PSP au Maroc : prestataire de services de paiement, agrément, coûts et intégration

Un PSP au Maroc — prestataire de services de paiement — est l'entreprise qui permet à un marchand d'encaisser ses clients par carte, en espèces contre référence ou par lien de paiement, et de recevoir l'argent sur un compte à son nom, sans devenir lui-même un acteur du système de paiement. Au Maroc, ce service repose sur un établissement de paiement ou une banque agréés par Bank Al-Maghrib : c'est l'agrément de cet établissement, et non le logiciel, qui fait d'un prestataire un interlocuteur réglementé. Cette page définit le PSP, montre comment vérifier un agrément à la source, détaille ce que coûte un PSP et comment on l'intègre — puis dit ce que fait ChariPay sur chaque point.

Qu'est-ce qu'un PSP au Maroc ?

PSP, en 40 mots

Un PSP, ou prestataire de services de paiement, permet à une entreprise d'accepter des paiements — carte, espèces, lien, page de paiement — et d'en recevoir le produit sur un compte à son nom. Au Maroc, ces services relèvent d'un établissement agréé par Bank Al-Maghrib.

Le sigle vient de l'anglais « payment service provider ». Dans les faits, le PSP fournit la page de paiement hébergée, l'API qu'appelle votre site, les notifications qui vous annoncent chaque résultat, le compte sur lequel l'argent arrive et les outils pour le suivre, le rembourser et le verser vers votre banque. On lit aussi « prestataire de paiement », « plateforme de paiement » ou « solution de paiement » : le vocabulaire varie, la question de fond reste la même — qui tient votre argent, et sous quelle supervision.

Un PSP n'est pas une banque, et la différence n'est pas qu'une affaire de mots. La loi 103-12 réserve aux banques la réception de fonds du public à vue (article 12). Elle range les établissements de paiement parmi les organismes assimilés aux établissements de crédit (article 11), et Bank Al-Maghrib les présente comme des institutions non bancaires habilitées à tenir des comptes de paiement et à offrir les services de paiement qui y sont associés. La loi définit le compte de paiement comme un compte détenu au nom d'un utilisateur de services de paiement et « exclusivement utilisé aux fins d'opérations de paiement » (article 16). Un établissement de paiement n'est donc pas là pour vous prêter ni pour garder votre épargne : votre banque conserve ce rôle, et le PSP s'y ajoute pour l'encaissement.

PSP ou passerelle de paiement : la différence

Les deux mots s'emploient l'un pour l'autre ; ils ne désignent pas la même chose. La passerelle de paiement est la partie technique : la page où le client saisit sa carte, l'API qu'appelle votre site, les webhooks qui vous notifient. L'établissement de paiement est un statut réglementé : l'entité agréée qui tient les comptes et exécute les opérations. Le PSP, enfin, est le prestataire avec lequel vous signez — il peut être les deux à la fois, ou une passerelle adossée à un établissement tiers. Un logiciel n'est jamais agréé en tant que tel : c'est l'entité qui l'opère qui l'est. Le fonctionnement technique, les critères de choix et le code sont détaillés sur la page passerelle de paiement au Maroc.

Quand un client règle une commande, cinq maillons s'enchaînent :

1. 1Le client saisit sa carte sur une page hébergée par le prestataire — ou, s'il paie en espèces, reçoit une référence à présenter en agence.
2. 2La passerelle chiffre les données, déclenche l'authentification 3-D Secure auprès de la banque du client et transmet la demande d'autorisation.
3. 3Les réseaux de cartes acheminent l'autorisation, puis le règlement, entre la banque du client et l'établissement qui reçoit les fonds.
4. 4L'établissement de paiement reçoit les fonds et les affecte au compte de paiement du marchand.
5. 5Le marchand est notifié par webhook signé et dispose de son argent selon les règles de son prestataire.

Le cadre a bougé récemment. Par sa décision n° 152/D/2024 du 31 octobre 2024, le Conseil de la concurrence a rendu obligatoires des engagements destinés à ouvrir le marché de l'acquisition carte, et il en assure le suivi. Son communiqué du 19 mai 2025 indique que les établissements de paiement et les filiales des banques dédiées à l'acquisition, dûment autorisés, peuvent opérer sur ce marché dès le 1er mai 2025. Conséquence pratique : de nouveaux acteurs entrent sur le marché de l'acquisition, et la question « qui est agréé ? » compte d'autant plus dans le choix d'un PSP.

