Solution de paiement en ligne et lutte antifraude

Le titulaire met à disposition une solution de paiement en ligne multi-comptes, associant traitement des transactions, outils antifraude, interfaces de vente, portail de gestion et environnements d’essai.

Comptes et parcours de paiement

Quatre comptes de production correspondent aux activités et parcours suivants :

• B2B par lien sécurisé : compte sans liaison à une plateforme, avec paiement soumis au 3D Secure ; en 2025, 59 transactions et 818 k€ TTC.
• E-commerce : intégration à Magento, DSP2 et module antifraude ; possibilité de renforcer le 3D Secure demandé par la banque du client ou de le rendre obligatoire. En 2025 : 65 580 transactions et 20,5 M€ TTC.
• Vente à distance / MOTO : intégration à Magento, 3D Secure V2 désactivé et liaison par API au SVI Diabolocom pour les paiements téléphoniques sécurisés. En 2025 : 1 810 transactions et 606 k€ TTC.
• Investissement en ligne : 3D Secure V2, module antifraude, tokenisation et paiements récurrents de frais de gestion semestriels, dont le montant varie selon l’évolution mensuelle du portefeuille du client. En 2026 : 5 157 transactions et 12,2 M€ TTC.

Les cartes Visa, Maestro, Mastercard, Amex et CB doivent être prises en charge. Le périmètre mentionne aussi PayPal, le virement instantané, le prélèvement SEPA, Wero, Google Pay, Apple Pay, le lien de paiement sécurisé et le paiement récurrent par carte, déployés ou prévus courant 2026. Des partenariats de paiement en plusieurs fois, par exemple Klarna ou Oney, sont à proposer. Le candidat doit fournir la liste des moyens de paiement acceptés et détailler ses solutions de paiement à l’expédition.

Interfaces, gestion et lutte contre la fraude

La solution doit proposer des API ou connecteurs pour Magento 2 et Diabolocom. Elle doit pouvoir se connecter à la banque acquéreur désignée, la DRFIP, et transmettre les télécollectes chaque jour ouvré au centre de paiement Monext. La tokenisation permet les prélèvements récurrents ; la solution doit signaler les paiements échoués et leur motif. Les remboursements sont possibles sur la plateforme ou par API, avec indication des connecteurs utilisables depuis Magento 2.

Le module antifraude analyse les transactions en temps réel, détecte les comportements suspects et limite les faux positifs. Il combine règles métier multiconditions, scoring et analyse comportementale, avec recours éventuel à l’intelligence artificielle. La notation intervient après le contrôle 3D Secure. Les équipes métiers doivent pouvoir paramétrer les règles et consulter les alertes et décisions. Les exemples de critères comprennent les pays d’adresse, de carte et d’adresse IP, les écarts entre facturation et livraison, le blocage des transactions via VPN et la liste blanche d’adresses électroniques. Le candidat doit transmettre la documentation du module ; le prestataire retenu doit aussi être en mesure de proposer du conseil en matière de fraude.

La page de paiement hébergée doit pouvoir intégrer le logo et les couleurs de la Monnaie de Paris, être adaptée aux tablettes, mobiles et ordinateurs, et une solution par iframe doit également pouvoir être proposée. Le portail utilisateur gère les profils (dont administrateur avec ou sans gestion des utilisateurs et consulteur), les remboursements et l’extraction/export CSV des données transactionnelles pour l’analyse et le rapprochement bancaire. Les extractions doivent pouvoir être envoyées automatiquement à certains utilisateurs ; le module antifraude peut être intégré au portail ou séparé.

Mise en œuvre et exploitation

Quatre comptes de test, un par compte nécessaire, sont attendus. Un accès bac à sable est à prévoir dès le début du projet et doit rester disponible pendant le marché, notamment pour les changements d’interfaces ou de paramétrages. Les candidats décrivent les contraintes d’interfaçage et l’organisation des phases de déploiement, d’exploitation et de réversibilité : gouvernance, équipe, rôles, planning, migration, recette, mise en production, accompagnement au changement, support, incidents, évolutions, reporting, transfert des données, configurations et documentations. Ils précisent les livrables, dépendances et prérequis de chaque phase. Les utilisateurs finaux doivent pouvoir être formés à la solution.

La solution doit permettre le 3D Secure V2 dans le cadre de DSP2, respecter la réglementation applicable, notamment la réglementation européenne sur les données personnelles, et être certifiée PCI-DSS dans sa version en vigueur pendant toute la durée du marché. L’offre précise le périmètre de cette certification ; les justificatifs sont fournis sur demande et toute suspension, retrait ou non-renouvellement doit être signalé sans délai. Les exigences de sécurité annexées s’appliquent pendant le marché et doivent être étendues aux sous-traitants, hébergeurs, opérateurs et partenaires concernés.

Les niveaux de service prévus sont une disponibilité mensuelle de 99,95 %, hors maintenances planifiées annoncées au moins 10 jours ouvrés à l’avance ; prise en charge des incidents bloquants sous 15 minutes et rétablissement sous 4 heures maximum ; réponse des autorisations en moins de 2 secondes dans 95 % des cas et de 4 secondes dans 99 % des cas. Le support est accessible du lundi au vendredi de 8 h à 18 h, avec une astreinte 24 h/24 et 7 j/7 pour les incidents bloquants. Pour les incidents de sécurité : notification sous 1 heure, premier rapport sous 4 heures, rapport détaillé sous 48 heures et plan correctif sous 5 jours ouvrés. Un reporting mensuel du respect des engagements est fourni.