PSP au Maroc : prestataire de services de paiement, agrément, coûts et intégration

Un PSP — prestataire de services de paiement — est l'intermédiaire qui permet à une entreprise d'encaisser ses clients en ligne sans devenir elle-même un acteur du système de paiement. Au Maroc, un PSP s'appuie sur un établissement de paiement agréé par Bank Al-Maghrib : c'est cet agrément qui autorise la tenue de comptes de paiement et l'exécution des opérations pour le compte des marchands.

Cette page pose les définitions, décrit la chaîne d'un paiement en ligne, détaille ce qu'un PSP agréé fait pour un marchand, ce qu'il coûte et comment on l'intègre — puis dit ce que ChariPay fait sur chacun de ces points.

Qu'est-ce qu'un PSP au Maroc ?

Prestataire de services de paiement : la définition

Un prestataire de services de paiement met à disposition des marchands les moyens d'accepter un paiement — la carte bancaire, et selon le prestataire les espèces contre référence — et assure le traitement de l'opération jusqu'au crédit du compte du marchand. Le sigle PSP vient de l'anglais « payment service provider ». Au Maroc, on emploie aussi deux termes voisins qu'il vaut mieux ne pas confondre : la passerelle de paiement, qui désigne la partie technique (page de paiement, API, notifications), et l'établissement de paiement, qui désigne l'entité réglementée tenant les comptes.

La passerelle est un logiciel ; l'établissement de paiement est un statut. Un PSP peut être les deux à la fois, ou une passerelle adossée à un établissement tiers. La question à poser est la même : quelle entité est agréée, et votre service passe-t-il par elle ?

La chaîne d'un paiement en ligne

Quand un client règle une commande sur une page de paiement, cinq maillons s'enchaînent en quelques secondes :

1. 1Le client saisit sa carte sur une page hébergée par le prestataire — ou, s'il paie en espèces, reçoit une référence à présenter en agence.
2. 2La passerelle chiffre les données, déclenche l'authentification 3-D Secure auprès de la banque du client et transmet la demande d'autorisation.
3. 3Les réseaux de cartes acheminent l'autorisation, puis le règlement, entre la banque du client et l'établissement qui reçoit les fonds.
4. 4L'établissement de paiement reçoit les fonds et les affecte au compte de paiement du marchand.
5. 5Le compte du marchand est crédité ; le marchand en dispose selon les règles de son prestataire — versement vers sa banque, remboursement, opérations depuis le compte.

Chaque maillon a ses délais et ses échecs possibles : carte refusée, authentification abandonnée, dépôt jamais effectué. C'est la raison d'être du webhook : le résultat vous parvient par notification signée, jamais par la page de retour du client.

L'agrément Bank Al-Maghrib et la loi 103-12

La loi 103-12 relative aux établissements de crédit et organismes assimilés a introduit au Maroc le statut d'établissement de paiement : une entité distincte des banques, agréée par Bank Al-Maghrib pour fournir des services de paiement et tenir des comptes de paiement. L'agrément emporte une supervision continue et des obligations sur la protection des fonds des clients et le contrôle interne. C'est lui qui sépare un prestataire qui tient votre argent d'un prestataire qui le fait seulement transiter.

Pour un marchand, l'agrément répond à trois questions concrètes : qui supervise le prestataire, où sont vos fonds entre l'encaissement et le versement, et qui est responsable si quelque chose se passe mal. Cette page décrit le cadre dans ses grandes lignes ; pour ce qu'il implique dans votre activité, votre conseil juridique ou votre expert-comptable reste seul à pouvoir se prononcer.

Ce qu'un PSP agréé fait pour un marchand

Un PSP agréé rend cinq services, dans l'ordre où un paiement les traverse.

Encaisser

L'encaissement couvre la carte bancaire, avec authentification 3-D Secure, et — chez ChariPay — les espèces en agence : le client reçoit une référence, dépose le montant dans une agence du réseau Chari, et le marchand est notifié dès que le réseau confirme le dépôt. Les deux méthodes arrivent dans le même compte, le même relevé, le même export.

Tenir le compte de paiement

Le compte de paiement est le cœur du service : un compte réglementé au nom de l'entreprise, avec son RIB, sur lequel chaque paiement réussi est porté. Ce n'est pas un solde affiché dans une interface, c'est un compte depuis lequel le marchand agit. Deux questions le décrivent : à quel moment un paiement réussi y devient disponible, et ce que le marchand peut en faire sans passer par sa banque.

Verser

Le versement transfère les fonds du compte de paiement vers la banque du marchand. Les modes varient d'un prestataire à l'autre — à la demande, à date fixe, ou automatiquement dès qu'un compte de règlement est enregistré. Deux points se vérifient au contrat : le délai entre l'encaissement et l'arrivée des fonds à la banque, et ce que coûte chaque versement.

Rembourser

Un remboursement doit être possible sans quitter le système : total ou partiel, depuis le portail ou par l'API — POST /v1/refunds, qui répond 202 le temps que l'opération se règle.