Ce qu'un PSP agréé fait pour un marchand

Un PSP agréé rend cinq services, dans l'ordre où un paiement les traverse.

1. 1Encaisser. Accepter la carte — Visa, Mastercard, Maroc Pay — avec l'authentification 3-D Secure et, chez ChariPay, les espèces en agence : le client reçoit une référence, dépose le montant dans une agence Damane Cash, Chaabi Cash, Tasshilat, Barid Cash ou Chari — le plus grand réseau de paiement en espèces du Maroc —, et vous êtes notifié dès que le réseau confirme le dépôt.
2. 2Tenir le compte de paiement. Chaque paiement réussi est porté sur un compte de paiement réglementé, au nom de votre entreprise, avec son RIB. Ce n'est pas un solde affiché dans une interface : c'est un compte depuis lequel vous agissez.
3. 3Verser. Transférer les fonds vers votre banque — à la demande, à date fixe ou automatiquement, selon le prestataire. Deux points se vérifient au contrat : le délai entre l'encaissement et l'arrivée des fonds à la banque, et le coût de chaque versement.
4. 4Rembourser. Total ou partiel, sans quitter le système : depuis le portail ou par l'API.
5. 5Notifier. Pousser chaque événement qui compte vers votre serveur par webhook — signé pour qu'on ne puisse pas le forger, horodaté pour qu'on ne puisse pas le rejouer, relivré si votre serveur ne répond pas.

Deux questions départagent ensuite les prestataires : à quel moment un paiement réussi devient-il disponible sur votre compte, et que pouvez-vous faire de cet argent sans passer par votre banque ? Chez ChariPay, la réponse à la première est « à l'instant » ; à la seconde, des virements, le paiement de factures, des recharges télécom par l'API et le versement vers votre banque, à la demande ou chaque nuit.

Ces réponses se vérifient mieux qu'elles ne se lisent. Le mode test de ChariPay est gratuit, sans limite de durée, et ne demande aucune validation préalable : Commencer en mode test. Voici ce qui se passe après le clic :

1. 1Vous remplissez trois champs : votre nom, votre e-mail professionnel, votre entreprise.
2. 2Vous recevez un lien d'activation par e-mail et vous choisissez votre mot de passe.
3. 3Depuis le portail, vous créez vous-même votre clé de test.
4. 4Vous faites votre premier paiement de test avec la carte de test : 4918 9141 0719 5005, CVV 123, code 3-D Secure 555, toute date d'expiration future.

La vérification de votre entreprise (KYB) ne conditionne que le passage en production : pour tester, il n'y a rien à attendre ni à payer.

Comment vérifier qu'un prestataire est agréé par Bank Al-Maghrib

« Agréé » est le mot qu'on lit le plus souvent sur les sites de paiement, et le seul qu'on puisse vérifier soi-même, à la source. La vérification en vaut la peine : elle répond à trois questions concrètes — qui supervise votre prestataire, où se trouve votre argent entre l'encaissement et le versement, et qui répond si quelque chose se passe mal.

Ce que dit la loi. La loi 103-12 relative aux établissements de crédit et organismes assimilés pose trois règles utiles au marchand. Avant d'exercer, un établissement de paiement doit avoir été agréé par le wali de Bank Al-Maghrib, après avis du comité des établissements de crédit, et la décision d'agrément est publiée au Bulletin officiel (article 34). Il est interdit à toute personne qui n'est pas agréée comme établissement de crédit ou comme établissement de paiement d'effectuer, à titre de profession habituelle, les services de paiement que la loi énumère, sous réserve des exceptions qu'elle prévoit (article 18). Enfin, les fonds inscrits sur les comptes de paiement doivent être déposés sur un compte global, séparé et individualisé auprès d'un établissement de crédit habilité à recevoir des dépôts à vue, et distinctement identifiés et cantonnés dans la comptabilité de l'établissement de paiement (article 17). Cette page décrit le cadre dans ses grandes lignes et ne constitue pas un avis juridique ; pour ce qu'il implique dans votre activité, votre conseil juridique ou votre expert-comptable reste seul à pouvoir se prononcer.

