Passerelle de paiement (payment gateway) au Maroc : comment ça marche, qui peut l'opérer, comment choisir

Une passerelle de paiement au Maroc — payment gateway, pour ceux qui la cherchent en anglais — est le service qui permet à une entreprise d'encaisser ses clients par carte ou en espèces, en dirhams, sur un compte à son nom, sans jamais manipuler un numéro de carte. Elle s'appuie sur un établissement agréé par Bank Al-Maghrib. Que vous ayez tapé « plateforme de paiement au Maroc », « solution de paiement » ou « plateforme paiement Maroc », la question est la même : laquelle, à quel prix, et comment l'intégrer. Cette page y répond avec des critères, nos chiffres publiés, la règle du jeu de 2025 et du code réel.

Passerelle de paiement, plateforme, PSP, processeur : qui fait quoi

Définition en 40 mots

Une passerelle de paiement est le service qui affiche à votre client une page de paiement, fait authentifier l'opération, transmet la demande d'autorisation, vous notifie du résultat de façon fiable et met l'argent à votre disposition sur un compte de paiement, avant tout versement vers votre banque.

Au Maroc, quatre mots désignent à peu près la même chose vue sous quatre angles. « Passerelle » insiste sur la technique — page hébergée, API, notifications. « Plateforme de paiement » et « solution de paiement » désignent l'offre complète, portail compris. « Processeur de paiement » est l'anglicisme de *payment processor*, l'acteur qui traite l'autorisation et le règlement. « PSP », prestataire de services de paiement, est le terme réglementaire et commercial : celui qui vous fournit le service. La page PSP au Maroc détaille ce dernier rôle, et le guide comment choisir sa plateforme de paiement traite de la comparaison entre familles d'offres. Ici, nous parlons de la passerelle : ce qu'elle doit avoir, ce qu'elle coûte, comment on la branche.

La chaîne d'un paiement, du client au compte de paiement

Un paiement en ligne traverse six maillons en quelques secondes. Les connaître, c'est savoir où un paiement peut échouer et qui est responsable à chaque étape.

1. 1Le client ouvre la page de paiement hébergée par la passerelle, depuis votre site, un lien reçu par WhatsApp ou un QR code en boutique.
2. 2La page hébergée collecte la carte dans un périmètre certifié PCI DSS ; votre serveur ne voit jamais le numéro.
3. 33-D Secure : la banque de l'acheteur l'authentifie — code reçu par SMS ou validation dans son application. C'est elle qui décide, transaction par transaction.
4. 4L'autorisation : la demande circule par les réseaux de cartes jusqu'à la banque de l'acheteur, qui l'accepte ou la refuse.
5. 5Le webhook signé prévient votre serveur du résultat : payment.succeeded ou, si vous l'avez demandé, payment.failed. C'est lui qui fait foi, jamais la page de retour.
6. 6Le compte de paiement à votre nom est crédité ; vous en disposez selon les règles de votre prestataire.

Quand le client choisit les espèces — sur la page d'un lien de paiement à usage unique —, les maillons 2 à 4 sont remplacés par une référence à régler en agence ; les maillons 5 et 6 sont identiques. C'est ce qui rend la méthode transparente pour votre code et pour votre comptable.

PSP, passerelle, établissement de paiement, acquéreur : le tableau

Chez ChariPay, la passerelle est opérée par Chari Money, établissement de paiement agréé par Bank Al-Maghrib, qui tient aussi votre compte de paiement.

La première question du tableau a une réponse pratique, sans rendez-vous commercial : Commencer en mode test. Trois champs — nom, e-mail professionnel, entreprise —, puis un lien d'activation reçu par e-mail pour choisir votre mot de passe ; vous créez ensuite votre clé de test depuis le portail et faites un premier paiement avec la carte de test. C'est gratuit, sans limite de durée, sans validation à attendre : la vérification de votre entreprise (KYB) ne conditionne que le passage en production.

