Les échanges de flux pour un retrait par carte

Cet article a pour but de présenter dans les grandes lignes comment la banque du Distributeur Automatique de Billet / Guichet Automatique Bancaire (DAB / GAB) échange les flux avec la banque du porteur pour la réalisation d’un retrait par carte. Nous partons de l’hypothèse que la banque du porteur est différente de la banque du DAB / GAB. Comme pour un paiement par carte, le retrait se déroule en deux principales étapes : la première étape est celle où le porteur va introduire sa carte dans le DAB / GAB, s’authentifier et recevoir les billets si tous les contrôles sont positifs. La seconde est celle où la banque du DAB / GAB va prélever du compte bancaire du porteur les montants reçus par ce dernier pendant la première étape. Dans la suite de cet article, seront décrits les échanges de flux qui se font dans la première étape et puis dans la seconde.

Retrait par carte : Introduction de la carte, authentifications et réception des billets

1- Ordre de retrait d’espèces

Le porteur introduit sa carte dans le DAB / GAB. Après la lecture de la puce, des contrôles préliminaires dont l’authentification de la carte sont effectués sur la carte. Cette authentification est réalisée grâce à la cryptographie asymétrique. Si tous les premiers contrôles sont passants, alors le porteur est invité à saisir son code PIN pour s’authentifier. Pour des raisons de sécurité, le contrôle du PIN se fait en ligne. Ce qui signifie que le code PIN saisi n’est pas comparé avec celui qui est sur la carte à puce, mais avec celui qui est connu par la banque du porteur. On peut se demander pourquoi ce choix ? La réponse réside dans les performances du réseau e-RSB qui permettent d’avoir des temps de réponse quasi instantanés et garantissent un service rapide aux porteurs.

Ensuite seulement, le porteur choisit d’effectuer une opération de retrait. Les possibilités offertes varient selon les banques et la machine DAB ou GAB. Sur certains DAB, il est possible d’effectuer des rechargements de mobile. Pour le retrait, certaines banques proposent également au porteur d’indiquer les coupures souhaitées après le choix du montant.

Après le choix de faire un retrait, du montant et des éventuelles coupures viennent les contrôles de restrictions et de date de validité. Cela consiste à vérifier que la carte n’a pas expiré et si elle peut être utilisée pour effectuer les retraits. Contrairement aux paiements par carte où la demande d’autorisation est facultative, l’autorisation est toujours effectuée pour un retrait. Les raisons sont essentiellement historiques. Quand la carte à puce n’existait pas encore, les commerçants devaient souvent appeler un centre d’autorisation (appel phonie) pour les demandes d’autorisation. Le coût du téléphone était surtaxé et réaliser des transactions demandait du temps ; ce qui ne devait pas toujours convenir à des clients parfois obligés d’attendre pendant de longues minutes. Pour ces raisons, les transactions manuelles sans demande d’autorisation étaient garanties pour les petits montants en deçà d’environ 100 EUR (600 FF) ; au-delà l’autorisation devenait obligatoire. Mais ce problème ne s’est jamais posé pour les retraits DAB / GAB, puisque les autorisations associées ont toujours été réalisées de façon automatique. C’est ce qui explique pourquoi les flèches liés à la demande d’autorisation et à la réponse ne sont pas en tirets comme on l’avait fait pour les échanges de flux pour un paiement par carte.

2- Demande Autorisation

Une phase de préparation précède la demande d’autorisation en elle-même. Lors de cette phase, il y a le calcul de l’élément d’authentification et le chiffrement du code confidentiel par les clefs réseaux DAB / GAB – Gestionnaire de DAB/GAB. Il faut noter en passant que tous les DAB/GAB sont connectés à un Gestionnaire de DAB/GAB (GDG) qui est lui-même connecté au réseau interbancaire.

Comme pour un paiement par carte, la banque du DAB / GAB transmet la demande d’autorisation via le Serveur d’Autorisation Acquéreur (SAA). Le SAA transmet la demande d’autorisation à l’émetteur en passant :

• soit par le réseau e-RSB s’il s’agit d’un retrait initié à partir d’une carte CB

• soit par le réseau Visa s’il s’agit d’un retrait initié à partir d’une carte Visa non CB

• soit par le réseau MasterCard, s’il s’agit d’un retrait initié à partir d’une carte MasterCard non CB.