Où regarder. La référence est Bank Al-Maghrib, et elle seule. Sa page Structure du système bancaire indique qu'à fin 2024, 93 établissements de crédit et organismes assimilés étaient agréés au Maroc, dont 18 établissements de paiement (page consultée le 2 octobre 2026). La même page propose à télécharger la liste des établissements de crédit et organismes assimilés arrêtée au 31 décembre 2019 : pour un agrément plus récent, la loi prévoit que Bank Al-Maghrib tient à jour la liste des établissements agréés et en publie les modifications au Bulletin officiel (article 48), où paraît aussi chaque décision d'agrément. Nous ne reproduisons ici aucun nom : une liste recopiée vieillit, la publication officielle fait foi.

La vérification, en cinq gestes.

1. 1Demandez le nom exact de l'entité agréée. Pas la marque, pas l'application : la raison sociale de l'établissement qui tient les comptes, et la catégorie sous laquelle il est agréé.
2. 2Retrouvez ce nom dans les publications de Bank Al-Maghrib. La liste de la banque centrale et le Bulletin officiel sont les deux sources qui comptent ; une mention sur le site du prestataire ne les remplace pas.
3. 3Vérifiez que votre contrat et vos fonds passent par cette entité. L'argent de vos clients doit arriver sur un compte de paiement ouvert au nom de votre entreprise, avec un RIB, tenu par l'établissement agréé — pas sur le compte d'un tiers, ni sur une société établie hors du Maroc.
4. 4Demandez le niveau de certification PCI DSS. Le niveau 1 est le plus exigeant ; demandez l'attestation qui l'établit et sa date de renouvellement.
5. 5Demandez comment les données personnelles sont traitées. Au Maroc, le cadre est la loi 09-08 : où les données sont hébergées, qui y accède, comment elles sont masquées dans les journaux.

Trois signaux doivent vous arrêter : un prestataire qui se dit agréé sans nommer l'entité qui l'est ; une passerelle présentée comme agréée en elle-même, alors qu'un logiciel ne l'est jamais ; des fonds encaissés sur une société étrangère ou sur le compte d'un tiers. La question se pose notamment pour Stripe, dont la liste des pays disponibles ne comprend pas le Maroc : ce qu'elle implique est détaillé dans Stripe au Maroc.

Pour ChariPay, les réponses tiennent en quelques lignes. L'entité agréée est Chari Money, établissement de paiement agréé par Bank Al-Maghrib, qui tient votre compte de paiement au nom de votre entreprise, avec un RIB et une attestation PDF. La plateforme est certifiée PCI DSS niveau 1, certification renouvelée chaque année, et les données sont traitées dans le cadre de la loi 09-08. Le dispositif complet — double validation, journal d'audit chaîné, authentification forte — est décrit sur la page Sécurité et conformité. Comme pour tout prestataire, c'est ce nom — Chari Money — qu'il vous revient de rechercher dans les sources officielles citées plus haut.

Ce que coûte un PSP au Maroc

Un contrat de PSP se lit ligne par ligne. Voici les postes qu'on retrouve d'un prestataire à l'autre :

• Frais de mise en service — réglés une fois, à l'ouverture ou au passage en production.
• Commission par transaction — un pourcentage du montant, parfois complété d'une part fixe par opération.
• Abonnement — un forfait mensuel ou annuel, indépendant du volume.
• Remboursements — parfois facturés, ou sans restitution de la commission initiale.
• Versements — un coût par virement vers votre banque, ou un délai qui en tient lieu.
• Caution ou dépôt de garantie — une somme immobilisée, proportionnée au risque de l'activité.
• Impayés et contestations — les frais liés à un litige sur une transaction carte.

Le bon réflexe n'est pas de comparer un pourcentage affiché, mais de demander le coût complet d'un mois type, sur votre volume réel. Prenez vos ventes d'un mois ordinaire, appliquez la commission et la part fixe, ajoutez l'abonnement, le coût de vos versements et celui de vos remboursements, puis rapportez le total à ce que vous avez encaissé : c'est ce taux effectif qui se compare, pas le pourcentage de la plaquette. Regardez aussi la sortie — ce que deviennent vos données et votre caution le jour où vous changez de prestataire.

