Comment fonctionne le paiement NFC ?

Le paiement NFC vous permet de régler vos achats en approchant une carte bancaire sans contact, un téléphone ou une montre connectée d'un terminal de paiement compatible. La technologie NFC assure la connexion sans fil à courte portée, tandis que la puce de la carte, le terminal, le réseau de paiement et la banque se chargent de la transaction proprement dite.

Un paiement sans contact ne prend qu'une seconde, mais plusieurs étapes se déroulent pendant ce laps de temps. Le dispositif de paiement communique avec le terminal, génère des données de sécurité pour la transaction et transmet le paiement via le réseau bancaire en vue de son autorisation.

Qu'est-ce que le paiement NFC ?

La technologie NFC (Near Field Communication) est une technologie sans fil à courte portée fonctionnant à une fréquence de 13,56 MHz. Dans le domaine des paiements, elle permet à une carte de paiement ou à un appareil mobile de communiquer avec un terminal de point de vente sans avoir à être inséré dans le lecteur.

La technologie EMV sans contact prend en charge les paiements effectués à la fois avec des cartes à puce sans contact et avec des appareils mobiles compatibles NFC. Il suffit de présenter la carte ou l'appareil tout près du terminal.

Parmi les moyens de paiement NFC courants, on trouve les cartes de débit et de crédit sans contact, Apple Pay, Google Pay et les montres connectées dotées d'une fonction de paiement.

La connexion NFC en elle-même ne permet pas de transférer de l'argent entre des comptes. Elle assure la liaison de communication locale entre le dispositif de paiement et le terminal. Le reste de la transaction s'effectue via l'infrastructure de paiement habituelle.

Comment fonctionne le paiement NFC ?

Une transaction typique par carte sans contact peut être divisée en cinq étapes.

1. Le terminal active la carte

Le commerçant commence par saisir ou valider le montant de l'achat. Le terminal de paiement génère alors un champ de radiofréquence autour de son lecteur sans contact.

Une carte bancaire physique sans contact n'a pas besoin de batterie. Son antenne interne capte l'énergie émise par le terminal et fournit suffisamment d'énergie pour permettre à la puce de fonctionner.

C'est pourquoi une carte sans contact peut parfois rester inutilisée dans un portefeuille pendant des années et continuer à communiquer avec un terminal lorsque vous la présentez devant celui-ci.

Les téléphones et les montres connectées se distinguent par le fait qu'ils disposent de leur propre source d'alimentation, même s'ils utilisent la même interface sans contact à courte portée pour communiquer avec le terminal de paiement.

2. La carte et le terminal établissent une communication

Dès que la carte entre dans le champ du terminal, celui-ci et la carte commencent à communiquer.

Les cartes de paiement sans contact utilisent généralement une technologie basée sur la norme ISO/IEC 14443. Les spécifications EMV définissent ensuite la manière dont l'application de paiement et le terminal échangent les informations nécessaires au traitement de la transaction.

Le terminal identifie une application de paiement disponible et lance la transaction EMV. À ce stade, la carte ne se contente pas d'envoyer le numéro de carte enregistré.

3. La carte génère des données de transaction

La puce de paiement contient les identifiants et les informations cryptographiques émis dans le cadre du système de cartes de paiement.

Lors d'une transaction, il utilise ces identifiants pour générer des données de sécurité spécifiques à ce paiement. La norme EMV désigne cela sous le nom de « code de sécurité à usage unique » ou « cryptogramme ». Une nouvelle valeur est générée pour chaque nouvelle transaction, plutôt que d'utiliser à chaque fois le même code de sécurité fixe.

La transaction peut également inclure des informations fournies par le terminal, telles que le montant de l'achat et d'autres paramètres de la transaction.

4. La transaction est transmise pour autorisation

Une fois la communication établie avec la carte, le terminal transmet le paiement au réseau financier.

Voici à quoi ressemble un itinéraire simplifié :

Carte ou téléphone → terminal de paiement → acquéreur/prestataire de services de paiement du commerçant → réseau de cartes → banque émettrice

La banque émettrice est la banque ou l'établissement financier responsable de la carte du client.