Ce qu'une passerelle doit avoir au Maroc

Opérée par un établissement de paiement agréé par Bank Al-Maghrib (loi 103-12)

Recevoir l'argent d'un acheteur, le conserver le temps du traitement et le reverser à un marchand est une activité régulée. La loi 103-12 relative aux établissements de crédit et organismes assimilés a créé le statut d'établissement de paiement : une entité distincte des banques, agréée par Bank Al-Maghrib, supervisée en continu, autorisée à tenir des comptes de paiement et à exécuter des opérations pour le compte de ses clients. Une passerelle n'est pas « agréée » en tant que logiciel ; c'est l'établissement qui l'opère qui l'est. Sur sa page Structure du système bancaire, Bank Al-Maghrib publie le nombre d'établissements de crédit et organismes assimilés agréés au Maroc, par catégorie — les établissements de paiement y forment une catégorie à part — et son évolution d'année en année (dernière année affichée : 2024). Pour un prestataire donné, demandez le nom exact de l'entité agréée qui tiendra vos fonds, et vérifiez-le auprès des sources officielles, Bank Al-Maghrib en tête, plutôt que dans une publicité ou un comparatif.

PCI DSS niveau 1

PCI DSS est le standard de sécurité des données de cartes publié par le PCI Security Standards Council, conçu, tel que le Conseil le décrit, pour renforcer la sécurité des données des comptes de cartes de paiement et favoriser une large adoption de mesures de sécurité des données cohérentes dans le monde entier. Le niveau 1 est le plus exigeant. Une passerelle certifiée à ce niveau vous laisse hors du périmètre lourd : vous êtes un marchand qui ne voit jamais de numéro de carte, et votre questionnaire d'auto-évaluation s'en trouve réduit — à confirmer avec votre conseil. La plateforme ChariPay est certifiée PCI DSS niveau 1, certification renouvelée chaque année ; le détail est sur la page Sécurité.

Loi 09-08

Les données de vos clients — nom, e-mail, téléphone, historique d'achats — sont des données à caractère personnel au sens de la loi 09-08, dont la CNDP est l'autorité de contrôle. Une passerelle les traite pour votre compte : elle doit dire où elles sont hébergées, qui y accède et comment elles sont masquées dans les journaux. Chez ChariPay, les données sont traitées dans le cadre de la loi 09-08, les données sensibles sont masquées dans les journaux et les exports de données personnelles sont strictement contrôlés.

Règlement en dirhams sur un compte au nom de l'entreprise

Une entreprise marocaine facture, déclare et paie en dirhams. L'encaissement doit arriver en dirhams, sur un compte tenu au Maroc, avec un RIB au nom de l'entreprise, pour que chaque vente se rapproche de chaque mouvement. Tout ce qui règle dans une autre devise ou sur une entité hors du Maroc fait entrer dans votre vie la réglementation des changes et des écarts de conversion que votre expert-comptable devra expliquer. Chez ChariPay, tout est en MAD, sans conversion ; l'API n'a même pas de champ devise.

Ce qui a changé en 2025 : qui peut opérer l'acquisition carte

Pendant des années, l'acquisition carte au Maroc — l'activité qui consiste à accepter les transactions carte pour le compte des marchands — était centralisée auprès d'un opérateur interbancaire unique. Par sa décision n° 152/D/2024 du 31 octobre 2024, le Conseil de la concurrence a rendu obligatoires les engagements souscrits par cet opérateur et ses banques actionnaires pour ouvrir ce marché. Le communiqué du Conseil du 19 mai 2025 en précise le calendrier :

« les EDP et les filiales des banques dédiées à l'acquisition dûment autorisées, peuvent, dès le premier mai 2025, opérer sur le marché »

EDP signifie établissements de paiement. Le même communiqué indique que la période transitoire prend fin le 1er novembre 2025, et le communiqué conjoint du Conseil de la concurrence et de Bank Al-Maghrib du 10 juillet 2026 rappelle que cette décision exigeait la cession de l'intégralité du portefeuille de contrats commerçants de l'ancien opérateur, au plus tard le 31 janvier 2026 pour les contrats privés et le 30 avril 2026 pour les contrats publics. Concrètement, pour vous : l'acquisition carte n'est plus réservée à un seul acteur, et la question « quelle entité est agréée, et pour quelle activité ? » devient la première à poser à un prestataire.

Deux précisions, vérifiées le jour de la rédaction. Le Maroc ne figure pas dans la liste des pays où Stripe est disponible, publiée sur stripe.com/global ; l'article Stripe au Maroc détaille le cadre qui s'applique et ce qu'impliquent les contournements. Ce que PayPal permet ou non à une entreprise établie au Maroc est traité dans PayPal au Maroc. Dans les deux cas, la réponse proportionnée pour des clients marocains reste un encaissement local, en dirhams, sur un compte à votre nom.