Chez ChariPay, la grille publiée tient en un tableau :

Nous ne publions pas de commission « à partir de » : elle est définie, avec la caution, après étude de votre dossier, selon vos produits, vos méthodes de paiement et vos volumes. Rien n'est facturé avant la production, et la sandbox permet d'éprouver l'intégralité du service avant d'engager le moindre dirham. Le détail est sur la page Tarification.

Comment on intègre un PSP

L'intégration d'un PSP se fait par paliers, et le premier ne demande aucune ligne de code.

Sans code : les liens de paiement. Depuis le portail, vous créez un lien au montant voulu, à usage unique ou multiple, et vous le partagez par e-mail ou WhatsApp ; le même lien existe en QR code et en affiche PDF pour un comptoir. Le client paie sur une page hébergée, par carte avec 3-D Secure ou, pour un lien à usage unique, en espèces en agence. C'est le palier des ventes sur Instagram, des acomptes et des factures ponctuelles : voyez la page liens de paiement.

Avec un site : le checkout hébergé. Quand les commandes viennent d'un site ou d'une application, votre back-office crée une session de paiement avec le montant en dirhams, puis redirige le client vers l'URL de checkout retournée. Les données de carte sont saisies sur la page hébergée, jamais sur vos serveurs, et le résultat vous parvient par webhook. La page paiement en ligne décrit le parcours ; l'appel ressemble à ceci :

curl -X POST 'https://api-psp.charipay.ma/v1/payment-sessions' \
  -H 'X-CHARI-PAY-API-KEY: chari_sk_test_...' \
  -H 'Content-Type: application/json' \
  -H 'Idempotency-Key: order-2026-0421-session' \
  -d '{
    "amount": 250.00,
    "orderId": "ORD-2026-0421",
    "externalId": "order-2026-0421",
    "config": {
      "customer": {
        "email": "amine.bennani@example.com",
        "firstName": "Amine",
        "lastName": "Bennani",
        "phone": "+212600000000"
      },
      "urls": {
        "accept": "https://votre-boutique.ma/paiement/succes",
        "decline": "https://votre-boutique.ma/paiement/echec"
      }
    }
  }'

La réponse 201 porte le sessionId, la checkoutUrl vers laquelle rediriger le client et l'expiresAt de la session. Le client et la commande de l'exemple sont fictifs.

Tout le contrat : l'API. Le même contrat REST expose les clients, les produits et commandes, les abonnements avec un lien de paiement envoyé par e-mail à chaque échéance, les remboursements et les transactions avec leur export CSV. Douze modules, cinquante-sept endpoints, des exemples en curl, JavaScript, Python et PHP, une collection Postman et le fichier OpenAPI : tout est public sur la documentation API. Deux conventions valent pour toute création : l'en-tête Idempotency-Key rend l'appel rejouable sans doublon, et l'externalId, unique par environnement, retrouve une ressource avec votre propre identifiant. Le guide API de paiement au Maroc déroule l'intégration complète, appel par appel.

Les webhooks. Le résultat d'un paiement arrive par webhook signé en HMAC-SHA256, avec les en-têtes X-CHARI-SIGNATURE et X-CHARI-TIMESTAMP et une tolérance de ±5 minutes sur l'horodatage. Si votre serveur ne répond pas, la livraison est relancée à intervalles croissants — 1 min, 5 min, 30 min, 1 h, puis toutes les 6 h — jusqu'à seize tentatives sur environ 72 heures, et chaque livraison peut être rejouée depuis le portail. Dédupliquez sur Chari-Event-Id : la livraison est garantie au moins une fois, pas une seule fois.

De la sandbox à la production. L'adresse de l'API ne change pas : https://api-psp.charipay.ma en sandbox comme en production, et c'est la clé qui choisit l'environnement — chari_sk_test_… ou chari_sk_live_…. Tant que la production n'est pas activée pour votre compte, un appel avec une clé live renvoie un 403 avec le code PRODUCTION_ACCESS_NOT_ENABLED : rien ne peut être encaissé par erreur. Le passage en production suit la vérification KYB et l'étude du dossier, puis le règlement de la mise en service ; le jour venu, vous changez la clé et le secret de webhook, rien d'autre. La liste de contrôle est dans De la sandbox à la production.