Notifier

Chaque événement qui compte — paiement réussi, et paiement échoué si vous l'avez demandé — est poussé vers le serveur du marchand par webhook. La notification est signée pour que personne ne puisse la forger, horodatée pour qu'on ne puisse pas la rejouer, et relivrée si le serveur ne répond pas.

Ce que coûte un PSP au Maroc

La structure de coûts, en général

Un contrat de PSP se lit ligne par ligne. Les postes qu'on retrouve d'un prestataire à l'autre :

• Frais de mise en service — réglés une fois, à l'ouverture ou au passage en production.
• Commission par transaction — un pourcentage du montant, parfois complété d'une part fixe par opération.
• Abonnement — un forfait mensuel ou annuel, indépendant du volume.
• Remboursements — parfois facturés, ou sans restitution de la commission initiale.
• Versements — un coût par virement vers votre banque, ou un délai qui en tient lieu.
• Caution ou dépôt de garantie — une somme immobilisée, proportionnée au risque de l'activité.
• Impayés et contestations — les frais liés à un litige sur une transaction carte.

Le bon réflexe n'est pas de comparer un pourcentage affiché, mais de demander le coût complet d'un mois type sur votre volume réel : commissions, frais fixes, remboursements, versements.

La structure de coûts de ChariPay

Nous ne publions pas de commission « à partir de » : elle est définie, avec la caution, après étude de votre dossier. Le détail est sur la page Tarification, et la sandbox permet de tester l'intégralité du service avant d'engager le moindre dirham.

Comment on intègre un PSP

L'intégration d'un PSP se fait par paliers, et le premier ne demande aucun code.

Les liens de paiement

Depuis le portail, le marchand crée un lien au montant voulu, à usage unique ou multiple, et le partage par e-mail ou WhatsApp ; le même lien existe en QR code et en affiche pour un comptoir. Le client paie sur une page hébergée, par carte avec 3-D Secure ou en espèces en agence.

Le checkout hébergé

Quand les commandes viennent d'un site ou d'une application, le back-office du marchand crée une session de paiement (POST /v1/payment-sessions) avec le montant en dirhams — la création de session ne comporte pas de champ devise — et redirige le client vers l'URL de checkout retournée. Les données de carte sont saisies sur la page hébergée, jamais sur les serveurs du marchand.

L'API complète

Le même contrat REST expose les clients, les produits et commandes, les abonnements avec échéances et relances automatiques à J+1, J+3 et J+7, les remboursements, et les transactions avec leur export CSV. Douze modules, soixante-deux endpoints, des exemples en curl, JavaScript, Python et PHP, une collection Postman, le fichier OpenAPI et un pack pour assistants de code : tout est sur la documentation API.

Deux conventions valent pour toute création : un en-tête Idempotency-Key rend l'appel rejouable sans doublon, et un externalId — unique par environnement — permet de retrouver une ressource avec votre propre identifiant.

Les webhooks

Le résultat d'un paiement arrive par webhook signé en HMAC-SHA256. Deux en-têtes accompagnent chaque livraison, X-CHARI-SIGNATURE et X-CHARI-TIMESTAMP, avec une tolérance de ±5 minutes sur l'horodatage. Si votre serveur ne répond pas, la livraison est relancée à intervalles croissants — 1 min, 5 min, 30 min, 1 h, puis toutes les 6 h — jusqu'à seize tentatives, soit environ 72 heures, et chaque livraison peut être rejouée depuis le portail. Le guide des webhooks détaille le traitement qui évite les erreurs classiques.

De la sandbox à la production

La sandbox est gratuite, sans limite de durée, et s'ouvre sans rendez-vous, en huit étapes, de l'inscription sur portal-psp.charipay.ma/register à la clé d'API que vous créez vous-même. Une seule carte de test suffit : 4918914107195005, CVV 123, code 3-D Secure 555.

L'adresse de l'API ne change pas : https://api-psp.charipay.ma en sandbox comme en production. C'est la clé qui choisit l'environnement — chari_sk_test_… ou chari_sk_live_…. Tant que la production n'est pas activée pour votre compte, tout appel en production renvoie un 403 avec le code PRODUCTION_ACCESS_NOT_ENABLED : rien ne peut être encaissé par erreur. Le passage en production se fait avec l'équipe d'intégration, après étude du dossier et règlement de la mise en service — le déroulé est dans De la sandbox à la production.

Les huit questions à poser à un PSP

Les tarifs se comparent en dernier. Avant eux, huit questions séparent un prestataire qu'on subit d'un partenaire qu'on garde :

1. 1Qui détient l'agrément, et où vit mon argent ?
2. 2Où vivent les données de carte ?
3. 3Que se passe-t-il quand un paiement échoue ?
4. 4Le webhook est-il signé, et rejouable ?
5. 5Comment sort-on — les données sont-elles exportables ?
6. 6La sandbox est-elle un vrai environnement ?
7. 7Qui répond, et en combien de temps ?
8. 8L'encaissement couvre-t-il vos clients réels, y compris ceux qui n'ont pas de carte ?

Chaque question est développée dans le guide pour choisir sa plateforme de paiement au Maroc. Posez-les-nous comme à n'importe qui.