Les moyens de paiement encaissés

Visa, Mastercard, Maroc Pay avec 3-D Secure

On attend d'une passerelle qui opère au Maroc qu'elle accepte à la fois les cartes internationales et les cartes locales, avec authentification 3-D Secure. Chez ChariPay, Visa, Mastercard et Maroc Pay sont acceptées par défaut, avec 3-D Secure. Deux faits de terrain changent votre taux de réussite plus que n'importe quel réglage : beaucoup de cartes marocaines sont, par défaut, fermées au paiement en ligne et doivent être activées par le client auprès de sa banque ; et les échecs viennent, dans l'ordre, de l'abandon pendant l'authentification, du refus de la banque émettrice, de données erronées et du soupçon de fraude. Le portail et l'API journalisent le motif de chaque refus, et la page de paiement doit s'ouvrir dans l'onglet principal, jamais dans une iframe cachée. D'autres moyens peuvent être activés sur demande, selon votre activité.

Les espèces en agence, par référence

Une partie de vos clients n'a pas de carte, ou refuse de l'utiliser en ligne. ChariPay est la seule passerelle de paiement au Maroc à encaisser aussi les espèces en agence : sur la page d'un lien de paiement à usage unique, le client choisit les espèces, reçoit une référence et dépose le montant dans une agence du réseau Chari. Vous recevez payment.succeeded dès que le réseau confirme le dépôt, le lien passe « Payé », et le montant est disponible à cet instant. Par l'API, un lien créé avec paymentMethod: CASH donne au payeur un cashinCode à présenter en agence ; chaque paiement en espèces s'appuie sur un lien à usage unique, une référence par dépôt. Une session de paiement créée par l'API, elle, n'encaisse que la carte : pour proposer les espèces à la commande, une boutique crée un lien à usage unique par commande.

Pour une boutique qui vit du paiement à la livraison, c'est la différence entre des espèces qui voyagent avec un livreur et une commande qui part déjà payée. L'article paiement en ligne au Maroc compare les méthodes dans le détail.

Passerelle + compte de paiement : l'argent disponible à l'instant

Une passerelle qui vous notifie un paiement et un compte qui le reçoit sont deux choses différentes ; selon le prestataire, l'argent peut rester en attente de règlement. Chez ChariPay, chaque paiement réussi — carte ou espèces — est disponible à l'instant sur votre compte de paiement : un vrai compte de paiement réglementé, tenu par Chari Money, avec un RIB au nom de votre entreprise et une attestation PDF téléchargeable depuis le portail ou par l'API. Pas de J+1, pas d'encours qui dort.

Ce compte de paiement avec RIB s'utilise comme un vrai compte. Vous virez vers un compte bancaire marocain : devis des frais affiché avant confirmation, validation par code à usage unique si vous l'avez activée, délai de sécurité après l'ajout d'un nouveau bénéficiaire, jusqu'à cinq bénéficiaires favoris pour un virement rapide, et réception par le bénéficiaire sous 24 h ouvrées telle que le portail l'indique. Vous payez vos factures auprès des créanciers référencés — téléphone, eau, électricité, vignette — depuis le solde, avec un double code de validation et un reçu envoyé par SMS. Vous lancez des recharges télécom par l'API. Et le versement vers votre banque reste une opération distincte, à votre rythme : automatique chaque nuit dès qu'un compte de règlement est configuré, ou par virement à la demande.

Le compte complète votre banque, il ne la remplace pas : l'argent en sort par virement, paiement de facture ou recharge télécom, et les rôles du portail — propriétaire, gestionnaire, caissier, comptable — séparent ceux qui lisent de ceux qui déclenchent, chaque action étant tracée dans un journal d'audit chaîné.

Combien coûte une passerelle de paiement au Maroc

Les cinq postes d'un devis

Un devis de passerelle au Maroc se lit sur cinq lignes, quel que soit le prestataire. Demandez-les toutes avant de comparer quoi que ce soit.

1. 1La mise en service, réglée une fois, parfois appelée frais d'installation ou d'intégration.
2. 2La commission par transaction réussie, en pourcentage, parfois assortie d'un montant fixe ; elle varie selon les méthodes de paiement, les produits et les volumes.
3. 3La caution ou dépôt de garantie, et ses conditions de restitution.
4. 4Les versements vers votre banque : fréquence, frais éventuels, et surtout délai de disponibilité des fonds — c'est la ligne qui coûte le plus cher quand elle est floue.
5. 5Les remboursements : gratuits ou facturés, et si la commission initiale est remise.

