Comment devenir un payment processor en 2026
Le playbook 2026 pour lancer une société de traitement des paiements : processor, acquéreur, PSP, PayFac et passerelle, agréments, PCI DSS Level 1, membre principal des réseaux, unit economics et stack.
Ce que fait réellement un payment processor
Un payment processor est la société qui fait circuler le message d'autorisation d'une carte entre le commerçant et la banque émettrice, puis rapatrie les fonds via le règlement. Chaque fois qu'une carte est insérée, présentée sans contact ou saisie sur un checkout, un processor fait le gros œuvre technique en coulisse : routage du message ISO 8583 ou ISO 20022, application des règles antifraude, dialogue avec les réseaux carte, et retour d'une autorisation en moins d'une seconde.
Devenir payment processor en 2026 n'a pas grand-chose à voir avec 2016. Les volumes carte continuent de croître mais le périmètre réglementaire aussi : DSP3, DORA, PCI DSS v4.0.1, le règlement européen sur les paiements instantanés et une supervision des réseaux plus stricte redessinent ce qu'il faut construire. La bonne nouvelle : le stack est désormais modulaire. Vous n'avez plus besoin de posséder un switch, une ferme de HSM et un moteur de règlement dès le premier jour. Chaque couche peut se louer ou se construire.
Autorisation
Recevoir la transaction du commerçant, la router vers le bon réseau et retourner accord ou refus en quelques millisecondes.
Compensation
Agréger les transactions autorisées de la journée et échanger les fichiers avec Visa, Mastercard et les schémas domestiques comme CB.
Règlement
Prélever les fonds chez les émetteurs, netter l'interchange et les frais de schéma, payer le commerçant selon le cycle convenu.
S'il ne faut retenir qu'une chose : un processor est un routeur de messages et un transporteur d'argent. Tout le reste (risque, reporting, tokenisation, rapprochement) est un accessoire posé sur ces deux métiers.
Discutons de votre projet et voyons comment nous pouvons lancer votre projet. produit bancaire numérique ensemble
Demander une démoProcessor vs acquéreur vs PSP vs PayFac vs passerelle
Ces cinq étiquettes sont utilisées de façon interchangeable dans les pitch decks, et c'est un problème car elles désignent des entités juridiques différentes, avec des agréments, des économies et des responsabilités différentes. Voici la répartition pratique.
| Rôle | Ce qu'il fait | Agrément ou adhésion | Qui porte le contrat commerçant |
|---|---|---|---|
| Acquéreur | Détient les fonds des commerçants, porte le risque de crédit et de chargeback, signe le contrat commerçant. | Banque ou établissement de paiement plus adhésion principale Visa ou Mastercard. | L'acquéreur lui-même. |
| Processor | Opère le switch technique : autorisation, compensation, fichiers de règlement, tokenisation. | Pas d'agrément financier en général, mais PCI DSS Level 1 et certification schéma obligatoires. | Pas de contrat direct ; sert l'acquéreur. |
| PSP (passerelle élargie) | Combine passerelle, outils antifraude et relation acquéreur en un seul produit commercial. | Souvent agrément EP pour les flux de fonds (Stripe, Adyen, Checkout.com). | PSP ou acquéreur partenaire. |
| PayFac | Onboarde des sous-commerçants sous son MID maître, gère KYB et risque, paie les sous-commerçants directement. | PayFac enregistré auprès d'un acquéreur sponsor ; agrément EP s'il détient des fonds. | Le PayFac contracte le commerçant, l'acquéreur contracte le PayFac. |
| Passerelle | Couche purement technique : reçoit la transaction du checkout, chiffre, transmet au processor. | Pas d'agrément, PCI DSS requis. | Aucun. |
La plus grande décision commerciale au démarrage, c'est de choisir lequel de ces rôles vous voulez jouer. Un processor pur est un métier d'infrastructure B2B à marges grasses et cycles de vente longs. Un PayFac est un pari SaaS vertical dans lequel le paiement est un multiplicateur de revenus. Le PSP est le créneau le plus encombré (et le plus gourmand en capital). Choisissez-en un et construisez pour lui.
Rôles dans une transaction carte
Sept parties interviennent dans chaque transaction carte. Comprendre la chorégraphie vous dit où s'insère votre processor, où les frais sont prélevés et où la responsabilité retombe quand un chargeback arrive.