Il reçoit les informations relatives à la transaction et effectue les vérifications nécessaires pour déterminer si le paiement doit être accepté. Ces vérifications peuvent notamment consister à valider les identifiants de paiement et les données cryptographiques, ainsi qu’à vérifier l’état du compte et celui de la transaction.

5. La confirmation ou le refus est renvoyé au terminal

L'émetteur transmet sa décision via le réseau de paiement.

En cas d'acceptation, le terminal de point de vente confirme le paiement. En cas de refus, le terminal reçoit alors la réponse correspondante.

L'ensemble de la transaction se déroule souvent en quelques secondes.

Le règlement des fonds entre les établissements financiers s'effectue séparément. Le passage de la carte sur le terminal sert principalement à authentifier et à autoriser la transaction, plutôt qu'à transférer instantanément de l'argent d'un compte bancaire vers le compte du commerçant.

Le paiement par NFC nécessite-t-il une connexion Internet ?

L'échange NFC à courte portée ne nécessite pas en soi de connexion mobile ou Wi-Fi sur le téléphone du client. Cependant, un terminal de paiement classique utilisé par un commerçant doit pouvoir accéder à l'acquéreur ou au prestataire de services de paiement pour demander une autorisation en ligne. Certains environnements de paiement peuvent prendre en charge, dans certaines conditions, un traitement hors ligne, différé ou de type « store-and-forward » (stockage et retransmission).

Que contient une carte bancaire sans contact ?

Une carte de débit ou de crédit sans contact est une carte à puce sans contact spécialisée.

À l'intérieur de la carte en plastique se trouvent deux composants essentiels : une puce sécurisée et une antenne. L'antenne fait généralement le tour d'une grande partie de la carte afin de pouvoir capter le champ électromagnétique généré par le terminal.

La puce contient l'application de paiement ainsi que les informations protégées nécessaires aux opérations de paiement. Elle est capable d'effectuer des opérations cryptographiques, au lieu de se comporter comme une simple mémoire lisible.

Cela explique également pourquoi une antenne endommagée peut empêcher le paiement sans contact, même lorsque les contacts visibles de la puce situés au recto de la carte fonctionnent toujours. Le paiement avec contact, qui s'effectue via les contacts métalliques, et le paiement sans contact utilisent en effet des interfaces physiques différentes pour communiquer avec la puce.

Une carte bancaire sans contact est-elle donc une Carte NFC?

Dans le cadre d'une utilisation normale, oui : il s'agit d'une carte compatible avec la communication NFC/sans contact à 13,56 MHz. Plus précisément, il s'agit d'une carte à puce de paiement sécurisée conçue pour les transactions sans contact EMV, et non d'une étiquette NFC à usage général.

Quelles informations sont échangées lors d'un paiement NFC ?

On entend parfois dire que les cartes sans contact se contentent d“” envoyer les informations de votre carte ». Cette description passe sous silence l’étape la plus importante du processus.

Certaines informations de paiement peuvent être transmises lors de la transaction. Visa, par exemple, précise que ses cartes sans contact peuvent transmettre le numéro de compte, la date d'expiration et un code à usage unique qui change à chaque transaction effectuée en magasin.

Il convient de faire la distinction entre les informations de compte, relativement statiques, et les données de sécurité relatives aux transactions, qui sont dynamiques.

Les informations relatives au compte permettent d'identifier le compte de paiement. La valeur cryptographique générée dynamiquement aide l'émetteur à déterminer si la transaction provient d'un identifiant de paiement valide et si les données de la transaction sont valides.

Un échange sans contact intercepté ne fournit donc pas à un autre appareil un cryptogramme réutilisable pouvant simplement être présenté à nouveau pour une nouvelle transaction EMV sans contact. La valeur de sécurité est liée à la transaction individuelle.