ChariPay comme PSP

ChariPay est la passerelle de paiement de Chari, opérée par Chari Money, établissement de paiement agréé par Bank Al-Maghrib. Point par point :

L'agrément et la sécurité. C'est Chari Money qui tient votre compte de paiement, sous la supervision de la banque centrale. La plateforme est certifiée PCI DSS niveau 1 — le niveau le plus exigeant, audité chaque année — et les données sont traitées dans le cadre de la loi 09-08. Le détail est sur la page Sécurité.

Le compte de paiement. Votre entreprise dispose d'un compte de paiement avec un RIB à son nom. Chaque paiement réussi y est disponible à l'instant. Depuis ce compte : virements bancaires (avec devis et, si vous l'avez activé, un code à usage unique ; un nouveau bénéficiaire est soumis à un délai de sécurité de 24 h), paiement de factures, et recharges télécom par l'API. Le versement vers votre banque se fait par virement à la demande, ou automatiquement chaque nuit dès qu'un compte de règlement est configuré.

L'encaissement. Carte bancaire avec 3-D Secure, et espèces en agence par référence, dans le réseau Chari — ChariPay est la seule passerelle de paiement au Maroc à encaisser aussi les espèces en agence. Voir Paiement en ligne au Maroc pour ce que cela change quand une partie de vos clients n'a pas de carte.

Les outils. Liens de paiement (envoi, QR code, affiche, usage unique ou multiple), checkout hébergé par sessions de paiement, abonnements avec échéances et relances à J+1, J+3 et J+7, produits et commandes, remboursements totaux ou partiels.

Le portail. Quatre rôles — propriétaire, gestionnaire, caissier, comptable —, des utilisateurs multiples, des exports CSV et le rejeu des webhooks.

Le prix. Une seule ligne fixe : la mise en service, 6 000 MAD TTC, réglée une fois au passage en production. La commission et la caution sont arrêtées après étude du dossier ; la sandbox et les remboursements ne coûtent rien.

Questions fréquentes

Quelle différence entre un PSP, une passerelle de paiement et un établissement de paiement ?

Le PSP est le prestataire avec lequel vous contractez. La passerelle est sa partie technique — page de paiement, API, webhooks. L'établissement de paiement est l'entité agréée par Bank Al-Maghrib qui tient les comptes de paiement. Chez ChariPay, la passerelle est ChariPay et l'établissement de paiement est Chari Money.

Un marchand doit-il lui-même obtenir un agrément pour encaisser en ligne ?

En règle générale, non : l'agrément est porté par l'établissement de paiement du prestataire, avec lequel le marchand contracte. Ce qui vous est demandé, c'est un dossier — l'étude qui précède le passage en production. Une activité elle-même réglementée peut avoir ses propres obligations : c'est à votre conseil de le dire.

Combien coûte un PSP au Maroc ?

Cela dépend de chaque contrat — voir les postes ci-dessus. Chez ChariPay : sandbox gratuite, mise en service de 6 000 MAD TTC réglée une fois au passage en production, commission et caution définies après étude du dossier, remboursement gratuit.

Combien de temps prend l'intégration ?

Un lien de paiement créé depuis le portail ne demande ni code ni délai. Pour l'API, un développeur ouvre sa sandbox et fait son premier appel le jour même ; la suite dépend de ce que vous branchez. Le passage en production suit l'étude du dossier.

Le compte de paiement ChariPay remplace-t-il ma banque ?

Non, il la complète. C'est un compte de paiement réglementé, avec un RIB au nom de votre entreprise, où vos encaissements sont disponibles à l'instant. Votre banque reste destinataire des versements — à la demande ou chaque nuit. Il n'y a pas de retrait d'espèces : l'argent sort du compte par virement, paiement de facture ou recharge télécom.

Mes clients qui n'ont pas de carte peuvent-ils payer ?

Oui, en espèces en agence : le client reçoit une référence, dépose le montant dans une agence du réseau Chari, et vous êtes notifié dès que le dépôt est confirmé. La commande part déjà payée.

Peut-on utiliser Stripe au Maroc ?

À ce jour, la liste officielle des pays pris en charge par Stripe ne comprend pas le Maroc, et aucun calendrier n'a été annoncé publiquement. Les contournements qui circulent — créer une société à l'étranger, ou encaisser sur le compte d'un tiers — ont des conséquences à examiner avec votre conseil avant toute démarche : fonds encaissés hors du Maroc sur une entité étrangère, obligations fiscales du pays d'incorporation, obligations marocaines de change et de TVA quand vos clients sont marocains, risque de clôture du compte, cartes marocaines qui ne sont pas toujours acceptées. Un PSP agréé au Maroc encaisse en dirhams, sur un compte de paiement marocain — Stripe au Maroc reprend chaque point.

Les données de carte de mes clients transitent-elles par mes serveurs ?

Non, si vous utilisez les liens de paiement ou le checkout hébergé : la carte est saisie sur la page hébergée par ChariPay, dans un périmètre certifié PCI DSS niveau 1. Votre serveur ne manipule que des références de session et des notifications signées.