QR code, carte, mobile : ce qui sécurise vraiment un paiement

J'ai passé plus de vingt ans dans la monétique, dont plusieurs années comme architecte chez Verifone, à concevoir des terminaux et des cartes de paiement. S'il y a une chose que ce métier m'a apprise, c'est qu'on se trompe souvent de question. On demande : « est-ce que ce moyen de paiement est moderne ? ». La bonne question est plus simple : « est-ce que quelqu'un peut rejouer ce paiement à ma place ? ».

C'est ce critère que je vous propose de garder en tête, que vous soyez restaurateur, commerçant, ou DRH d'une entreprise qui paie les repas de ses salariés.

Le paiement se joue au comptoir

Le Sénégal paie de plus en plus sans espèces. Selon les données de la BCEAO relayées par Le Soleil, le pays a réalisé environ 24,1 % des transactions de monnaie électronique de l'UEMOA en 2024, contre 22,7 % l'année précédente (source : https://lesoleil.sn/actualites/economie/volume-des-transactions-electroniques-le-senegal-leader-de-luemoa-avec-24-des-parts/). Et depuis le 30 septembre 2025, la BCEAO a lancé la plateforme de paiement instantané interopérable PI-SPI, accessible en continu dans les huit pays de l'Union (source : https://www.bceao.int/fr/content/lancement-officiel-de-la-plateforme-interoperable-du-systeme-de-paiement-instantane-pi-spi).

Autrement dit, la question n'est plus de savoir si vos clients ou vos salariés paieront autrement qu'en liquide. Ils le font déjà. La question est de savoir si ce qu'ils présentent au comptoir peut être copié.

Le QR code imprimé : pratique, mais il se copie

Un QR code n'est qu'une image qui contient un texte. Rien de plus. S'il est imprimé sur un badge, collé sur une carte ou envoyé une fois pour toutes sur un téléphone, il contient toujours le même texte.

Conséquence très concrète : une photo, une capture d'écran ou une photocopie de ce QR code vaut l'original. Le lecteur au comptoir ne fait pas la différence, et il n'a aucun moyen de la faire. Dans une cantine d'entreprise, cela veut dire qu'un collègue peut manger sur le compte d'un autre ; dans un commerce, qu'un code partagé sur un groupe WhatsApp peut servir dix fois.

Le QR code statique a sa place : pour afficher un menu, ouvrir une page, identifier un produit. Pour payer, ou pour débiter un compte au nom de quelqu'un, il ne suffit pas.

Le QR code dynamique : le même geste, une tout autre sécurité

Un QR code dynamique ressemble exactement au précédent. Mais il est généré au moment du paiement, il ne vaut que pour un seul passage et il expire vite. Une fois utilisé, il ne sert plus à rien.

C'est le principe que l'on retrouve dans tous les systèmes de paiement sérieux : chaque transaction porte une preuve unique, qu'on ne peut pas rejouer. Une capture d'écran prise hier ne passe pas aujourd'hui, et un code transmis à un ami ne lui sert à rien.

C'est le choix que nous avons fait pour la restauration d'entreprise : à l'aéroport AIBD, les agents de TSA paient leur repas avec un QR code personnel qui se renouvelle à chaque paiement, affiché sur leur téléphone. Le geste reste aussi simple qu'avec un QR imprimé ; ce qui change, c'est qu'il n'y a plus rien à copier.

La carte à puce : un secret qui ne sort jamais

La carte à puce repose sur une idée que j'ai vue fonctionner pendant des décennies : la puce garde un secret qu'elle ne révèle jamais. Lors d'un paiement, elle ne donne pas ce secret ; elle s'en sert pour calculer une réponse valable une seule fois. Copier ce que la carte a envoyé ne permet donc pas de refaire le paiement.

C'est très différent d'une carte à piste magnétique ou d'une carte qui porte simplement un numéro imprimé ou un code-barres : celles-là se recopient.

La carte à puce a deux qualités que le téléphone n'a pas toujours : elle ne tombe jamais en panne de batterie, et elle convient à ceux qui n'ont pas de smartphone ou préfèrent ne pas le sortir. Elle a un coût, et elle se perd ; c'est pourquoi je la vois aujourd'hui comme une option, utile pour certains publics, plutôt que comme un passage obligé.

Wave et Orange Money : ce que cela change pour un commerce

Pour un commerçant, les paiements mobiles ont changé la donne : moins de monnaie à rendre, moins d'espèces dans la caisse le soir, et des clients qui n'ont plus besoin d'avoir de billets sur eux.

Mais ils posent une question que je rencontre souvent : comment rapprocher ce qui est arrivé sur le compte marchand de ce qui a été vendu au comptoir ? Si le caissier note « payé par Wave » sans que rien ne relie ce paiement au ticket, la journée devient vite impossible à vérifier.

La règle que je conseille est simple : chaque paiement, quel que soit son moyen, doit être enregistré dans la caisse, rattaché à une vente, à un caissier et à une heure. Le soir, on compare le total par moyen de paiement avec ce que disent les comptes. C'est moins spectaculaire qu'une nouvelle technologie, mais c'est ce qui évite la plupart des pertes.

Ce que je retiens, en trois questions

Avant de choisir un moyen de paiement, pour votre commerce ou pour vos salariés, posez ces trois questions à votre fournisseur :

• Ce que le client présente peut-il être photographié et réutilisé ? Si oui, ce n'est pas un moyen de paiement, c'est un ticket.
• Chaque paiement laisse-t-il une trace unique, rattachée à une vente et à une personne ?
• Que se passe-t-il quand le téléphone est déchargé ou que le réseau tombe ?

La meilleure sécurité n'est pas la plus compliquée. C'est celle qui rend la fraude inutile, sans compliquer la vie de celui qui paie honnêtement.

Écrire à Latyr Senghor sur WhatsApp

— Latyr Senghor, fondateur de Sens NumeriK