Cela ne signifie pas pour autant que les informations de paiement doivent être considérées comme non sensibles. Cela signifie simplement que la sécurité des paiements sans contact EMV ne repose pas uniquement sur la confidentialité du numéro de carte.

Comment fonctionnent les paiements NFC sur les téléphones et les montres connectées

Un téléphone peut communiquer avec un terminal de paiement sans contact du même type, mais il ne présente pas nécessairement les mêmes informations d'identification de paiement que la carte physique rangée dans votre portefeuille.

Les portefeuilles mobiles ont généralement recours à la tokenisation des paiements.

Lorsqu'une carte compatible est ajoutée à Google Pay, par exemple, un jeton d'appareil, également appelé DPAN (numéro de compte virtuel), peut être attribué à l'appareil. Google précise que ce jeton d'appareil est transmis au terminal à la place du numéro de compte principal réel de la carte lors d'un paiement NFC.

Apple Pay utilise une approche similaire, spécifique à chaque appareil. Apple précise qu’un « numéro de compte de l’appareil » est stocké dans l’élément sécurisé de l’appareil et qu’il est utilisé conjointement avec des données de sécurité dynamiques propres à chaque transaction. Le numéro de carte de paiement proprement dit n’est pas transmis par l’appareil lors d’une transaction Apple Pay.

Le processus général de paiement reste le même :

Téléphone → terminal de paiement NFC → réseau de paiement → émetteur

Ce qui change, ce sont les informations d'identification fournies par l'appareil.

Les téléphones et les montres peuvent également intégrer une vérification du titulaire de la carte au niveau de l'appareil. Selon l'appareil et le portefeuille numérique, l'utilisateur peut s'authentifier via Face ID, une empreinte digitale, un code d'accès ou toute autre méthode approuvée avant que les informations de paiement ne soient utilisées.

L'interface NFC ne constitue donc qu'une partie du paiement mobile. Derrière celle-ci se cachent le matériel sécurisé, la génération de jetons, l'authentification des utilisateurs et le traitement par les réseaux de paiement.

Le paiement sans contact nécessite-t-il toujours un code PIN ?

Non. La nécessité d’utiliser un code PIN ou une autre méthode de vérification du titulaire de la carte dépend de facteurs tels que le montant de la transaction, les règles de l’émetteur, la configuration du terminal, les règles du réseau de paiement et la réglementation locale. Une transaction par carte sans contact peut parfois nécessiter que le client saisisse un code PIN. Sur un téléphone ou une montre connectée, une vérification biométrique ou par code d'accès réussie peut servir de méthode de vérification du titulaire de la carte sur appareil grand public, communément appelée CDCVM.

Cartes de paiement NFC vs balises NFC standard

Une carte bancaire sans contact et une carte classique Étiquette NFC Ils communiquent peut-être tous les deux à 13,56 MHz, mais leurs capacités sont très différentes.

Les puces NFC standard telles que les NTAG213, NTAG215 et NTAG216 sont des balises de type 2 conformes aux normes du NFC Forum. Elles offrent une mémoire utilisateur destinée à des applications telles que la publicité intelligente, l'interaction avec les produits, l'authentification et d'autres expériences NFC. Elles prennent en charge les structures de données NDEF que les téléphones compatibles peuvent lire.

Par exemple, un NTAG213 pourrait contenir une URL telle que :

https://example.com/pay/order123

Lorsqu'un client scanne l'étiquette, son téléphone ouvre cette page et il peut alors passer à la caisse en ligne.

La puce NFC a permis de lancer le processus de paiement, mais elle n'a pas, en soi, effectué de transaction par carte bancaire EMV. Elle s'est contentée de fournir les données qui ont redirigé le téléphone vers le service de paiement.

Ce principe peut être appliqué dans les restaurants, les bornes en libre-service, les emballages de produits, les systèmes événementiels ou toute autre application où un simple geste suffit pour relier un objet physique à une page de paiement en ligne.

