Cahier des charges solution de paiement : PSP, webhooks et conformité réglementaire 2026
La sélection d’une solution de paiement est un projet complexe, où les enjeux techniques, réglementaires et stratégiques se croisent. Ce guide pratique vous aide à structurer un cahier des charges robuste, en détaillant les critères essentiels pour une intégration réussie et conforme aux évolutions de 2026.
1. Définir les besoins fonctionnels et métiers
Un cahier des charges de paiement efficace commence par une compréhension approfondie des attentes fonctionnelles et des parcours utilisateurs, qui détermineront les fonctionnalités techniques requises et les impératifs réglementaires.
Les méthodes de paiement et parcours client
Identifier les méthodes de paiement nécessaires (carte, virement SEPA, virement instantané, prélèvement, wallets comme Wero) est crucial. Chaque option implique des considérations techniques et réglementaires spécifiques, notamment les flux d’authentification et les délais de traitement.
La gestion des abonnements et marketplaces
Pour les modèles d’abonnement ou de marketplace, la gestion des paiements récurrents et des flux entre plusieurs parties (payeurs, vendeurs, plateforme) est fondamentale. Cela inclut la capacité à gérer les transactions initiées par le commerçant (MIT) et à orchestrer les flux financiers complexes, comme l’ont analysé nos experts dans l’article Comparatif API Paiement : Choisir la bonne solution pour votre Marketplace ou vos Abonnements en 2026.
2. Les exigences techniques : API, Webhooks et résilience
L’intégration technique d’une solution de paiement repose sur la robustesse des API, la fiabilité des webhooks et la capacité du système à gérer les imprévus, garantissant ainsi la fluidité des transactions.
L’architecture des webhooks : fiabilité et idempotence
Les webhooks sont le pilier de la communication asynchrone entre votre système et le PSP. Une architecture résiliente doit gérer les échecs de livraison, les doublons et assurer l’idempotence des traitements. Il est impératif de prévoir des mécanismes de re-tentative (retry) et de journalisation pour toute transaction.
La réconciliation des transactions : un enjeu critique
La réconciliation des flux financiers entre votre base de données, le PSP et la banque est essentielle pour une comptabilité précise. Cela implique souvent des processus de rapprochement quotidiens ou en temps réel, complétés par du polling pour les événements manqués, comme détaillé dans nos prestations d’intégration de solutions de paiement bancaire.
Les pièges courants d’intégration
Plusieurs facteurs peuvent faire échouer une intégration de paiement : la perte de webhooks nécessitant un polling de réconciliation, l’échec de vérification d’identité du payeur, le rejet d’un document lors de l’upload ou l’expiration d’un dossier client avant la finalisation du paiement. Ces points exigent une attention particulière dans la conception du cahier des charges.
3. Conformité réglementaire 2026 : anticiper PSD3/PSR et IPR
Le paysage réglementaire des paiements est en constante évolution, avec des échéances majeures en 2026. Anticiper ces changements est crucial pour la pérennité et la conformité de votre solution.
Le Règlement Paiements Instantanés (IPR) 2024/886 et la Vérification du Bénéficiaire (VoP)
Le Règlement (UE) 2024/886 sur les paiements instantanés a des implications directes pour les PSP et leurs intégrateurs. Depuis le 9 janvier 2025, tous les PSP de la zone euro doivent recevoir les virements SCT Inst 24/7 sans surcoût. L’obligation d’émettre des SCT Inst, couplée à la Vérification du Bénéficiaire (VoP), est entrée en vigueur le 9 octobre 2025. Cette vérification, rendue gratuite et obligatoire, assure la concordance entre le nom du bénéficiaire et l’IBAN avant l’exécution du virement, et réduit la fraude, bien que seulement ~33 % des PSP se déclaraient prêts selon une enquête sectorielle. Les virements doivent être traités en moins de 10 secondes, 24/7/365, ce qui exclut les architectures batch traditionnelles pour les appels VoP synchrones.
