Paiement par QR code

Le Conseil européen des paiements a publié ses premières lignes directrices sur le QR code pour le virement SEPA en 2012, et la version 3.1 des lignes directrices s'applique depuis le 19 mars 2024. Le document est indicatif, si bien que chaque banque décide si son application lit le code, et il convient aux factures où les mêmes données de paiement figurent aussi en clair pour que le payeur les compare. Les caisses d'épargne allemandes appellent ce code GiroCode, et l'application Sparkasse lit le bénéficiaire, l'IBAN, le BIC, le montant et la référence (en allemand) sur la facture avant que le client approuve le virement avec un TAN.

Le code contient des lignes de texte dans un ordre fixe: l'étiquette de service BCD, la version 001 ou 002, un jeu de caractères, l'identifiant SCT, le BIC, le nom du bénéficiaire et l'IBAN. Des lignes facultatives portent le montant en euros, un code de finalité et soit une référence structurée du créancier, soit un texte libre de 140 caractères au plus, et l'ensemble ne peut pas dépasser 331 octets. Dans la version 002, le BIC est facultatif et ne reste obligatoire que pour les paiements impliquant des participants au schéma situés hors de l'EEE. Pour un paiement où le bénéficiaire ne montre que le code, sur un terminal en magasin ou sur la page panier d'une boutique en ligne, l'EPC renvoie les bénéficiaires vers une norme distincte.

Pour les paiements au point d'interaction, le document de l'EPC Standardisation of QR-codes for MSCTs définit un code présenté par le bénéficiaire et un code présenté par le payeur pour les paiements entre particuliers, des consommateurs vers les entreprises et entre entreprises. Un code montré par le bénéficiaire peut porter un jeton que le prestataire du bénéficiaire résout, un alias des données du bénéficiaire ou toutes les données de l'opération en clair, dont le nom, l'IBAN, le code de catégorie du commerçant et le montant. Un code montré par le payeur ne porte qu'un jeton, car deux réponses de l'Autorité bancaire européenne excluent les options avec un identifiant client en clair.

Chaque code relevant de cette norme est une adresse web formée du domaine du schéma, d'une version, d'un type, de l'identifiant du prestataire et des données utiles. Un code peut contenir plusieurs jeux de données, si bien qu'un magasin peut accepter plusieurs applications de paiement avec un seul autocollant ou écran. En Espagne, Bizum utilise le mode présenté par le consommateur dans les points de vente de Loterías y Apuestas del Estado, où le client crée dans son application bancaire un QR code valable 15 minutes qu'un employé scanne.

Ces travaux remontent à une déclaration de l'Euro Retail Payments Board, qui a demandé à l'EPC en juin 2021 des QR codes permettant aux virements instantanés de fonctionner entre schémas au point d'interaction. L'EPC a répondu par le document EPC212-21 en 2021, et son groupe multipartite sur les virements SEPA initiés par mobile en a tiré une norme pour tous les contextes de paiement, publiée en janvier 2023. La version 2.10 du 17 juin 2024 précise que tout schéma ou toute solution de paiement peut utiliser le format, y compris s'il ne repose ni sur SCT Inst ni sur SCT.

La norme fixe le format et laisse la mise en œuvre à chaque schéma, si bien qu'un magasin a toujours besoin d'un prestataire qui le relie aux applications de ses clients. L'European Payments Alliance et l'European Payments Initiative prévoient de relier leurs applications nationales et Wero par un hub unique, avec les paiements en magasin dans une phase ultérieure. L'application de l'euro numérique de la BCE inscrit aussi le paiement par QR code en magasin parmi ses premières fonctions.

La Suisse a remplacé ses bulletins de versement par la QR-facture, que SIX a introduite le 30 juin 2020 pour la place financière suisse. La QR-facture se compose d'une section paiement et d'un récépissé, et son Swiss QR Code contient toutes les données nécessaires à la facturation et au paiement. PostFinance a fixé au 30 septembre 2022 la fin des bulletins de versement rouges et orange pour tous les clients bancaires suisses. Les clients de PostFinance et des autres banques suisses scannent la QR-facture dans leurs applications mobiles ou d'e-banking.