Les huit questions à poser à un PSP

Les tarifs se comparent en dernier. Avant eux, huit questions séparent un prestataire qu'on subit d'un partenaire qu'on garde, et chacune a une bonne réponse reconnaissable.

Chaque question est développée, critère par critère, dans le guide pour choisir sa plateforme de paiement au Maroc. Posez-les-nous comme à n'importe qui : nos réponses suivent, et le mode test permet de les vérifier une à une.

ChariPay comme PSP

ChariPay est la plateforme de paiement marocaine de l'écosystème Chari, opérée par Chari Money, établissement de paiement agréé par Bank Al-Maghrib. Point par point :

L'agrément et la sécurité. Chari Money tient votre compte de paiement, sous la supervision de Bank Al-Maghrib. La plateforme est certifiée PCI DSS niveau 1, renouvelée chaque année ; les données sont traitées dans le cadre de la loi 09-08 ; chaque action sensible demande une ré-authentification et laisse une trace dans un journal d'audit chaîné cryptographiquement.

Le compte de paiement. Votre entreprise dispose d'un compte de paiement avec un RIB à son nom et une attestation PDF. Chaque paiement réussi y est disponible à l'instant. Depuis ce compte : virements instantanés vers toute banque marocaine, avec devis des frais et, si vous l'avez activé, un code à usage unique — un délai de sécurité s'applique après l'ajout d'un nouveau bénéficiaire —, paiement de factures, et recharges télécom par l'API. Le versement vers votre banque se fait par virement instantané à la demande, ou automatiquement chaque nuit dès qu'un compte de règlement est configuré.

L'encaissement. Carte avec 3-D Secure, et espèces par référence dans les agences partenaires du plus grand réseau de paiement en espèces du Maroc : ChariPay est la seule passerelle de paiement au Maroc à encaisser aussi les espèces en agence. Ce que cela change quand une partie de vos clients n'a pas de carte est expliqué dans le guide du paiement en ligne au Maroc.

Les outils. Liens de paiement (envoi, QR code, affiche, usage unique ou multiple), checkout hébergé par sessions de paiement, abonnements par lien de paiement envoyé à chaque échéance, produits et commandes, remboursements totaux ou partiels.

Le portail. Quatre rôles — propriétaire, gestionnaire, caissier, comptable —, des utilisateurs multiples, des exports CSV et le rejeu des webhooks. Le portail est disponible en français et en anglais.

Le prix. Une seule ligne fixe : la mise en service, 6 000 MAD TTC, réglée une fois au passage en production. La commission et la caution sont arrêtées après étude du dossier ; la sandbox et les remboursements ne coûtent rien.

Le plus court chemin pour vérifier tout cela reste l'essai : créez votre compte de test, puis encaissez votre premier paiement fictif avec la carte de test et regardez-le arriver sur le compte de paiement de test.

Questions fréquentes

Quelle différence entre un PSP, une passerelle de paiement et un établissement de paiement ?

Le PSP est le prestataire avec lequel vous contractez. La passerelle est sa partie technique — page de paiement, API, webhooks. L'établissement de paiement est l'entité agréée par Bank Al-Maghrib qui tient les comptes de paiement et exécute les opérations. Un même acteur peut réunir les trois rôles. Chez ChariPay, la plateforme est ChariPay et l'établissement de paiement agréé est Chari Money.

Un PSP est-il une banque ?

Non. Une banque reçoit des dépôts du public et accorde des crédits ; un établissement de paiement fournit des services de paiement et tient des comptes de paiement, réservés aux opérations de paiement. Le compte de paiement ChariPay complète donc votre banque, il ne la remplace pas : vos encaissements y sont disponibles à l'instant, et votre banque reste la destination des versements, à la demande ou chaque nuit.

Comment savoir si un PSP est agréé ?

Demandez au prestataire le nom exact de l'établissement agréé qui tient les comptes, puis retrouvez ce nom dans les publications de Bank Al-Maghrib : sa page sur la structure du système bancaire et le Bulletin officiel, où paraissent les décisions d'agrément. Vérifiez ensuite que vos fonds arrivent sur un compte de paiement au nom de votre entreprise, tenu par cet établissement, et demandez le niveau de certification PCI DSS.