Porteur
Présente une carte au checkout, en ligne ou sur TPE.
Commerçant & passerelle
Le checkout capte les données carte, la passerelle tokenise et transmet.
Acquéreur & processor
Reçoivent la demande d'autorisation, appliquent les contrôles de risque, transmettent au réseau.
Réseau & émetteur
Visa ou Mastercard routent vers l'émetteur, qui accorde ou refuse.
Le chemin retour reflète la demande et se boucle en général en 300 à 800 millisecondes. Le règlement a lieu plus tard, le plus souvent à J+1 ou J+2, quand l'acquéreur récupère les fonds chez l'émetteur via le réseau, soustrait interchange et frais de schéma et paie le commerçant. En tant que processor, vous vivez dans l'étape trois : la plomberie des messages, puis les fichiers de compensation et de règlement.
Quel modèle choisir : acquisition, PayFac, agent ou passerelle seule
Il existe quatre voies honnêtes pour entrer dans le secteur en 2026. Chacune a un coût, un time-to-market et un plafond réglementaire différents.
Acquisition marchande
Agrément EP ou bancaire complet plus adhésion principale Visa ou Mastercard. Vous détenez le MID, vous portez le risque, vous captez l'essentiel de l'économie.
Capital : 10-50 M€. Délai : 18-36 mois. Idéal pour : équipes bien financées avec un vrai portefeuille commerçant.
Payment Facilitator (PayFac)
Signez un contrat cadre avec un acquéreur sponsor puis onboardez vous-même les sous-commerçants avec un KYB allégé. Vous contrôlez l'expérience marchand et partagez les revenus avec le sponsor.
Capital : 1-3 M€. Délai : 6-12 mois. Idéal pour : plateformes SaaS verticales (marketplaces, réservation, outils PME).
Agent ou apporteur
Revendez le produit d'un acquéreur ou d'un PSP sous votre marque. Construction technique minimale, commissions récurrentes sur volume, pas d'agrément nécessaire. Un bon moyen de tester la demande avant d'investir dans l'infrastructure.
Capital : 100-500k€. Délai : 1-3 mois. Idéal pour : fondateurs orientés vente sur une verticale ou une région.
Passerelle seule
Construisez le checkout, la tokenisation, 3DS et l'antifraude sans toucher aux fonds. Compatible avec n'importe quel acquéreur. Faible charge réglementaire, mais concurrence avec Stripe et Adyen sur l'UX et la fiabilité.
Capital : 0,5-2 M€. Délai : 4-9 mois. Idéal pour : équipes très techniques sur une niche (on-ramp crypto, haut risque, régional).
La plupart des lancements réussis en 2026 démarrent comme PayFac ou agent sur une verticale, accumulent du volume, et ne demandent leur propre agrément et adhésion principale qu'ensuite. Tenter l'acquisition complète dès le premier jour brûle en général le capital plus vite que ça ne gagne des commerçants.
Agréments et adhésion principale aux réseaux
Le stack réglementaire est feuilleté. Il faut le bon agrément financier pour les flux de fonds, le bon statut réseau pour la participation aux schémas carte, et un lot de certifications opérationnelles pour pouvoir se brancher.
- Agrément financier. En France, l'agrément d'établissement de paiement (EP) de l'ACPR au titre de la DSP2 (bientôt DSP3) couvre l'acquisition. L'établissement de monnaie électronique (EME) ajoute l'émission de monnaie électronique et de cartes. L'agrément bancaire complet ajoute dépôts et crédit. Choisissez l'option la plus légère qui correspond aux flux que vous opérez vraiment. Le capital initial d'un EP dépend des services fournis (article 4 de l'arrêté du 29 octobre 2009, transposant l'article 7 de la DSP2) : 20 000 EUR pour la seule transmission de fonds, 50 000 EUR pour l'initiation de paiement, 125 000 EUR dès qu'un des services 1° à 5° est fourni - et l'acquisition en fait partie, donc c'est bien 125 000 EUR pour un acquéreur. Comptez 350 000 EUR pour un EME et 5 millions d'euros pour un établissement de crédit. S'y ajoutent les fonds propres permanents, calculés selon l'une des trois méthodes de l'article 9 de la DSP2 - A, B ou C. Il n'existe pas de méthode D, contrairement à ce qu'on lit parfois.