En Belgique, Wero est arrivé en caisse, et les clients scannent un QR code Wero sur un écran, un autocollant ou une affiche avant de vérifier le nom du bénéficiaire et le montant, puis de confirmer. L'European Payments Initiative a cité Payworld comme prestataire dont les terminaux de paiement belges affichent le code Wero, et les anciens QR codes Payconiq sur les factures et en magasin restent valables via Wero jusqu'à la fin de 2026. L'European Payments Initiative exploite Wero, et en Allemagne le portefeuille fonctionne déjà pour les achats en ligne.

Le quishing est du phishing par QR code, qui mène à un faux site web ou lance le téléchargement d'un logiciel malveillant. La BaFin a averti le 7 octobre 2024 (en allemand) que des fraudeurs envoient des lettres se présentant comme venant de banques, et qu'ils touchent aussi les gens par e-mail, SMS et WhatsApp. La BaFin conseille de ne scanner un code que si sa destination est certaine et de régler le smartphone pour qu'il affiche un lien avant de l'ouvrir.

Les codes statiques imprimés sur les horodateurs sont la deuxième cible du quishing en Allemagne. La police de Francfort a trouvé au moins huit autocollants (en allemand) collés sur les codes de l'application de stationnement easypark dans les quartiers de Nordend et de Westend à la fin de juin 2026, et les fausses pages demandaient les données de carte bancaire. La police conseille de vérifier que le code fait partie de l'étiquette imprimée et que le domaine correspond au prestataire. La norme de l'EPC recommande une protection de l'intégrité pour les données en clair et distingue les codes statiques sur autocollant des codes dynamiques valables pour une seule opération. Hectronic fournit des systèmes de paiement pour les bornes de recharge et horodateurs, et ses appareils affichent un nouveau code Wero à l'écran pour chaque paiement, ce qui, selon l'évaluation d'EPI, rend le quishing par codes superposés pratiquement impossible.

Un logiciel de facturation ou un générateur de GiroCode écrit les lignes dans l'ordre des lignes directrices de l'EPC et les encode en QR code avec le niveau de correction d'erreur M, jusqu'à la version 13. Les lignes directrices de l'EPC sont conçues pour des factures qui affichent aussi le bénéficiaire, l'IBAN, le montant et la référence en clair, afin que le payeur compare les deux. Un scan de test avec une application bancaire avant l'envoi de la première facture montre si chaque champ arrive dans le formulaire de virement.

Le QR code ne fait que remplir le paiement, et le payeur l'approuve toujours dans l'application bancaire avec l'authentification forte du client. Le risque tient à un code qui mène à un faux site web, si bien que le payeur doit comparer le nom du bénéficiaire et le montant dans l'application avant d'approuver. Pour un virement SEPA, les banques de la zone euro doivent aussi proposer depuis le 9 octobre 2025 une vérification du bénéficiaire, qui compare le nom du bénéficiaire avec l'IBAN.

GiroCode est le nom que les banques allemandes donnent au QR code EPC, qui lance un virement SEPA en euros. La QR-facture suisse est une norme distincte de SIX avec son propre Swiss QR Code, et elle se compose d'une section paiement et d'un récépissé. Le Swiss QR Code porte aussi les données de comptabilisation de la facture, alors que le code EPC contient les champs d'un seul virement.

Wero, le portefeuille de l'European Payments Initiative, fonctionne en Allemagne pour les paiements en ligne et dans certains contextes de paiement physique comme les bornes de recharge pour voitures électriques. EPI prévoit une disponibilité plus large aux caisses des magasins en Allemagne et en France à partir de 2027, après le lancement dans les magasins belges avec des QR codes sur les terminaux de paiement.