agréé par Bank Al-Maghrib. ChariPay n'est pas une banque : votre compte de paiement est tenu par Chari Money. Il complète votre banque, il ne la remplace pas. Mais depuis son portail, l'argent sort : vous y envoyez des virements vers tout RIB marocain, vous y réglez des factures auprès des créanciers référencés, et, si vous pilotez un réseau de sous-marchands, les reversements y sont soumis à double validation. Un accès mal protégé ne coûte donc pas seulement des données : il peut coûter de l'argent.

Aucune protection ne suffit seule : un mot de passe peut fuiter, une session peut rester ouverte, un collaborateur peut se tromper ou abuser de ses droits. D'où des couches successives, chacune pensée pour un risque précis :

Les rôles forment une couche à part, qui décide de ce que chacun voit et peut faire : les rôles du portail séparent la consultation de l'action — propriétaire, gestionnaire, caissier, comptable. Leur répartition est détaillée dans rôles et accès du portail ; ce guide traite des protections qui s'ajoutent à eux.

La double authentification du compte de paiement à la connexion

La double authentification (TOTP) s'active depuis les paramètres de votre compte : une application d'authentification, un code à six chiffres, des codes de secours à conserver. Une fois activée, elle est demandée à la connexion ; le portail peut aussi l'exiger des utilisateurs habilités aux opérations sensibles — remboursements, virements, gestion des bénéficiaires. Les sessions, elles, sont sécurisées.

TOTP désigne un code temporaire, calculé à partir d'un secret et de l'heure par l'application d'authentification d'un appareil que vous gardez avec vous : une fois la double authentification activée, un mot de passe volé ne suffit pas à lui seul pour entrer.

Cette protection ne vaut que si elle reste personnelle. Trois habitudes la rendent efficace :

• Une personne, une connexion, une double authentification activée. Un identifiant partagé entre collègues, et plus personne ne sait qui a fait quoi.
• L'appareil qui génère les codes reste avec son titulaire, jamais sur un bureau commun, et les codes de secours se rangent à part, hors de portée d'autrui.
• Les sessions se ferment. Sur un ordinateur partagé — comptoir, bureau d'accueil —, déconnectez-vous après usage.

La ré-authentification avant chaque action sensible

Être connecté ne suffit pas pour tout. Avant chaque action sensible, le portail vous redemande de vous authentifier. Une session ouverte le matin et laissée sans surveillance ne permet donc pas, à elle seule, de déclencher une opération sensible l'après-midi.

L'exemple le plus parlant est la clé d'API. Vous la créez vous-même depuis le portail, après une ré-authentification ; la clé complète ne s'affiche qu'une seule fois et n'est jamais envoyée par e-mail. La ré-authentification confirme que c'est bien vous, au moment même, qui créez cette clé ; l'affichage unique évite qu'elle reste lisible ensuite dans le portail. Copiez-la directement dans votre coffre de secrets.

Vous pouvez éprouver ces protections tout de suite, sans risque : Commencer en mode test. En mode test, la clé de test se crée déjà après une ré-authentification et ne s'affiche qu'une fois. Trois champs — nom, e-mail professionnel, entreprise —, un lien d'activation reçu par e-mail pour choisir votre mot de passe, puis le portail, où vous créez votre clé de test et faites un premier paiement avec la carte de test, sans argent réel. C'est gratuit, sans limite de durée et sans validation à attendre : la vérification de votre entreprise (KYB) ne conditionne que le passage en production.

Double validation d'un virement : code à usage unique et approbateurs

Le virement demande une vigilance particulière, pour une raison simple : un virement exécuté ne peut pas être annulé. Le contrôle doit donc intervenir avant l'envoi, jamais après.

Chaque virement émis depuis le portail est validé par un code à usage unique à six chiffres, envoyé par e-mail à chaque adresse de validation désignée dans Paramètres → Sécurité — jusqu'à cinq adresses, chacune celle d'un membre de l'équipe habilité aux virements — ; vous fixez le nombre d'approbateurs requis. Tant qu'aucune adresse n'est configurée, aucun virement ne peut partir. C'est le cœur de la double validation : un virement ne part qu'une fois validé par le nombre d'approbateurs que vous avez fixé. Pour une direction financière, ce réglage organise la séparation des tâches : désignez comme adresses de validation celles des personnes chargées d'approuver — le dirigeant, le responsable financier — et fixez le nombre d'approbateurs requis selon vos règles internes.