- Adhésion principale Visa et Mastercard. Pour acquérir en direct, vous demandez le statut de Principal Member. Prévoyez six à douze mois d'instruction, des frais de schéma (plusieurs dizaines de milliers d'euros par an) et des règles strictes de sponsoring de BIN. L'adhésion affiliée ou sponsorisée est plus rapide mais plafonne votre indépendance.
- PCI DSS. La version active est v4.0.1 : la v3.2.1 a été retirée le 31 mars 2024 et la v4.0 le 31 décembre 2024, et les 51 exigences à date différée sont obligatoires en évaluation depuis le 31 mars 2025. Attention au seuil que l'on cite souvent de travers : les six millions de transactions annuelles définissent le niveau 1 commerçant. Pour un prestataire de services, le seuil usuel est bien plus bas, de l'ordre de 300 000 transactions. Ces niveaux sont fixés par les réseaux de cartes, pas par le PCI SSC : confirmez le vôtre avec votre acquéreur. Prévoyez un Report on Compliance annuel par un QSA.
- Outils antifraude et chargebacks. 3DS2, tokenisation réseau, device intelligence et scoring comportemental sont un minimum. Il faut aussi un workflow de litiges aligné sur les délais Visa VCR et Mastercard MCOP.
- Underwriting et LCB-FT. Chaque commerçant ou sous-commerçant doit être évalué (KYB, sanctions, PPE, risque du modèle d'affaires). Il vous faut un moteur de surveillance des transactions en temps réel, des déclarations TRACFIN et, en France, un responsable conformité déclaré à l'ACPR.
Rien de tout ceci n'est optionnel. La vague de sanctions 2023-2025 (consent orders de l'OCC américaine, mesures de la BaFin sur des EME allemands, focus de la FCA sur les EP britanniques et interventions de l'ACPR sur plusieurs EP français) a rendu le coût d'un programme de conformité faible douloureusement élevé.
Une feuille de route réaliste : de la niche au trafic réel
Les équipes les plus rapides suivent une séquence qui ressemble à peu près à ceci.
Niche & juridiction
Choisissez une verticale (facturation SaaS, voyage, marketplace B2B). Choisissez un régulateur dont le calendrier et l'historique collent à votre plan. Verrouillez le capital d'amorçage.
Agrément & sponsor
Déposez le dossier EP ou EME auprès de l'ACPR, ou signez avec un acquéreur sponsor si vous démarrez en PayFac. Rédigez les politiques LCB-FT, de cantonnement et d'externalisation.
Technologie & PCI
Construisez ou achetez passerelle, ledger, tokenisation, 3DS2 et moteur antifraude. Lancez le chantier PCI DSS Level 1 en parallèle de l'agrément.
Certification schéma
Bouclez les certifications Visa VCMS et Mastercard MTF. Intégrez annuaires, tokenisation et APIs de litiges des réseaux.
Commerçants pilotes
Onboardez cinq à vingt commerçants amis, lancez du trafic réel, affinez les flux de risque et de chargebacks, bouclez le premier cycle d'audit.
Passage à l'échelle
Étendez à d'autres pays, ajoutez des moyens de paiement alternatifs (Bizum, Swish, PIX), préparez le passage en Principal Member si vous aviez démarré sponsorisé.
Les équipes qui dérapent le plus sont celles qui tentent de construire switch, ledger et intégrations schémas from scratch en parallèle de la demande d'agrément. Posez tôt votre frontière build-vs-buy et tenez-la.
Stack technique : construire, acheter ou combiner
Vous avez trois options techniques réalistes. La plupart des équipes les mélangent.
