Paiements par carte avec Apple Pay

Paiement par carte en magasin

Lorsque l’iPhone ou l’Apple Watch est activé et qu’il détecte un champ CCP, il présente à l’utilisateur la carte demandée (si la sélection automatique est activée pour cette carte) ou la carte par défaut, qui est gérée dans Réglages. L’utilisateur peut également accéder à l’app Portefeuille et choisir une carte ou, si l’appareil est verrouillé :

• appuyer deux fois sur le bouton latéral des appareils dotés de Face ID;

• appuyer deux fois sur le bouton principal des appareils dotés de Touch ID;

• utiliser les fonctionnalités d’accessibilité permetttant de payer avec Apple Pay à partir de l’écran verrouillé.

L’utilisateur doit ensuite s’identifier avec Face ID, Touch ID ou son code pour que les données de paiement soient transmises. Quand l’Apple Watch est déverrouillée, appuyer deux fois sur le bouton latéral permet d’activer la carte par défaut pour le paiement. Aucune donnée de paiement ne peut être envoyée sans authentification de l’utilisateur.

Une fois que l’utilisateur a été authentifié, le numéro de compte de l’appareil et un code de sécurité dynamique propre à la transaction sont utilisés pour traiter le paiement. Ni Apple ni l’appareil de l’utilisateur n’envoient les numéros complets des cartes de paiement aux vendeurs. Apple peut recevoir des données de transaction anonymes, telles que l’heure et le lieu approximatifs de la transaction, destinées à améliorer Apple Pay et d’autres produits et services d’Apple.

Paiement par carte dans les apps

Apple Pay peut également être utilisé pour effectuer des paiements dans les apps pour iOS, iPadOS, macOS et watchOS. Lorsqu’un utilisateur paie dans une app avec Apple Pay, Apple reçoit les données de transaction chiffrées à acheminer au développeur ou au vendeur. Avant l’envoi de ces données au développeur ou au vendeur, Apple chiffre de nouveau la transaction à l’aide d’une clé propre au développeur. Apple Pay conserve des données de transaction anonymes, comme le montant approximatif de l’achat. Ces données ne peuvent être associées à un utilisateur précis et n’incluent aucune information sur le contenu des achats.

Lorsqu’une app lance une transaction de paiement Apple Pay, les serveurs Apple Pay reçoivent la transaction chiffrée de l’appareil avant le vendeur. Puis, ils chiffrent à nouveau la transaction au moyen d’une clé propre au vendeur avant de la transmettre à ce dernier.

Lorsqu’une app demande un paiement, elle appelle une API pour déterminer si l’appareil prend en charge Apple Pay et si l’utilisateur possède des cartes de paiement capables d’effectuer des paiements sur les réseaux de paiement acceptés par le vendeur. L’app demande les renseignements dont elle a besoin pour traiter et terminer la transaction (coordonnées et adresses d’expédition et de facturation, par exemple). L’app demande ensuite à iOS, à iPadOS, à macOS ou à watchOS de présenter le formulaire Apple Pay, qui demande des informations pour le compte de l’app ainsi que d’autres renseignements nécessaires, par exemple la carte à utiliser.

L’app reçoit alors les informations relatives à la ville, à la province et au code postal nécessaires pour calculer les frais d’expédition. L’ensemble des informations demandées n’est transmis à l’app que lorsque l’utilisateur a autorisé le paiement avec Face ID, Touch ID ou le code de l’appareil. Une fois le paiement autorisé, les informations figurant sur le formulaire Apple Pay sont envoyées au vendeur.

Paiement par carte dans les extraits d’app

Un extrait d’app est une petite partie d’app qui permet à l’utilisateur d’effectuer une tâche rapidement (comme louer une bicyclette ou payer le stationnement) sans télécharger l’app complète. Si un extrait d’app prend en charge les paiements, l’utilisateur peut se connecter à Apple, puis effectuer un paiement au moyen d’Apple Pay. Lorsqu’un utilisateur effectue un paiement à partir d’un extrait d’app, toutes les mesures de confidentialité et de sécurité sont les mêmes que lorsqu’un utilisateur effectue un paiement dans une app.

Autorisation de paiement par l’utilisateur et vérification par le commerçant

Les utilisateurs et les commerçants s’assurent de la sécurité des paiements en transmettant des informations aux serveurs d’Apple, au Secure Element, à l’appareil et à l’API de l’app. Tout d’abord, lorsque l’utilisateur autorise un paiement, l’app obtient une valeur antirejeu cryptographique en appelant les serveurs Apple Pay. Les serveurs transmettent cette valeur ainsi que d’autres données de transaction au Secure Element afin de calculer une accréditation de paiement destinée à être chiffrée à l’aide d’une clé Apple. Le Secure Element renvoie ensuite le justificatif de paiement aux serveurs Apple Pay afin qu’ils puissent le déchiffrer, vérifier sa valeur antirejeu par rapport à celle envoyée initialement par les serveurs Apple Pay, et le chiffrer à nouveau avec la clé de commerçant associée à l’identifiant de commerçant. Les serveurs Apple renvoient ensuite le paiement à l’appareil, qui le transmet à l’API de l’app, laquelle le transmet au système du commerçant pour traitement. Le commerçant déchiffre le justificatif de paiement pour vérifier qu’il s’agit bien du bon destinataire de la transaction.