Une deuxième protection vise un cas à haut risque, le RIB inconnu : un délai de sécurité s'applique après l'ajout d'un nouveau bénéficiaire. Un intrus qui aurait obtenu un accès ne peut pas ajouter un bénéficiaire et lui virer votre solde dans la foulée. Pour que ce délai ne gêne jamais une échéance, enregistrez vos fournisseurs récurrents à l'avance.

En sandbox, n'importe quel code à six chiffres est accepté : votre équipe peut se familiariser avec la validation avant la production. Le mode d'emploi pas à pas — bénéficiaires, devis des frais, statuts — est dans virement depuis son compte de paiement.

Deux codes pour payer une facture

Le paiement de factures auprès des créanciers référencés suit la même logique de confirmation explicite. Vous choisissez le créancier, saisissez la référence, sélectionnez les impayés trouvés, puis validez avec deux codes ; le montant est débité de votre solde disponible. Cette double confirmation évite qu'un simple clic suffise à engager votre solde. Le reçu part ensuite par SMS. Le mode d'emploi complet est dans payer ses factures depuis son compte de paiement.

Reversements, ajustements, gels de compte : un demandeur, un approbateur

Certaines opérations ne reposent jamais sur une seule personne. Les actions sensibles — reversements, ajustements, gels de compte — exigent un demandeur et un approbateur distincts. Dans le portail, c'est le propriétaire ou un gestionnaire habilité qui déclenche les opérations sortantes : le comptable lit tout sans rien déclencher, et le caissier encaisse sans voir le solde ni les virements.

De votre côté, appliquez la même séparation à ce que votre équipe déclenche : désignez qui prépare et qui approuve, évitez qu'une même personne cumule les deux rôles dans les faits, et prévoyez un suppléant pour les congés, afin que personne ne soit tenté de « dépanner » en contournant la règle. Si vous pilotez un réseau de sous-marchands, la même double validation s'applique à leurs reversements ; son fonctionnement est décrit dans collecte et reversements d'un réseau.

Le journal d'audit chaîné

Le journal d'audit est chaîné cryptographiquement : l'historique ne peut pas être réécrit. Un journal chaîné lie chaque entrée à celle qui la précède, si bien que modifier une entrée passée romprait la chaîne. Une entrée gênante ne peut donc pas être effacée après coup.

Ce journal s'inscrit dans un ensemble plus large de contrôles tenus par la plateforme : supervision continue avec alertes, données sensibles masquées dans les journaux, export de données personnelles strictement contrôlé. La console interne, côté Chari, n'est pas accessible aux marchands. La comptabilité en partie double — un livre comptable interne équilibré en permanence et rapproché quotidiennement — est présentée dans sécurité des fonds d'un compte de paiement.

Votre propre trace, elle, est dans le portail : chaque mouvement du compte porte la référence de la vente, du remboursement ou du versement qui l'explique, et l'export CSV reprend ces références. C'est elle que vous relirez pour contrôler ce qui est sorti du compte.

Départ d'un collaborateur et revue périodique des accès

Le départ d'un collaborateur est le moment où les accès oubliés deviennent un risque. Le jour même, sans attendre :

1. 1Retirez son accès au portail, quel que soit son rôle.
2. 2Faites tourner toute clé d'API qu'il a pu voir : deux clés peuvent coexister le temps d'une rotation, sans coupure, ce qui permet de remplacer la clé sans interrompre vos encaissements. La méthode est dans protéger ses clés d'API.
3. 3S'il était développeur, faites aussi tourner le secret de vos webhooks : pendant la rotation, chaque livraison porte deux signatures, l'ancienne et la nouvelle, le temps de basculer.
4. 4Revoyez les adresses de validation des virements, s'il en avait une, et désignez un remplaçant : sans aucune adresse configurée, aucun virement ne peut partir.
5. 5Relisez les bénéficiaires ajoutés récemment : un ajout que personne n'explique doit être vérifié avant tout virement.

