Cartes virtuelles

L'émetteur d'une carte virtuelle détient la licence d'émission du réseau de cartes et porte la responsabilité finale de la carte, c'est pourquoi on l'appelle aussi BIN sponsor. Un processeur émetteur comme Marqeta convertit le message d'autorisation du réseau, vérifie les contrôles de dépenses de la carte et renvoie une acceptation ou un refus. Une entreprise qui veut décider elle-même de chaque paiement peut exploiter sa propre passerelle, et Marqeta laisse trois secondes à cette passerelle pour répondre. Thredd est un processeur émetteur du même type pour des banques et fintechs qui gèrent des programmes de cartes de débit, de crédit, prépayées et virtuelles.

Les fintechs et sociétés de spend management sans licence propre émettent leurs cartes via une telle banque sponsor. Les cartes Visa corporate et commerciales de la société américaine Ramp, par exemple, sont émises par Celtic Bank, Column, Sutton Bank et Lead Bank sous licence de Visa USA. Stripe propose l'émission de cartes avec des banques partenaires aux États-Unis, au Royaume-Uni et dans une grande partie de l'Espace économique européen, où une carte virtuelle est utilisable dès sa création et coûte 0,10 euro dans l'UE. Les budgets et règles d'approbation des cartes de salariés se situent une couche plus haut, dans le spend management.

Une carte virtuelle peut aussi vivre dans un wallet mobile sur un téléphone. Stripe permet aux titulaires d'ajouter une carte virtuelle à Apple Pay, Google Pay ou Samsung Pay, et le wallet détient alors un token à la place du numéro de carte. La même tokenisation réseau protège les numéros de carte que les commerçants enregistrent, et les réseaux de cartes construisent dessus leurs tokens de paiement pour agents IA.

En comptabilité fournisseurs, l'acheteur paie une facture avec un numéro de carte créé pour ce fournisseur ou pour cette seule facture. Visa Commercial Pay traite ces paiements fournisseurs sur une seule plateforme, rapproche les données de paiement et permet à l'acheteur de garder l'argent plus longtemps avant l'échéance du relevé de carte. Dans la zone euro, une facture fournisseur est en général payée par virement SEPA, donc les paiements B2B par carte exigent un fournisseur qui accepte les cartes et paie les frais d'acceptation.

Les fournisseurs reçoivent souvent de nombreux paiements par carte virtuelle par jour, chaque banque avec son propre processus, et Visa a qualifié cette acceptation de manuelle, chronophage et coûteuse quand elle a lancé un pilote de Visa Accounts Receivable Manager en octobre 2023. Le service récupère les données de carte, effectue autorisation et compensation pour le fournisseur et renvoie les données de rapprochement, pour que la facture puisse être soldée dans l'ERP. Le 27 mai 2026, Visa a annoncé que les émetteurs de son Commercial Solutions Hub peuvent envoyer via ce service des paiements par carte virtuelle pour leurs entreprises clientes, avec un lancement prévu en septembre 2026 dans 69 zones géographiques.

Dans le voyage d'affaires, une agence de voyages ou une plateforme de réservation paie hôtels et compagnies aériennes pour le voyageur, souvent avec une carte virtuelle par réservation. Pour les intermédiaires de voyage, Visa Commercial Pay capte automatiquement les données de réservation et de transaction et rapproche les paiements sans pointage manuel. Les salariés peuvent ajouter leurs cartes de voyage virtuelles à un wallet mobile et payer leurs frais en déplacement.

Checkout.com, la société de paiement londonienne, émet des cartes Visa physiques et virtuelles pour ses commerçants au Royaume-Uni et en Europe depuis le 30 juillet 2025. Les entreprises du voyage paient leurs partenaires hôteliers et de voyage avec ces cartes à partir de l'argent que Checkout.com a déjà encaissé auprès de leurs clients, si bien que le compte de carte n'a pas besoin de préfinancement.

Quand Mastercard a présenté Agent Pay le 29 avril 2025, l'entreprise a introduit les Agentic Tokens, qui reposent sur les tokens utilisés pour le sans contact, les cartes enregistrées et les Payment Passkeys. Mastercard a illustré le cas d'usage par une petite entreprise textile dont l'agent IA achète de la matière auprès d'un fournisseur étranger, négocie les conditions de paiement et paie avec un token de carte corporate virtuelle Mastercard. Mastercard a cité IBM et son produit watsonx Orchestrate comme partenaire pour ces cas B2B, et Checkout.com comme l'un des acquéreurs qui apporteraient les tokens aux commerçants.

Visa suit la même approche avec Visa Intelligent Commerce, où un agent paie avec un identifiant Visa tokenisé dans les limites fixées par le titulaire. Les agents qui paient sans aucune carte, en stablecoins ou par paiements de compte à compte, relèvent du domaine plus large des paiements agentiques.