Un tarif « à partir de » ne dit rien, à lui seul, des quatre autres lignes : demandez les cinq par écrit à chaque prestataire pour comparer des devis complets.

Nos chiffres publiés

La sandbox est gratuite, sans limite de durée et sans engagement : 0 MAD. La mise en service coûte 6 000 MAD TTC, réglés une seule fois, au passage en production — rien avant. La commission en pourcentage par transaction réussie est définie, comme la caution, après étude de votre dossier, selon vos produits, vos méthodes de paiement et vos volumes ; nous ne publions pas de commission « à partir de », la proposition arrive chiffrée avant tout engagement. Rembourser un client est gratuit, en totalité ou partiellement. Chaque virement depuis le compte affiche son devis de frais avant confirmation. Sont inclus sans supplément le compte de paiement avec RIB et attestation, le portail complet, les espèces en agence, les utilisateurs et rôles, les webhooks signés avec clés sandbox et production, le suivi des transactions et l'accompagnement au passage en production. Le détail est sur la page Tarification.

Intégrer la passerelle : sans code, avec code

Trois portes d'entrée couvrent l'essentiel des cas ; vous choisissez celle qui correspond à votre façon de vendre, et vous pouvez en combiner plusieurs. Une seule base d'URL, https://api-psp.charipay.ma, sert la sandbox et la production : c'est la clé qui choisit l'environnement, chari_sk_test_… pour les tests, chari_sk_live_… pour l'argent réel.

Liens de paiement (lien, QR, affiche PDF, WhatsApp)

Le lien de paiement est l'intégration sans code : un montant, une description, et une page de paiement prête à partager par e-mail, WhatsApp, QR code ou affiche PDF à imprimer pour le comptoir. Usage unique ou réutilisable, expiration à 24 heures, 7 jours, 30 jours, jamais ou à une date précise, statuts actif, payé, annulé, expiré. Tout se fait depuis le portail — ou par un seul appel d'API, comme le décrit la page liens de paiement :

curl -X POST 'https://api-psp.charipay.ma/v1/payment-links' \
  -H 'X-CHARI-PAY-API-KEY: chari_sk_test_...' \
  -H 'Content-Type: application/json' \
  -H 'Idempotency-Key: 7f3a9c12' \
  -d '{
    "amount": 149.90,
    "description": "Commande #1234",
    "singleUse": true,
    "paymentMethod": "CARD",
    "customerPhone": "+212600000000",
    "externalId": "order-1234",
    "notificationUrl": "https://votre-boutique.ma/webhooks/charipay"
  }'

La réponse contient la reference du lien et son payUrl, l'adresse publique à partager. Rejouer l'appel avec le même externalId renvoie le lien existant au lieu d'en créer un second. Avec "paymentMethod": "CASH", la même requête produit une référence à régler en espèces en agence.

Checkout hébergé 3-D Secure

Pour un site marchand, une commande devient une session : vous la créez côté serveur, vous redirigez l'acheteur vers l'URL de checkout renvoyée, il paie par carte avec 3-D Secure, et vous confirmez la commande à réception du webhook — jamais sur la seule redirection. Une session n'encaisse que la carte : pour proposer aussi les espèces en agence, créez pour la commande un lien de paiement à usage unique, comme ci-dessus — même webhook payment.succeeded, même relevé. La session est à usage unique, expire par défaut 72 heures après sa création, reprend vos couleurs et votre logo, et vous ne manipulez jamais les données de carte. La page Paiement en ligne décrit le parcours ; la référence des sessions de paiement donne chaque champ. En Python :

import os, requests

response = requests.post(
    'https://api-psp.charipay.ma/v1/payment-sessions',
    headers={
        'X-CHARI-PAY-API-KEY': os.environ['CHARI_PAY_API_KEY'],
        'Content-Type': 'application/json',
        'Idempotency-Key': 'commande-2026-0421-paiement',
    },
    json={
        'amount': 250.00,
        'orderId': 'ORD-2026-0421',
        'externalId': 'commande-2026-0421',
        'config': {
            'customer': {
                'firstName': 'Amine',
                'lastName': 'Bennani',
                'email': 'amine.bennani@example.com',
                'phone': '+212600000000',
            },
            'urls': {
                'accept': 'https://votre-boutique.ma/paiement/succes',
                'decline': 'https://votre-boutique.ma/paiement/echec',
                'notification': 'https://votre-boutique.ma/webhooks/charipay',
            },
        },
        'metadata': {'cartId': 'c_987'},
    },
)
response.raise_for_status()
data = response.json()  # data['sessionId'], data['checkoutUrl'], data['expiresAt']

