API d'émission de cartes crypto : Guide pratique de son fonctionnement

La mise en place d'un programme de cartes de manière traditionnelle implique de constituer, contrat par contrat, une banque sponsor, un processeur de paiement, un bureau de personnalisation et un service de conformité. On parle généralement d'un délai de dix-huit mois pour ce processus.

Une API d'émission de cartes est l'argument qui vous dispense de cette tâche. Elle ne la fait pas disparaître complètement, mais en transfère la majeure partie sur un tiers. Il est donc important de bien comprendre ce qui reste avant de signer.

Points clés à retenir

• Une API d'émission de cartes crypto permet à une entreprise de créer et de gérer des cartes de paiement liées à des soldes en cryptomonnaie, généralement sans détenir sa propre licence de carte, son parrainage bancaire ou sa propre infrastructure de traitement.
• UPay Business propose l'émission de cartes Visa physiques et virtuelles via une API unique, des frais de paiement en cryptomonnaie inférieurs à 1 % contre 3 à 5 % pour les paiements transfrontaliers traditionnels, et l'acceptation du BTC, de l'ETH, de l'USDT et de plus de 50 autres actifs sur les plateformes TRC20, ERC20 et BSC.
• UPay Business publie un délai d'environ cinq minutes pour le règlement en cryptomonnaie et un délai de T+0 ou T+1 pour le versement en monnaie fiduciaire selon le canal, le règlement bancaire étant effectué à T+1. Il s'agit de deux étapes distinctes, et non d'une contradiction ; renseignez-vous donc sur l'étape de destination de votre transaction.
• La documentation pour développeurs d'UPay décrit un environnement de test, une fenêtre de validité de signature de 60 secondes par requête et une liste blanche d'adresses IP obligatoire, et indique que son URL de base de production n'est pas divulguée publiquement.
• La conformité dont vous héritez est bien réelle : vérification d’identité, surveillance des transactions, contrôle des sanctions, la règle de voyage de 3 000 dollars américains aux États-Unis et la norme PCI DSS v4.0.1, actuellement la seule version active, dont les 51 exigences futures sont entrées en vigueur le 31 mars 2025.
• Concernant les enregistrements, tenez compte de ce qu'UPay indique elle-même : une licence d'opérateur de services monétaires à Hong Kong, une approbation de principe de fournisseur de services d'actifs virtuels en Lituanie et des enregistrements d'entreprises de services monétaires aux États-Unis et au Canada.

Qu'est-ce qu'une API d'émission de cartes crypto ?

Une API d'émission de cartes crypto est un ensemble de points de terminaison programmables qui permettent à une entreprise de créer, d'approvisionner, de bloquer et d'annuler des cartes de paiement liées au solde crypto d'un client, sans posséder l'infrastructure sous-jacente.

Le prestataire gère les relations difficiles à obtenir : l’adhésion au réseau, l’accord d’émission, le traitement et la conversion. Vous conservez le client, la marque et les règles de dépenses.

C'est lors de la conversion que la partie crypto intervient. La carte est une carte classique sur un réseau classique ; l'intervention du fournisseur transforme le solde crypto en devise de règlement au moment de l'autorisation, de sorte que le commerçant voit une transaction normale et le client un débit en cryptomonnaie.

Comment fonctionne le flux, étape par étape

Intégration et vérification d'identité. Votre application collecte les informations du client et les soumet via les points de terminaison de vérification du fournisseur. Le résultat étant renvoyé de manière asynchrone, prévoyez un état « en attente » plutôt qu'une réponse binaire (oui/non).

Rechargement du solde. Le client transfère des cryptomonnaies sur le compte associé à la carte. Sur UPay, il s'agit d'un rechargement depuis le portefeuille UPay et non d'un prélèvement automatique ; le solde est donc maintenu à jour par le client.

Émission et mise en service. Une carte virtuelle est émise rapidement. Une carte physique doit être produite et expédiée ; c’est pourquoi les terminaux de carte UPay incluent l’activation et le suivi logistique en plus de l’enregistrement.

Autorisation. Lors d'un paiement client, le réseau envoie une demande d'autorisation. Le fournisseur vérifie le solde et les règles de dépenses, effectue la conversion et approuve ou refuse la transaction. Tout paramètre que vous souhaitez contrôler doit être configuré au préalable.

Règlement et rapprochement. Les transactions compensées sont réglées auprès du commerçant via le réseau, tandis que votre système effectue le rapprochement avec les webhooks. Le flux webhook constitue l'enregistrement et le tableau de bord en affiche le récapitulatif.