Quels sont les établissements de paiement agréés au Maroc ?

La liste qui fait foi est celle de Bank Al-Maghrib : nous ne la recopions pas, parce qu'une liste recopiée vieillit. Selon la page de la banque centrale sur la structure du système bancaire, consultée le 2 octobre 2026, le Maroc comptait 18 établissements de paiement agréés à fin 2024. Les agréments plus récents et les modifications de la liste sont publiés au Bulletin officiel.

Un marchand doit-il obtenir lui-même un agrément pour encaisser en ligne ?

En règle générale, non : l'agrément est porté par l'établissement de paiement du prestataire, avec lequel le marchand contracte. Ce qui vous est demandé, c'est un dossier de vérification de votre entreprise (KYB) — documents d'identité, registre de commerce — avant le passage en production. Une activité elle-même réglementée peut avoir ses propres obligations : c'est à votre conseil de le dire.

Combien coûte un PSP au Maroc ?

Cela dépend de chaque contrat : mise en service, commission, abonnement éventuel, caution, coût des versements et des remboursements. Comparez le coût complet d'un mois type plutôt qu'un pourcentage affiché. Chez ChariPay : sandbox gratuite, mise en service de 6 000 MAD TTC réglée une fois au passage en production, commission et caution définies après étude du dossier, remboursement gratuit.

Combien de temps prend l'intégration d'un PSP ?

Le premier palier ne demande ni code ni attente : un lien de paiement se crée depuis le portail. Pour l'API, le mode test s'ouvre dès l'inscription, sans validation à attendre, et votre développeur travaille sur le même contrat qu'en production ; la durée dépend ensuite de ce que vous branchez. Le passage en production suit la vérification de votre dossier et le règlement de la mise en service.

Mes clients qui n'ont pas de carte peuvent-ils payer ?

Oui, en espèces en agence : le client choisit les espèces sur la page d'un lien de paiement à usage unique, reçoit une référence, dépose le montant dans une agence partenaire, et vous êtes notifié dès que le réseau confirme le dépôt. Le montant est alors disponible sur votre compte de paiement, et la commande part déjà payée, sans livreur qui encaisse ni caisse à rapprocher.

Peut-on utiliser Stripe au Maroc ?

Au 2 octobre 2026, le Maroc ne figure pas dans la liste des pays où Stripe est disponible, publiée sur stripe.com/global. Les contournements qui circulent — société à l'étranger, compte d'un tiers — font encaisser vos fonds hors du Maroc, sur une entité étrangère, avec des conséquences fiscales et de change à examiner avec votre conseil. L'article Stripe au Maroc reprend chaque point.

Les données de carte de mes clients passent-elles par mes serveurs ?

Non, si vous utilisez les liens de paiement ou le checkout hébergé : la carte est saisie sur la page hébergée par ChariPay, dans un périmètre certifié PCI DSS niveau 1, et les numéros de carte ne sont jamais écrits en base de données. Votre serveur ne manipule que des références de session et des notifications signées, ce qui allège votre propre périmètre de conformité — à confirmer avec votre conseil ou votre acquéreur.

Prochaine étape

Le plus sûr moyen de juger un PSP est de l'essayer : Commencer en mode test — gratuitement, sans limite de durée et sans validation à attendre. Si vous comparez encore, lisez comment choisir sa plateforme de paiement au Maroc, et la page Tarification pour la grille complète.

Sources

• Bank Al-Maghrib — Structure du système bancaire (effectifs à fin 2024) — lu le 2026-10-02
• Bank Al-Maghrib — Loi n° 103-12 relative aux établissements de crédit et organismes assimilés, version consolidée au 31 mars 2022 (PDF), articles 11, 12, 16, 17, 18, 34 et 48 — lu le 2026-10-02
• Bank Al-Maghrib — Conditions d'exercice (agrément) — lu le 2026-10-02
• Bank Al-Maghrib — Systèmes et moyens de paiement (établissements de paiement) — lu le 2026-10-02
• Conseil de la concurrence — communiqué du 19 mai 2025 (décision n° 152/D/2024) — lu le 2026-10-02
• Stripe — Disponibilité mondiale — lu le 2026-10-02