Un 201 signifie que la session vient d'être créée ; un 200 avec le même externalId signifie qu'elle existait déjà. Les deux sont des succès. Le montant est en dirhams, en unités majeures avec deux décimales ; orderId est votre référence métier, sans contrainte d'unicité ; metadata revient tel quel dans le webhook.

API REST : trois appels

Une intégration complète tient en trois appels : créer (un lien ou une session), vérifier (le webhook signé), rembourser (POST /v1/refunds, réponse 202, puis refund.succeeded). Le webhook est la pièce la plus importante. Chaque livraison porte X-CHARI-SIGNATURE, un HMAC-SHA256 en hexadécimal calculé sur horodatage + "." + corps brut, et X-CHARI-TIMESTAMP en millisecondes ; vous dédupliquez sur Chari-Event-Id. La vérification, telle que documentée dans la référence des webhooks :

const crypto = require('crypto');

function verify(rawBody, signature, timestamp, secret) {
  // Fenêtre anti-rejeu de ±5 minutes — l'horodatage est en millisecondes.
  if (Math.abs(Date.now() - Number(timestamp)) > 5 * 60 * 1000) return false;

  const expected = crypto
    .createHmac('sha256', secret)
    .update(`${timestamp}.${rawBody}`)
    .digest('hex');

  // Une signature malformée doit répondre false — jamais jeter (500 → retentatives).
  if (!/^[0-9a-f]{64}$/i.test(signature)) return false;

  // Comparaison en temps constant : jamais `===`.
  return crypto.timingSafeEqual(Buffer.from(expected, 'hex'), Buffer.from(signature, 'hex'));
}

Si votre serveur ne répond pas 2xx, la livraison est retentée — 1 min, 5 min, 30 min, 1 h, puis toutes les 6 h, jusqu'à 16 tentatives sur environ 72 heures — et le journal du portail montre chaque tentative. L'API compte 12 modules et 62 endpoints, documentés publiquement avec des exemples en curl, JavaScript, Python et PHP, une collection Postman et la spécification OpenAPI : voyez la page API de paiement et, pour une lecture guidée, API de paiement au Maroc.

Shopify, WooCommerce, site sur mesure — par l'API, sans plugin

Disons-le explicitement : il n'existe pas de plugin ChariPay pour Shopify ni pour WooCommerce, et aucune extension à installer. Sur ces plateformes, vous encaissez de deux façons. Sans développeur, avec un lien de paiement envoyé à la confirmation de commande. Avec un développeur, en créant une session de paiement à la validation du panier et en marquant la commande payée à réception du webhook — une classe PHP ou un petit service Node suffisent. Un site sur mesure suit exactement le même schéma. Le guide paiement e-commerce au Maroc détaille les deux parcours, plateforme par plateforme, et ce qu'ils changent pour le paiement à la livraison.

Choisir sa passerelle : la grille de dix critères

Nous ne publions aucun comparatif nominatif : les chiffres qui circulent sur les prestataires sont rarement sourçables, et un tableau qui cite des commissions non vérifiées trompe plus qu'il n'aide. Voici, à la place, la grille que vous pouvez cocher chez votre prestataire actuel ou chez tout candidat — seule la colonne ChariPay est remplie, par nous, avec les faits de cette page.

Si un prestataire ne peut pas répondre à l'une de ces dix questions par écrit, la réponse est « non ». Pour la méthode complète — familles d'offres, questions à poser, erreurs à ne pas commettre — lisez comment choisir sa plateforme de paiement.

De la sandbox à la production en huit étapes

Le mode test s'ouvre dès l'inscription ; aucune validation n'est à attendre pour commencer. La vérification de votre entreprise ne conditionne que la production.