| Option | Ce que vous obtenez | Contrepartie |
|---|---|---|
| Processors historiques (Fiserv, TSYS, Worldpay, Global Payments) | Switch éprouvé, connectivité mondiale aux schémas, modules matures de litiges et compensation. Le moteur derrière la plupart des banques et grands acquéreurs, ainsi que des acteurs comme Nexi, Monext ou Worldline en France. | Cycles d'intégration longs, minimums élevés, expérience développeur vieillissante. Bon choix si vous avez de l'échelle dès le premier jour. |
| Plateformes modernes d'issuing et d'acquisition (Nuvei, Checkout.com, Adyen for Platforms, Marqeta) | APIs plus propres, onboarding plus rapide, outillage PayFac prêt à l'emploi, acquisition globale en un seul contrat. | Moins de flexibilité en profondeur, coût par transaction plus élevé, vous êtes locataire chez eux. |
| BaaS plus white-label (Crassula, Solaris, Swan, ClearBank) | Produit marqué, ledger et console admin à vous, swap modulaire de l'acquéreur ou de l'émetteur. Mise en production en semaines plutôt qu'en années. | Vous devez toujours avoir un sponsor ou votre propre agrément. Vous portez risque, fraude et support. |
Motif courant en 2026 : Crassula (ou équivalent) pour la couche produit et le ledger, un PSP ou acquéreur pour la connexion aux schémas (Nexi, Monext ou Worldline en France) et un spécialiste antifraude (Riskified, Ravelin, Featurespace). Plus ces briques sont proprement séparées, plus il est simple de remplacer l'une sans tout réécrire.
Unit economics : où est vraiment l'argent
Le traitement carte ressemble à un super business au premier coup d'œil. Le détail est dans le stack de commissions. Une transaction carte en face-à-face typique en Europe, à 1,5 % de MDR, se décompose à peu près ainsi.
En Europe, l'interchange est plafonné par le règlement MIF : 0,2 % sur le débit consumer et 0,3 % sur le crédit consumer. Les cartes commerciales, les flux transfrontaliers et inter-régionaux passent au-dessus du plafond. Aux États-Unis, le débit régulé Durbin tourne autour de 0,05 % plus 0,22 USD par transaction, tandis que le crédit et le débit des petites banques (hors Durbin) tournent autour de 1,5 %. Votre marge de processor et d'acquéreur se pose par-dessus, typiquement 20 à 80 points de base, et elle est rognée par la fraude, les chargebacks, PCI, la masse salariale de conformité et les amendes des schémas.
À retenir : le volume brut, c'est de la vanité ; le take rate net, c'est la réalité. Modélisez le stack de commissions transaction par transaction, par corridor et par produit carte, avant de signer le moindre commerçant.
Comment Crassula vous aide à lancer un payment processor
Crassula est le cœur white-label qui s'intercale entre votre entité agréée (ou votre acquéreur sponsor) et vos commerçants. Vous récupérez le produit, le ledger et le back-office. Vous gardez la marque, la tarification et les relations commerçants.
Cœur modulaire
Ledger, émission IBAN et cartes, orchestration d'acquisition, change, workflows de litiges et rapprochement. Branchez l'acquéreur de votre choix (Nuvei, Checkout.com, Nexi/Monext/Worldline, banque locale) ou votre propre adhésion principale plus tard.
Prêt pour la conformité
Hébergement PCI DSS Level 1, 3DS2, tokenisation, filtrage sanctions et PPE, surveillance transactionnelle, pistes d'audit alignées sur DSP2 et DSP3.
Interfaces commerçant & admin à votre marque
Portail commerçant white-label, flux d'onboarding, orchestration KYB, console risque et reporting. Aucun logo générique à l'horizon.
En semaines, pas en années
Stack processor MVP en production en 8-14 semaines. Vous vous concentrez sur l'acquisition marchande et la certification schémas, on livre la plomberie.
Si vous voulez vraiment lancer un payment processor en 2026, parlez à l'équipe Crassula. Nous cartographions votre trajectoire agrément, sponsor et schémas, et nous chiffrons le stack avant que vous n'engagiez le moindre euro de budget build.
Avez-vous vraiment besoin d'un agrément ? Le test des fonds
Avant de budgéter un agrément, posez la seule question qui décide : entrez-vous à un moment quelconque en possession des fonds ? Le droit européen ne régule pas le fait de « traiter des paiements », il régule la fourniture d'un service de paiement.
L'article 3(j) de la DSP2 exclut du champ de la directive les prestataires de services techniques qui appuient la fourniture de services de paiement « sans entrer à aucun moment en possession des fonds à transférer ». L'exclusion couvre expressément le traitement et le stockage de données, les services de confiance et de protection de la vie privée, l'authentification des données et des entités, la fourniture de réseaux informatiques et de communication, ainsi que la fourniture et la maintenance des terminaux. Depuis la directive (UE) 2022/2556, qui accompagne DORA, la mention des réseaux TIC y figure explicitement.