Au-delà des départs, prévoyez une revue des accès à intervalle régulier — par exemple à chaque clôture comptable — : qui a accès au portail, avec quel rôle, qui approuve les virements, quelles clés d'API existent, quels bénéficiaires sont enregistrés. Les scénarios d'attaque que ces contrôles bloquent sont décrits dans fraude au paiement en ligne, et l'ensemble des protections de la plateforme sur la page sécurité et conformité. Ces recommandations relèvent du contrôle interne : elles ne constituent pas un avis juridique.

Questions fréquentes

La connexion au portail est-elle protégée par une double authentification ?

Oui, dès qu'elle est activée. La double authentification (TOTP) s'active depuis les paramètres de votre compte : une application d'authentification, un code à six chiffres, des codes de secours à conserver. Une fois activée, elle est demandée à la connexion ; le portail peut aussi l'exiger des utilisateurs habilités aux opérations sensibles — remboursements, virements, gestion des bénéficiaires. Chaque personne doit avoir sa propre connexion.

Pourquoi le portail me redemande-t-il de m'authentifier avant certaines opérations ?

Parce qu'être connecté ne suffit pas pour une action sensible : le portail exige une ré-authentification avant chacune d'elles. Une session laissée ouverte ne permet donc pas, à elle seule, de déclencher une opération sensible. C'est le cas, par exemple, de la création d'une clé d'API, dont la version complète ne s'affiche ensuite qu'une seule fois.

Le code de validation des virements est-il obligatoire ?

Oui. Chaque virement émis depuis le portail est validé par un code à usage unique à six chiffres, envoyé par e-mail à chaque adresse de validation désignée dans Paramètres → Sécurité, et vous fixez le nombre d'approbateurs requis. Tant qu'aucune adresse n'est configurée, aucun virement ne peut partir. Ce contrôle précède l'envoi, car un virement exécuté ne peut pas être annulé. En sandbox, n'importe quel code à six chiffres est accepté.

Peut-on exiger plusieurs approbateurs pour un virement ?

Oui : vous fixez le nombre d'approbateurs requis. Le code à usage unique part par e-mail à chaque adresse de validation désignée dans Paramètres → Sécurité — jusqu'à cinq adresses, chacune celle d'un membre de l'équipe habilité aux virements. Désignez celles des personnes chargées d'approuver : c'est la séparation classique entre celui qui prépare et celui qui valide. Un délai de sécurité s'applique en outre après l'ajout d'un nouveau bénéficiaire.

Quelles opérations exigent un demandeur et un approbateur distincts ?

Les actions sensibles — reversements, ajustements, gels de compte — exigent un demandeur et un approbateur distincts. Pour les virements, chaque envoi est validé par un code à usage unique, et vous fixez le nombre d'approbateurs requis. Dans le portail, ce sont le propriétaire ou un gestionnaire habilité qui déclenchent les opérations sortantes ; le comptable lit tout sans rien déclencher.

Le journal d'audit peut-il être modifié ?

Non. Le journal d'audit est chaîné cryptographiquement : l'historique ne peut pas être réécrit. Chaque entrée est liée à la précédente : modifier ou effacer une entrée passée romprait la chaîne. Il s'ajoute aux autres contrôles de la plateforme, comme la comptabilité en partie double rapprochée quotidiennement et la supervision continue avec alertes.

Quelles clés et quels accès revoir au départ d'un collaborateur ?

Retirez son accès au portail le jour même, faites tourner toute clé d'API qu'il a pu voir — deux clés coexistent le temps d'une rotation, sans coupure —, faites tourner le secret de vos webhooks s'il était développeur, revoyez les adresses de validation des virements et relisez les bénéficiaires ajoutés récemment. Notez la revue dans votre propre suivi.

Prochaine étape

Éprouvez ces protections sans risque : Commencer en mode test, créez votre clé de test après ré-authentification et activez la double authentification depuis les paramètres de votre compte. Décidez ensuite avec votre équipe qui demande et qui approuve, et désignez vos adresses de validation des virements avant d'ouvrir la production. La répartition des rôles est détaillée dans rôles et accès du portail.