1. 1Créez votre compte de test sur le portail : trois champs — nom, e-mail professionnel, entreprise — puis le lien d'activation reçu par e-mail pour choisir votre mot de passe.
2. 2Connectez-vous, sélectionnez votre entreprise et, si votre compte le demande, enrôlez une application d'authentification à deux facteurs.
3. 3Créez votre clé de test vous-même, avec les seules permissions dont votre intégration a besoin : la clé complète ne s'affiche qu'une fois, mettez-la dans un coffre ou une variable d'environnement.
4. 4Créez un lien ou une session de paiement et réglez-le avec la carte de test unique : numéro 4918 9141 0719 5005, CVV 123, date d'expiration future, code 3-D Secure 555. Tout autre numéro est rejeté.
5. 5Déclarez votre endpoint de webhook en HTTPS public, envoyez un événement de test, vérifiez la signature et la déduplication, puis testez un paiement refusé et un remboursement, pas seulement le cas nominal.
6. 6Constituez votre dossier de production : documents d'identité et registre de commerce, avec double validation humaine ; la proposition chiffrée — commission et caution — arrive après étude.
7. 7Réglez la mise en service de 6 000 MAD TTC ; tant que la production n'est pas activée, une clé chari_sk_live_… reçoit un 403 explicite avec le code PRODUCTION_ACCESS_NOT_ENABLED.
8. 8Le jour de la bascule, changez la clé et le secret de webhook — rien d'autre : les URL, les payloads et les codes d'erreur sont identiques. Gardez la sandbox comme environnement de recette.

Cas d'usage

E-commerce

Une boutique en ligne crée une session par commande, redirige vers le checkout hébergé et confirme sur webhook. Les espèces en agence, proposées par un lien de paiement à usage unique créé pour la commande, lui permettent de remplacer le paiement à la livraison : la commande part déjà payée, le colis refusé disparaît. La boutique hébergée de ChariPay couvre aussi le cas sans site : publication de produits et suivi des commandes — en attente de paiement, payée, expédiée, livrée. Point de départ : paiement e-commerce au Maroc.

SaaS et abonnements

Un logiciel vendu par abonnement a besoin d'une solution de paiement qui gère le consentement explicite du client, un pré-avis avant chaque échéance et les échecs de prélèvement. Avec les Abonnements, un prélèvement qui échoue est relancé à J, J+1, J+3 et J+7, chaque étape arrive par webhook, et un endpoint de sandbox force la prochaine échéance pour dérouler une année de facturation en une minute.

Marketplace et réseau de revendeurs

Une place de marché, une franchise ou un réseau de revendeurs encaisse pour des tiers. Le module Distribution crée des sous-marchands avec leur propre wallet, un KYC, des plafonds, une collecte centralisée et des reversements à double validation ; une session de paiement peut désigner le wallet à créditer. C'est la solution de paiement d'un réseau, pas d'un seul marchand.

Vente par WhatsApp et Instagram

Un commerce qui vend en messagerie n'a besoin ni de site ni de développeur : un lien de paiement au montant du devis, envoyé dans la conversation, payé par carte ou en espèces en agence, et un statut « Payé » dans le portail. L'affiche avec QR code fait le même travail en boutique pour les paiements par carte, et les clients enregistrés se réutilisent d'une vente à l'autre.

Questions fréquentes

Qu'est-ce qu'une passerelle de paiement ?

Une passerelle de paiement est le service qui affiche une page de paiement à votre client, fait authentifier l'opération, transmet l'autorisation, vous notifie du résultat par webhook et met l'argent à votre disposition sur un compte de paiement. Au Maroc, elle est opérée par — ou adossée à — un établissement agréé par Bank Al-Maghrib, par exemple un établissement de paiement, un statut qui autorise à tenir des comptes de paiement pour des marchands.

Comment fonctionne une passerelle de paiement au Maroc ?

Le client paie sur une page hébergée, par carte avec 3-D Secure ou en espèces contre une référence en agence. Pour une carte, la banque de l'acheteur accepte ou refuse l'autorisation transmise par la passerelle ; pour les espèces, le réseau confirme le dépôt. Le paiement réussi est crédité sur votre compte de paiement et votre serveur reçoit un webhook signé, qui fait foi. Le versement vers votre banque est une opération distincte, automatique chaque nuit ou à la demande.

Quelle différence entre passerelle, PSP et établissement de paiement ?

La passerelle est le logiciel : page hébergée, API, webhooks, portail. Le PSP est l'entreprise qui vous vend et exploite ce service. L'établissement de paiement est le statut réglementaire, agréé par Bank Al-Maghrib au titre de la loi 103-12, qui autorise à tenir vos fonds sur un compte de paiement. Un même acteur peut réunir les trois ; la question à poser reste « quelle entité est agréée, et mes fonds passent-ils par elle ? ».