Deux limites à cette exclusion, régulièrement oubliées. D'abord, elle ne couvre ni l'initiation de paiement, ni l'information sur les comptes : le texte les exclut nommément de l'exclusion. Un agrégateur ou un initiateur est un PSP, point.
Ensuite, sachez où la trouver en droit français : elle n'est pas dans le chapitre des articles L. 521-1 à L. 521-10, qui porte la définition des PSP, le monopole de l'article L. 521-2 et les dérogations réseau limité (L. 521-3), télécom (L. 521-3-1) et instrument spécifique (L. 521-3-2). Le siège de l'exclusion technique est l'article L. 314-1 III 7°, dans la liste de ce qui « n'est pas considéré comme un service de paiement ». Le texte reprend la directive mot à mot : la fourniture de services par un prestataire technique à l'appui de services de paiement, « sans qu'il entre, à aucun moment, en possession des fonds à transférer », et « à l'exception des services d'initiation de paiement et des services d'information sur les comptes ».
Le monopole, lui, est net. L'article L. 521-2 dispose qu'« il est interdit à toute personne autre que celles mentionnées à l'article L. 521-1 de fournir des services de paiement au sens du II de l'article L. 314-1 à titre de profession habituelle ». Le déclencheur de l'agrément est donc la fourniture d'un des huit services énumérés, pas le volume traité ni l'intitulé commercial de votre offre.
| Votre position | Statut | Ce que cela implique |
|---|---|---|
| Vous ne touchez jamais les fonds | Prestataire technique (DSP2 art. 3(j)) | Pas d'agrément de PSP. En revanche vous devenez un prestataire tiers de services TIC pour vos clients régulés, avec les obligations contractuelles DORA qui vont avec. |
| Vous encaissez pour le compte de tiers | Établissement de paiement agréé | Agrément ACPR, capital selon les services, fonds propres permanents, cantonnement. |
| Vous opérez sous la licence d'un autre | Agent de PSP (L. 523-1) | Statut dérivé, pas une licence autonome : vous agissez sous mandat et strictement dans les limites de l'agrément de votre mandant, après enregistrement au REGAFI. |
Sur les délais enfin : l'article 12 de la DSP2 fixe trois mois pour statuer, mais le compte à rebours ne démarre qu'à réception d'un dossier complet. Côté français, l'article L. 522-9 renvoie lui aussi le délai à un texte d'application et fait courir l'instruction à partir du dossier complet. C'est pourquoi les instructions réelles dépassent presque toujours trois mois : le temps se joue avant le dépôt.
Références
Sources primaires pour les points réglementaires de ce guide, au 22 juillet 2026.
- Directive (UE) 2015/2366 (DSP2), version consolidée : article 3(j) (exclusion des prestataires techniques, hors initiation de paiement et information sur les comptes, telle que modifiée par la directive (UE) 2022/2556), article 7 (capital initial de 20 000, 50 000 et 125 000 EUR), article 9 (trois méthodes de fonds propres A, B et C, ajustables de ±20 %) et article 12 (décision sous trois mois à compter d'un dossier complet).
- Code monétaire et financier : article L. 314-1 III 7° (transposition française de l'exclusion des prestataires techniques de l'article 3(j) de la DSP2), article L. 521-2 (monopole des services de paiement), L. 522-9 (délai d'instruction renvoyé à un texte d'application), L. 522-11-1 (agrément simplifié) et L. 523-1 (agents de PSP).
- Arrêté du 29 octobre 2009, article 4 : transposition française des tranches de capital initial.
- PCI Security Standards Council : PCI DSS v4.0.1 seule version active, v3.2.1 retirée le 31 mars 2024, v4.0 le 31 décembre 2024, exigences à date différée obligatoires depuis le 31 mars 2025. Les niveaux commerçants et prestataires sont fixés par les réseaux de cartes.
Ce guide décrit un état du droit et des règles de réseau au 22 juillet 2026 et ne constitue pas un conseil juridique. Les volumes de marché, frais de schéma et durées réelles d'instruction ne sont volontairement pas chiffrés ici faute de source primaire vérifiable.