Concernant les formats d’adresse, l’EPC a reporté le 9 septembre 2026 la date de fin de l’adresse non structurée pour les virements SEPA, mais recommande fortement le passage au format structuré ISO 20022. En revanche, pour les virements transfrontaliers Swift CBPR+, les messages avec adresse non structurée seront rejetés dès le 14 novembre 2026.
Pour approfondir les défis liés à la VoP, consultez notre article sur Vérification du Bénéficiaire et Virement Instantané : Les Pièges d’Intégration PSP en 2026.
PSD3 et PSR : les évolutions majeures à venir
La refonte des directives européennes sur les paiements, avec la proposition PSD3 et le Règlement PSR (Payment Services Regulation), est un chantier majeur. Après un accord politique provisoire fin 2025 et la publication des textes de compromis en avril/mai 2026, l’adoption formelle par le Parlement européen est indicativement prévue pour le 14 décembre 2026. L’application du PSR est attendue 21 mois après son entrée en vigueur, soit fin 2028. Le PSR généralisera la vérification IBAN/nom (art. 50) à tous les virements d’ici avril-mai 2029, renforcera les exigences de performance des API open banking et étendra les responsabilités en matière de fraude (APP) aux plateformes. Ces évolutions nécessitent dès 2026 une préparation architecturale approfondie, comme le souligne notre article Combien de temps faut-il pour intégrer ou remplacer un PSP ? Les facteurs clés et les défis réglementaires 2026.
Wero / EPI : une alternative souveraine en plein essor
Wero, le portefeuille de paiement compte-à-compte instantané de l’EPI, gagne du terrain. Fort de plus de 55 millions d’utilisateurs en Europe début 2026, dont 72 % en France, Wero étend son déploiement à l’e-commerce en France et en Belgique courant 2026, avec des acteurs comme BPCE et Payplug déjà opérationnels. Cette initiative, portée par un consortium de banques européennes, vise à réduire la dépendance aux schémas de cartes internationaux et à offrir une solution souveraine. Pour les marchands, Wero représente un encaissement instantané, améliorant la trésorerie et simplifiant le KYC à terme avec la convergence identité-paiement via l’EUDI Wallet.
Sécurisez votre choix avant d’intégrer une solution de paiement.
Architecture, conformité, orchestration, délais d’intégration et dépendance fournisseur : Nuvelia vous aide à cadrer la solution adaptée à votre contexte.
4. Sécurité des paiements : SCA, 3D Secure 2 et gestion de la fraude
La sécurité des paiements est non négociable. Le cahier des charges doit intégrer les mécanismes d’authentification forte et de prévention de la fraude pour protéger les transactions et la confiance des utilisateurs.
L’Authentification Forte du Client (SCA) : principes et exemptions
La Directive PSD2 (UE) 2015/2366, via son article 97 et le Règlement Délégué (UE) 2018/389 (RTS SCA), rend l’Authentification Forte du Client (SCA) obligatoire depuis le 14 septembre 2019 pour la plupart des transactions électroniques. Le SCA exige l’utilisation d’au moins deux facteurs indépendants parmi la connaissance, la possession et l’inhérence. Des exemptions existent pour les faibles montants (moins de 30 € par opération et 100 € cumulés ou 5 opérations), les bénéficiaires de confiance (après une première authentification forte), les paiements récurrents de même montant (après la première opération), et l’analyse de risque de transaction (TRA) sous conditions de taux de fraude du PSP. L’accès aux informations de compte, via les API open banking, requiert également un SCA tous les 180 jours.
EMV 3-D Secure 2 : le standard de l’authentification en ligne
EMV 3-D Secure (3DS2) est le protocole de référence pour l’application du SCA aux paiements par carte en ligne. Il permet à l’émetteur d’évaluer le risque de la transaction grâce à un échange de données enrichi entre le commerçant/PSP et l’émetteur. Cela conduit à un flux ‘frictionless’ (sans interaction client) si le risque est faible, ou un flux ‘challenge’ (authentification forte) si le risque est plus élevé. Toutes les exemptions SCA peuvent être demandées via 3DS2. Il est important de noter que 3D Secure 1.0.2 a été retiré le 15 octobre 2022, et l’industrie a migré vers les versions 2.x, comme la 2.3.1 qui améliore notamment l’authentification out-of-band.