Certaines organisations utilisent également des cartes ou des dispositifs sans contact dans des systèmes en boucle fermée, où l'identifiant permet d'identifier un compte au sein de la plateforme propre à cette organisation. Les cartes de transport, les systèmes de campus, les systèmes à valeur stockée et les applications similaires peuvent utiliser des puces sans contact sécurisées plus performantes. Il ne faut toutefois pas confondre ces systèmes avec l’émission d’une carte bancaire classique fonctionnant sur les réseaux Visa, Mastercard ou tout autre réseau de paiement ouvert.

Comment les paiements NFC sont-ils sécurisés ?

La sécurité des paiements sans contact repose sur les identifiants de paiement et l'échange cryptographique, et non pas simplement sur la courte distance de lecture de la technologie NFC.

Cryptogrammes spécifiques à une transaction

Les transactions par puce EMV génèrent des données de sécurité pour chaque transaction. EMVCo décrit le cryptogramme comme une valeur à usage unique qui aide l'émetteur et le terminal à authentifier la transaction.

Si quelqu'un enregistre une transaction valide, cette valeur cryptographique ne peut pas être simplement réutilisée comme cryptogramme valide pour une autre transaction.

Clés cryptographiques protégées

Les clés utilisées pour générer des cryptogrammes de paiement valides sont protégées au sein des identifiants de paiement, au lieu d'être transmises en clair à chaque lecture de la carte.

L'émetteur ou le réseau de paiement peut utiliser les informations correspondantes pour vérifier le cryptogramme lors du traitement de la transaction.

La tokenisation sur les appareils mobiles

Les portefeuilles mobiles ajoutent un niveau de sécurité supplémentaire en remplaçant le numéro de compte principal de la carte physique par un jeton de paiement propre à l'appareil.

Apple Pay et Google Pay utilisent tous deux des identifiants de paiement spécifiques à l'appareil pour les paiements sans contact pris en charge. La perte des identifiants de l'appareil ne nécessite donc pas de divulguer le numéro de carte d'origine utilisé pour l'approvisionner.

C'est précisément cette combinaison d'identifiants sécurisés, de données de transaction dynamiques et de vérification par l'émetteur qui explique pourquoi le paiement NFC ne doit pas être considéré comme un simple processus consistant, pour le lecteur, à scanner une carte bancaire et à se fier aveuglément au numéro qu'il reçoit.

Où utilise-t-on le paiement NFC ?

Ce même processus de paiement sans contact peut être utilisé partout où un terminal de paiement compatible et une infrastructure de paiement sont disponibles.

Les magasins et les restaurants en sont les exemples les plus courants. Les terminaux sans contact sont également courants dans les distributeurs automatiques, les systèmes de paiement de parking, les bornes en libre-service et d'autres points de paiement sans personnel.

Les transports en commun constituent un autre domaine d'application majeur. Certains réseaux acceptent directement aux portillons les cartes bancaires sans contact classiques ou les portefeuilles électroniques. On parle souvent de « systèmes en boucle ouverte », car ils utilisent les moyens de paiement existants émis par les banques.

D'autres réseaux de transport, campus, établissements hôteliers et sites événementiels émettent leurs propres cartes ou titres d'accès. Il s'agit notamment de en boucle fermée des systèmes dans lesquels l'opérateur gère l'identifiant et le compte qui y est associé.

Même si les deux utilisent la technologie sans contact, c'est le système financier qui sous-tend cette opération qui détermine ce que la carte ou l'appareil peut réellement faire.

Conclusion

La technologie NFC assure la connexion sans fil qui permet à une carte, un téléphone ou une montre connectée de communiquer avec un terminal de paiement. La puce de paiement ou le portefeuille numérique fournit les identifiants sécurisés, le terminal transmet la transaction au réseau financier, puis l'émetteur décide de l'autoriser ou non.

Cette répartition des rôles est également importante lors du choix de la technologie NFC pour un projet. Une étiquette NFC programmable peut rediriger un client vers une page de paiement ou un autre service numérique, tandis que le paiement direct par carte bancaire nécessite les identifiants sécurisés et l'infrastructure d'un système de paiement dédié.