FAQ
L'acquéreur porte le contrat commerçant, le risque de crédit et de chargeback, et c'est l'entité régulée avec adhésion Visa et Mastercard. Le processor est le service technique qui opère le switch : autorisation, compensation, fichiers de règlement et tokenisation. En pratique, beaucoup de gros acteurs font les deux, mais juridiquement et commercialement ce sont des rôles distincts avec des agréments distincts.
Le plus souvent, non. Un processor pur (rôle technique) n'a pas besoin d'agrément financier, seulement de PCI DSS Level 1 et de la certification schémas. Si vous voulez aussi détenir les fonds commerçants ou émettre des cartes, il faut un agrément EP ou EME de l'ACPR en France, ou les licences équivalentes aux États-Unis. Un agrément bancaire complet n'est nécessaire que pour prendre des dépôts ou prêter sur bilan.
PCI DSS Level 1 est le plus haut niveau du Payment Card Industry Data Security Standard, Attention au seuil, souvent mal cité : les six millions de transactions annuelles définissent le niveau 1 commerçant ; pour un prestataire de services, le seuil usuel est bien plus bas, de l'ordre de 300 000 transactions. Ces niveaux sont fixés par les réseaux de cartes, pas par le PCI SSC. Il impose des audits annuels par un Qualified Security Assessor, des scans de vulnérabilités trimestriels, une architecture réseau segmentée, une cryptographie forte et un contrôle strict des changements. Sous PCI DSS v4.0.1 - seule version active depuis le retrait de la v4.0 le 31 décembre 2024, avec les 51 exigences à date différée obligatoires depuis le 31 mars 2025 - les contrôles sont plus stricts en matière de résistance au phishing, d'authentification et d'analyse de risque ciblée. Tout processor ou PayFac de taille significative en a besoin.
Cela dépend entièrement du modèle. Un produit passerelle seule peut être lancé avec 0,5-2 M€. Un programme PayFac adossé à un acquéreur sponsor coûte 1-3 M€, tech, conformité et capital de lancement inclus. L'acquisition complète avec agrément EP et adhésion principale Visa ou Mastercard demande 10-50 M€ plus les fonds propres réglementaires. Les seuls coûts récurrents de schémas et de conformité représentent six à sept chiffres par an une fois en production.
L'interchange est la commission que l'acquéreur paie à la banque émettrice sur chaque transaction carte, fixée par les réseaux. Dans l'UE, elle est plafonnée à 0,2 % sur le débit consumer et 0,3 % sur le crédit consumer par le règlement MIF. Aux États-Unis, le débit régulé Durbin tourne autour de 0,05 % plus 0,22 USD, tandis que le crédit hors Durbin tourne autour de 1,5 %. L'interchange est le plus gros poste unique du stack de commissions et la raison principale pour laquelle le take rate paraît mince quand on modélise sérieusement l'économie.
Un PSP (payment service provider) combine passerelle, outils antifraude et relation acquéreur dans un seul produit commercial ; Stripe, Adyen et Checkout.com en sont les exemples classiques. Un PayFac (payment facilitator) va un cran plus loin : il signe un contrat cadre unique avec un acquéreur sponsor, puis onboarde des sous-commerçants sous son propre MID maître avec un KYB allégé. Le PayFac est le modèle par défaut pour les SaaS verticaux et les marketplaces qui veulent intégrer les paiements dans leur produit.
Un produit passerelle seule peut être en production en quatre à neuf mois. Un programme PayFac adossé à un acquéreur sponsor prend généralement six à douze mois. L'acquisition complète avec un agrément EP ou EME frais de l'ACPR et une adhésion principale Visa ou Mastercard court sur 18 à 36 mois, avec une part importante passée en revue régulateur et schémas. Utiliser un cœur white-label comme Crassula ramène le build technique d'environ 12 mois à 8-14 semaines.
Il y a trois camps. Les cœurs historiques comme Fiserv, TSYS, Worldpay et Global Payments alimentent encore la plupart des banques et grands acquéreurs, y compris des acteurs comme Nexi, Monext et Worldline en France. Les plateformes modernes comme Nuvei, Checkout.com, Adyen for Platforms et Marqeta offrent des APIs plus propres et un onboarding PayFac plus rapide. La plupart des lancements 2026 combinent un cœur BaaS ou de processing en white-label (Crassula, Solaris, Swan) avec un acquéreur moderne et un moteur antifraude spécialisé, en gardant chaque couche remplaçable.