Les API requièrent une déclaration d’autorisation spécifiant les identifiants de vendeur pris en charge. Une app peut également inclure des données supplémentaires (comme un numéro de commande ou l’identité du client) à envoyer au Secure Element pour les faire signer afin que la transaction ne puisse pas être détournée vers un autre client. Cette tâche est effectuée par le développeur de l’app, qui peut préciser les données d’application (applicationData) de la demande de paiement (PKPaymentRequest). Un hachage de ces données est inclus dans les données de paiement chiffrées. Le vendeur doit ensuite vérifier que le hachage applicationData correspond à ce qui se trouve dans les données de paiement.

Paiement par carte sur les sites Web

Apple Pay peut être utilisé pour effectuer des paiements sur les sites Web avec un iPhone, un iPad, une Apple Watch ou un ordinateur Mac équipé de Touch ID. Les transactions Apple Pay peuvent également être commencées sur un Mac et terminées sur un iPhone ou une Apple Watch sur lesquels Apple Pay est activé avec le même compte iCloud.

L’utilisation d’Apple Pay en ligne requiert que tous les sites Web participants soient enregistrés auprès d’Apple. La validation du nom de domaine est effectuée une fois que le domaine est enregistré et qu’un certificat de client TLS est émis par Apple. Les sites Web qui prennent en charge Apple Pay doivent fournir leur contenu par HTTPS. Pour chaque transaction de paiement, les sites Web doivent obtenir une session de vendeur sécurisée et unique sur un serveur Apple à l’aide du certificat client TLS émis par Apple. Les données de session de vendeur sont signées par Apple. Une fois une signature de session de vendeur vérifiée, un site Web peut demander si l’utilisateur dispose d’un appareil prenant en charge Apple Pay et si une carte de crédit, de débit ou prépayée est activée sur l’appareil. Aucun autre renseignement n’est partagé. Si l’utilisateur ne veut pas partager ces informations, il peut désactiver les requêtes Apple Pay dans les réglages de confidentialité de Safari de son iPhone, de son iPad ou de son Mac.

Une fois qu’une session de vendeur est validée, les mesures de confidentialité et de sécurité sont les mêmes que lorsqu’un utilisateur effectue un paiement dans une app.

Si l’utilisateur transmet des données de paiement d’un Mac à un iPhone ou à une Apple Watch, la transmission Handoff d’Apple Pay utilise le protocole du service d’identité d’Apple (IDS) chiffré de bout en bout pour transmettre ces données entre le Mac de l’utilisateur et l’appareil d’autorisation. Le client IDS sur Mac utilise les clés d’appareil de l’utilisateur pour effectuer le chiffrement, de sorte qu’aucun autre appareil ne puisse déchiffrer ces informations. Apple n’a pas accès à ces clés. Pour chaque transmission Handoff, Apple Pay doit obtenir de l’appareil certains renseignements sur la carte de crédit de l’utilisateur, notamment le type, l’identifiant unique et certaines métadonnées. Le numéro de compte de l’appareil associé à la carte de l’utilisateur n’est pas partagé et demeure stocké de façon sécurisée sur l’iPhone ou l’Apple Watch. Apple transfère également en toute sécurité les coordonnées et adresses d’expédition et de facturation de l’utilisateur récemment utilisées au moyen du trousseau iCloud.

Une fois que l’utilisateur autorise le paiement à l’aide de Face ID, de Touch ID, de son code ou en appuyant deux fois sur le bouton latéral de son Apple Watch, un jeton de paiement unique et chiffré pour chaque certificat de site Web de vendeur est transmis de façon sécurisée de l’iPhone ou de l’Apple Watch au Mac de l’utilisateur, puis est transmis au site Web du vendeur.

Seuls les appareils à proximité les uns des autres peuvent demander et effectuer un paiement. La proximité est déterminée au moyen de notifications Bluetooth faible énergie (BLE).

Paiements automatiques et jetons de commerçant

Dans iOS 16 ou une version ultérieure, les apps et les sites Web qui offrent Apple Pay peuvent tirer parti des jetons de commerçant Apple Pay qui permettent de sécuriser les paiements de façon cohérente sur tous les appareils de l’utilisateur. Le formulaire de paiement Apple Pay mis à jour dans iOS 16 optimise également les expériences de paiement préautorisé. De nouveaux types de transaction dans l’API Apple Pay permettent aux développeurs d’apps et de sites Web d’affiner l’expérience du formulaire de paiement pour les abonnements, les factures récurrentes, les paiements échelonnés et les recharges automatiques de soldes de cartes.

Les jetons de commerçant ne sont pas spécifiques à un appareil et permettent donc la continuité des paiements récurrents si l’utilisateur a retiré sa carte de paiement de l’appareil.

Paiements à plusieurs commerçants

Dans iOS 16 ou une version ultérieure, Apple Pay comprend la capacité de spécifier des montants d’achats spécifiques pour plusieurs commerçants sur un seul formulaire de paiement Apple Pay. Cela donne la flexibilité aux clients d’effectuer un achat groupé, par exemple un forfait voyage comprenant le vol, la voiture de location et l’hôtel, puis d’envoyer les paiements aux commerçants individuels.