Encaisser par téléphone ou en ligne : le risque est pour vous

Un client appelle pour confirmer une commande et donne son numéro de carte au téléphone. L'employé le note sur un bout de papier, va au terminal, le saisit, et jette le papier à la poubelle. Cette scène se produit chaque jour dans des centaines de commerces au Québec, et à peu près tout y est problématique.

Le paiement à distance est parfaitement légitime. Un traiteur qui prend un acompte, un garage qui fait payer avant de commander une pièce, un professionnel qui facture un client de l'extérieur : tous ont de bonnes raisons de le faire. Ce qui change, c'est qui porte le risque.

Ce que « sans carte présente » veut dire pour vous

Une transaction est dite sans carte présente lorsque la carte n'est pas lue physiquement par un terminal. C'est le cas d'une vente en ligne, d'un paiement pris au téléphone, et d'un numéro saisi au clavier dans un terminal virtuel.

Le processeur et le réseau ne peuvent alors vérifier ni le NIP ni la signature. Personne n'a pu confirmer que la personne qui donne le numéro est bien le titulaire de la carte. C'est pourquoi ces transactions coûtent généralement plus cher à traiter, et surtout pourquoi, en cas de contestation pour fraude, c'est le commerçant qui se retrouve à défendre le dossier.

Une autorisation n'est pas une preuve d'identité. Une transaction peut être approuvée par la banque et contestée trois semaines plus tard.

La règle non négociable : le numéro ne s'écrit nulle part

Le PCI Security Standards Council, l'organisme qui publie les normes de sécurité de l'industrie des cartes, est catégorique là-dessus dans son guide destiné aux petits commerçants. Un numéro de carte ne s'écrit pas sur papier, ne se note pas dans un carnet de commandes, ne s'envoie pas par courriel ni par message texte, et ne se conserve pas dans un fichier.

La bonne façon de faire est la plus directe : le numéro va du client à l'écran de saisie, sans étape intermédiaire. Si vous prenez le paiement au téléphone, ouvrez le terminal virtuel avant l'appel et saisissez pendant que le client parle. Si un client vous envoie un numéro par courriel, appelez-le, prenez le paiement, puis supprimez le message.

Ce que vous pouvez conserver, c'est ce qui prouve la transaction : la date, ce qui a été vendu, le montant, le nom du client, l'autorisation obtenue. Jamais le numéro complet.

Ce qu'il faut demander, et pourquoi

Puisque vous ne pouvez pas voir la carte, demandez les éléments que seul le titulaire devrait connaître. Le code de vérification imprimé au dos de la carte, d'abord. Le code postal ou l'adresse de facturation ensuite, quand votre système permet de les valider.

Pour une livraison, faites livrer à l'adresse de facturation quand c'est possible. Une commande à payer sur une carte et à livrer ailleurs n'est pas nécessairement frauduleuse, mais elle mérite une vérification de plus.

Pour un montant récurrent, un acompte ou un dépôt de réservation, obtenez une autorisation écrite du client : ce qu'il autorise, pour quel montant, à quelle fréquence, et comment il peut y mettre fin. Un courriel de confirmation suffit, et il vaut de l'or le jour où le client conteste.

Les signaux qui devraient vous faire ralentir

Aucun de ces éléments ne prouve une fraude à lui seul. Deux ou trois ensemble, dans la même commande, justifient un appel de vérification avant d'expédier quoi que ce soit.

• Une commande beaucoup plus grosse que votre moyenne, passée par un client que vous ne connaissez pas.
• Une insistance sur la livraison la plus rapide possible, sans égard au coût.
• Plusieurs cartes proposées coup sur coup parce que la précédente a été refusée.
• Une demande de fractionner le paiement sur plusieurs cartes différentes.
• Un client qui refuse de donner un numéro de téléphone joignable, ou qui presse l'employé au lieu de répondre.

Donnez à votre personnel la permission explicite de ralentir. Beaucoup de fraudes réussissent parce qu'un employé n'ose pas faire attendre un client pressé.

Limiter qui peut encaisser à distance

Un terminal virtuel permet de prendre un paiement depuis un navigateur, sans appareil. C'est pratique, et c'est aussi le point d'entrée le plus discret pour un abus interne ou pour quelqu'un qui obtient un mot de passe.

Ouvrez la liste des utilisateurs de votre tableau de bord et vérifiez qui a accès à cette fonction. Retirez les anciens employés, retirez les comptes partagés, et n'accordez l'accès qu'aux personnes qui en ont réellement besoin dans leur travail.

Faites cette vérification cette semaine, puis remettez-la à votre agenda dans six mois. C'est cinq minutes, et c'est le genre de liste qui s'allonge toute seule.