Quelle est la meilleure passerelle de paiement au Maroc ?

Celle qui coche les dix critères de cette page : opérateur agréé par Bank Al-Maghrib, PCI DSS niveau 1, 3-D Secure, cartes locales dont Maroc Pay, espèces pour les clients sans carte, sandbox gratuite, webhooks signés, API documentée, fonds disponibles sans attente et remboursement gratuit. Nous ne publions pas de classement nominatif : demandez la grille complète par écrit à chaque candidat et comparez les réponses, pas les slogans.

Le 3-D Secure est-il obligatoire ?

Les paiements par carte passent par l'authentification 3-D Secure, et c'est la banque de l'acheteur qui décide, transaction par transaction, de la forme qu'elle prend — code par SMS ou validation dans son application. Vous n'avez rien à activer ; ce qui compte pour votre taux de réussite, c'est une page de paiement ouverte dans l'onglet principal et des clients dont la carte est activée pour le paiement en ligne.

Combien coûte l'intégration d'une passerelle ?

Chez ChariPay, tester ne coûte rien : la sandbox est gratuite, sans limite de durée. La mise en service coûte 6 000 MAD TTC, réglés une seule fois au passage en production ; la commission par transaction réussie et la caution sont définies après étude de votre dossier ; rembourser est gratuit. Côté développement : rien pour un lien de paiement ; pour le checkout hébergé, la création de la session et le traitement du webhook sur votre serveur.

Peut-on encaisser les espèces avec une passerelle ?

Oui, si la passerelle le prévoit. ChariPay est la seule passerelle de paiement au Maroc à encaisser aussi les espèces en agence : le client choisit les espèces sur la page d'un lien de paiement à usage unique, reçoit une référence et dépose le montant dans une agence du réseau Chari. Vous recevez le même webhook qu'un paiement par carte, le montant est disponible à l'instant, et le relevé et l'export sont identiques.

Quand l'argent est-il disponible ?

Dès que le paiement réussit, par carte ou en espèces en agence, le montant est disponible sur votre compte de paiement ChariPay, tenu par Chari Money avec un RIB au nom de votre entreprise. Vous l'utilisez aussitôt pour un virement, une facture ou une recharge télécom. Le versement vers votre banque est une opération distincte : automatique chaque nuit dès qu'un compte de règlement est configuré, ou par virement à la demande.

Stripe ou PayPal sont-ils disponibles au Maroc ?

Le Maroc ne figure pas dans la liste des pays où Stripe est disponible, publiée sur stripe.com/global et vérifiée le jour de la rédaction de cette page ; une entreprise marocaine ne peut donc pas y ouvrir de compte pour encaisser. Les détails et les contournements sont dans Stripe au Maroc ; la situation de PayPal pour une entreprise marocaine est traitée dans PayPal au Maroc.

Comment tester avant la production ?

Créez votre compte sur le portail, créez votre clé de test et payez un lien ou une session avec la carte de test 4918 9141 0719 5005, CVV 123, expiration future, code 3-D Secure 555. Le parcours est réel — page hébergée, authentification, webhook signé — sans mouvement d'argent. Testez aussi un refus, un remboursement et un webhook auquel votre serveur répond une erreur, pour voir la relance à l'œuvre.

Sources

• Conseil de la concurrence — communiqué du 19 mai 2025 (décision n° 152/D/2024 du 31 octobre 2024) — lu le 2026-10-02
• Conseil de la concurrence et Bank Al-Maghrib — communiqué conjoint du 10 juillet 2026 — lu le 2026-10-02
• Bank Al-Maghrib — Structure du système bancaire (nombre d'établissements agréés par catégorie, dont les établissements de paiement) — lu le 2026-10-02
• Stripe — pays où Stripe est disponible — lu le 2026-10-02
• PCI Security Standards Council — PCI DSS — lu le 2026-10-02
• CNDP — Commission nationale de contrôle de la protection des données à caractère personnel (loi 09-08) — lu le 2026-10-02

Prochaine étape

Pour essayer la passerelle sur votre propre parcours : Commencer en mode test — trois champs, gratuit, sans engagement ni limite de durée. Quand vous voudrez chiffrer la suite, la page Tarification donne nos chiffres publiés, et l'équipe répond à vos questions de dossier via la page Contact.