Gérer les « Soft Declines » et la fraude
Même avec un système robuste, les PSP ou les émetteurs peuvent initier des ‘soft declines’, un refus d’autorisation indiquant que le SCA est requis pour que le paiement puisse passer. Le commerçant doit alors relancer l’authentification via EMV 3DS. Une dépendance excessive à un seul PSP, sans configuration anti-fraude négociée, peut entraîner des pertes significatives. C’est ce qu’a appris à ses dépens un e-commerçant français lors d’un Black Friday, où 47 % des paiements ont été bloqués par son PSP en raison d’un volume jugé ‘inhabituel’, entraînant une perte estimée à 400 k€ en 12 heures. La morale est claire : dépendre d’un seul PSP, c’est sous-traiter sa croissance à une boîte noire qu’on n’a pas configurée.
5. Choix du PSP : critères et stratégies d’intégration
Le choix du PSP est une décision stratégique qui engage votre architecture de paiement pour plusieurs années. Il doit être guidé par des critères techniques, fonctionnels et de conformité rigoureux.
Monoprestataire vs multi-PSP : l’arbitrage stratégique
Opter pour un seul PSP simplifie l’intégration initiale, mais introduit un point de défaillance unique et limite la flexibilité tarifaire ou fonctionnelle. Une stratégie multi-PSP, bien que plus complexe à mettre en œuvre, offre une meilleure résilience, une optimisation des coûts et une capacité à router les transactions vers le prestataire le plus adapté à chaque situation. C’est un arbitrage essentiel à documenter dans votre analyse des coûts d’une solution de paiement en ligne.
Audit et accompagnement : l’expertise Nuvelia
La rédaction d’un cahier des charges exhaustif et l’intégration d’une solution de paiement exigent une expertise pointue. Nuvelia accompagne les entreprises dans le cadrage de leurs besoins, l’audit d’architecture et la mise en production de plateformes de paiement résilientes et conformes. Nos équipes sont spécialisées dans l’intégration des API de paiement, la sécurisation des flux et la mise en conformité avec les réglementations européennes, y compris l’intégration de la signature électronique pour les parcours client digitaux.
Questions fréquentes
Comment la VoP impacte-t-elle l’architecture technique de mon tunnel de paiement ?
La Vérification du Bénéficiaire (VoP), obligatoire depuis le 9 octobre 2025 pour les virements instantanés, impose un appel API synchrone avant la confirmation du virement. Cela nécessite une architecture capable de répondre en moins de 10 secondes, excluant les traitements batch et favorisant les microservices ou des solutions temps réel pour éviter la friction utilisateur.
Quelles sont les principales différences d’intégration entre PSD2 et les futures PSD3/PSR ?
PSD2, via le RTS SCA, établit l’authentification forte. PSD3/PSR, applicable fin 2028, consolide la réglementation. Pour l’intégration, le PSR généralisera la vérification IBAN/nom à tous les virements (fin 2028-2029) et renforcera les exigences de performance des API open banking. Les nouveaux RTS de l’ABE (post-PSR) définiront les détails d’implémentation, rendant les choix architecturaux actuels critiques pour la flexibilité future.
Quels sont les risques d’une intégration monoprestataire pour ma solution de paiement ?
Une intégration avec un seul PSP présente des risques significatifs : point de défaillance unique (panne, blocage), dépendance aux conditions tarifaires et fonctionnelles du prestataire, et difficulté à gérer les spécificités réglementaires ou régionales. L’exemple d’un blocage de 47 % des paiements par un PSP lors d’un pic d’activité illustre le risque de perte de chiffre d’affaires. Une stratégie multi-PSP, bien que plus complexe, offre résilience, optimisation et flexibilité.
À lire ensuite