La société américaine de spend management Ramp donne à chaque agent une identité, un responsable, un budget et des moyens de paiement approuvés, chaque paiement étant enregistré pendant que l'agent travaille. Son Agent Card remet à un agent des identifiants de carte pour un checkout dans le navigateur, et l'agent respecte la limite de dépenses, les règles de commerçants et les politiques d'approbation du budget qu'il utilise. En mars 2026, Ramp a annoncé qu'il allait déployer Visa Intelligent Commerce et le Visa Trusted Agent Protocol auprès de ses plus de 50 000 clients, tandis que Visa devenait elle-même cliente de Ramp.

Les plafonds européens des commissions d'interchange excluent les cartes commerciales, et les règles d'acceptation des cartes font la même distinction. Selon l'article 10 du règlement sur les commissions d'interchange, un réseau de cartes peut obliger un commerçant à accepter toutes les cartes de consommateurs d'une marque et d'une catégorie, mais un commerçant qui accepte les cartes Visa de consommateurs peut toujours refuser les cartes commerciales. L'article 10 (5) oblige les émetteurs à rendre chaque carte identifiable électroniquement comme carte de crédit, de débit, prépayée ou commerciale, pour que le checkout distingue une carte corporate virtuelle d'une carte de consommateur.

L'interdiction des surcharges de l'article 62 (4) de la directive sur les services de paiement ne couvre que les instruments de paiement dont l'interchange est plafonné, et les cartes commerciales n'en font pas partie. L'article 62 (5) permet aux États membres de limiter davantage les surcharges, et toute surcharge doit rester dans les coûts directs du commerçant selon l'article 62 (3). En Allemagne, l'article 270a du Code civil (en allemand) n'annule les frais de carte que pour les paiements de consommateurs relevant du régime plafonné, donc un fournisseur peut facturer un client professionnel qui paie avec une carte corporate virtuelle.

La deuxième directive sur les services de paiement permet à un émetteur de cartes et à un client professionnel de déroger à plusieurs protections des consommateurs dans leur contrat de carte. Selon l'article 61 (1), ils peuvent convenir que les articles 72, 74, 76, 77, 80 et 89 ne s'appliquent pas en tout ou en partie, ce qui inclut la preuve de l'authentification et la responsabilité pour les paiements non autorisés. Une entreprise qui confie des cartes virtuelles à des salariés ou à des agents IA trouve donc sa part des pertes de fraude dans le contrat de carte, et les limites prévues pour les consommateurs peuvent ne pas s'appliquer.

L'authentification forte du client a sa propre exemption pour les paiements d'entreprise à l'article 17 des normes techniques de réglementation. En juin 2019, l'Autorité bancaire européenne a répondu à une question sur les cartes logées et virtuelles et a confirmé que les prestataires de services de paiement peuvent appliquer l'exemption aux paiements par carte que seuls des payeurs non consommateurs peuvent utiliser. Seul le prestataire de services de paiement du payeur décide de l'exemption, et le superviseur doit juger le processus au moins aussi sûr que l'authentification au titre de la DSP2.

Une carte virtuelle est une carte de paiement sans plastique, émise comme numéro de carte avec date d'expiration et code de sécurité pour les paiements en ligne et par wallet mobile. Les entreprises créent souvent une carte par fournisseur ou par voyage, pour que chaque carte ait sa propre limite et son propre historique de paiement.

Les deux types de carte passent par le même réseau de cartes et portent les mêmes données de carte, mais une carte virtuelle n'existe que dans une application, un navigateur ou un wallet mobile. Une carte virtuelle est prête dès que l'émetteur la crée, tandis qu'une carte plastique doit d'abord être fabriquée et envoyée au titulaire.

Une carte virtuelle à usage unique est un numéro de carte que l'émetteur ferme après un paiement ou après qu'un montant fixe a été dépensé. Les plateformes d'émission fixent ces règles via des contrôles de dépenses avec une limite par autorisation et une liste de catégories de commerçants autorisées, si bien que le numéro échoue chez tout autre commerçant ou pour un montant plus élevé.

Oui, quand l'émetteur le permet, le titulaire ajoute la carte virtuelle à Apple Pay, Google Pay ou Samsung Pay et peut alors payer aussi sur les terminaux de paiement. Stripe prend en charge ces wallets pour les cartes virtuelles qu'il émet, même si les délais de mise en place de chaque wallet varient selon la région.

Une carte virtuelle limite les dégâts d'un numéro de carte divulgué, car elle peut être liée à un commerçant ou à un montant et désactivée après usage. Les données de carte restent à protéger: selon PCI DSS, une entreprise qui crée des cartes virtuelles pour ses propres utilisateurs peut être considérée comme un prestataire de services et doit alors se conformer à la norme.