Le SAA utilise l’identifiant de l’émetteur s’il est renseigné ou son BIN pour le routage de la demande d’autorisation. Après réception et identification de la demande d’autorisation, le Serveur d’Autorisation Émetteur (SAE) va procéder à une batterie de contrôles sur la carte d’abord, puis sur le compte client et la provision :

• Authenticité et validité de la carte (Numéro de carte, Code PIN, date d’expiration, etc.)

• Contrôle sur compte (Existence, ouverture / fermeture, blocage, etc.)

• Contrôle de provision : la provision tient compte des découverts autorisés et des réserves de crédit

• Contrôle des plafonds (mensuel, hebdomadaire) : les montants des plafonds dépendent des types de cartes et des conditions négociées avec le client.

• Contrôle de fraude le plus souvent basé sur une analyse comportementale

Remarque : Si la banque du porteur et celle de l’accepteur / acquéreur est la même, alors pas besoin de passer par un réseau, puisque le SAA et le SAE sont chez la même banque qui joue les rôles d’acquéreur et d’émetteur.

3- Réponse Autorisation

Il y a deux réponses possibles à un ordre de retrait par carte : Acceptation ou refus

• Pour une réponse positive (Acceptation du retrait par la banque du DAB/ GAB), la carte du porteur est expulsée de la machine, le ticket de la transaction est édité et les billets sont comptés et mis à disposition du porteur.
• En cas de refus du retrait, la carte est avalée par le DAB / GAB si le porteur a saisi un code PIN erroné trois fois de suite ou si la carte est détectée en opposition. Dans les autres cas (plafond de retrait dépassé par exemple), la carte sera tout simplement expulsée et le porteur pourra la reprendre.

La réponse à la demande d’autorisation est émise du SAE vers le SAA via le même réseau qui a été utilisé pour la demande. En cas d’échec d’un contrôle, la transaction est arrêtée. Notez que le porteur peut faire au maximum trois tentatives de code PIN. Après la troisième tentative erronée, la transaction est arrêtée et la carte absorbée par le DAB / GAB.

Remarque : En France, le DAB/GAB expulse la carte avant de mettre les billets à disposition du porteur. Aux États-Unis, c’est l’inverse. L’expulsion de la carte a lieu après la restitution des billets. Cette différence apparemment insignifiante a entrainé bien des déboires à certaines personnes lors de voyages aux USA. Ils sont partis avec l’argent et n’ont pas récupéré la carte expulsée avec les conséquences que vous pouvez imaginer.

Toutes les transactions liées aux retraits par carte sont enregistrées au fur et à mesure dans la mémoire du DAB / GAB. C’est la préparation de la seconde étape.

Retrait par carte : Échanges de flux interbancaires pour la compensation et le règlement

4- Échanges, Compensation  et Règlement

La première phase de cette étape est la constitution et la transmission des lots des transactions de retraits à l’émetteur de la carte en passant :

• soit par le CSM CORE s’il s’agit d’un retrait effectué avec une carte CB. C’est une transaction domestique.

• soit par le réseau Visa s’il s’agit d’un retrait initié à partir d’une carte Visa non CB

• soit par le réseau MasterCard, s’il s’agit d’un retrait initié à partir d’une carte MasterCard non CB.

Cet échange est réalisé avec des lots d’opérations unitaires contenant chacune un acquéreur (qui envoie le flux) et un destinataire (l’émetteur qui reçoit le flux). Le réseau d’échanges interbancaires génère les messages comptables de débit, les regroupe et les transmet à chaque banque de porteur. Après avoir reçu l’acquittement de chaque émetteur, elle génère les messages comptables de crédit et les transmet à l’acquéreur.

5- Information sur le débit du compte du porteur

La banque du porteur procède au débit de son compte après réception et traitement correct du message comptable de débit reçu du réseau d’échanges interbancaires. Cette information remonte au porteur via son relevé de compte et/ou d’autres restitutions selon ce qui est convenu entre la banque et son client.