Notre note sur le fonctionnement des paiements en USDT explique ce que vous indique réellement une confirmation de chaîne, qui constitue l'entrée de ce rapprochement.

Ce que publie réellement la documentation de l'API d'UPay

Voici ce que disent la documentation pour développeurs et les pages commerciales d'UPay.

Ce qu'un acheteur demande	Ce que publie UPay	Là où il est écrit
Quelles cartes puis-je émettre ?	Cartes Visa physiques et virtuelles via une API unique	Site UPay Business
Existe-t-il un mode bac à sable ?	Un environnement de test est publié ; l’environnement de préproduction est indiqué comme indisponible et l’URL de base de production n’est pas divulguée publiquement.	Référence de l'API UPay
Comment une requête est-elle authentifiée ?	Chaque requête est signée, et une signature est valable 60 secondes avant de devoir être régénérée.	Référence de l'API UPay
Existe-t-il des restrictions de réseau ?	Les adresses IP appelantes doivent être autorisées, et les réponses proviennent uniquement des adresses désignées.	Référence de l'API UPay
Que puis-je faire à une carte ?	S'inscrire, activer, recharger, verrouiller et déverrouiller, annuler, consulter les factures, définir un mot de passe de transaction, suivre la livraison, confirmer la sécurité 3-D Secure, autoriser un montant de dépense	Référence de l'API UPay
Que couvre d'autre l'API ?	Marchand, Compte, Groupe de clients, Client, Adresse, Carte, Portefeuille, Acquéreur, Dépense, IFrame, Téléchargement de fichiers, Liste des régions, Liste des codes et groupes de webhook	Référence de l'API UPay
La documentation est-elle en anglais ?	La référence principale est en chinois simplifié ; une version complète en anglais est publiée sur upay-api-en.readme.io (https://upay-api-en.readme.io/)	Référence de l'API UPay, les deux éditions
Comment savoir que quelque chose s'est passé ?	Notifications Webhook pour les événements liés aux cartes, aux portefeuilles, à l'acquisition et aux paiements	Référence de l'API UPay
Quel est le coût du traitement ?	Moins de 1 % sur les paiements en cryptomonnaie, contre 3 à 5 % pour les paiements transfrontaliers traditionnels.	Site UPay Business
À quelle vitesse l'argent est-il réglé ?	Environ 5 minutes sur la chaîne (« ~ 5 minutes ») ; paiement en monnaie fiduciaire à J+0 ou J+1 selon le canal ; règlement bancaire à J+1	Site UPay Business et sa page de paiement en cryptomonnaie

Il est conseillé de lire les deux avant de définir le périmètre du travail : la liste blanche limite l’endroit où votre code s’exécute, et la fenêtre de signature de 60 secondes limite la manière dont il effectue des nouvelles tentatives.

UPay Business annonce un délai d'environ cinq minutes pour le règlement des cryptomonnaies, soit « ~ 5 minutes » contre 1 à 5 jours ouvrables pour les systèmes traditionnels, tandis que sa page de paiement en cryptomonnaie indique que le règlement sur la blockchain « peut être effectué en temps réel, tandis que le règlement en monnaie fiduciaire est généralement de T+0 ou T+1, selon le canal de paiement », le règlement bancaire étant indiqué comme étant de T+1.

Le délai indiqué correspond au traitement sur la blockchain, tandis que le délai T+0 ou T+1 correspond au paiement en monnaie fiduciaire. Il est donc important de vérifier sur quelle étape de votre transaction se termine réellement. UPay publie également le seul indicateur de retour sur investissement dans cette catégorie : une économie de 20 000 à 50 000 dollars américains par million de transactions traitées par rapport aux systèmes bancaires traditionnels.

La conformité dont vous héritez

Cette technologie fonctionne par sprints. Le dossier de conformité prend un trimestre et fixe votre date de lancement.

Vérification d'identité. L'émission de cartes est une activité réglementée sur tous les marchés importants pour un programme de cartes ; par conséquent, chaque titulaire est vérifié avant l'émission de sa carte. UPay met à disposition des points de terminaison pour la soumission, la consultation et le suivi de la demande ; votre produit doit donc afficher un état intermédiaire entre « Demande en cours » et « Demande approuvée ».

Notre document explicatif sur la conformité KYC (Know Your Customer) dans le secteur des cryptomonnaies décrit en quoi consistent ces contrôles.

Surveillance des transactions et sanctions. Le filtrage s'effectue sur les noms et, pour les cryptomonnaies, sur les adresses de portefeuilles. L'Office of Foreign Assets Control (OFAC) du Trésor américain inscrit les adresses de monnaies virtuelles sur sa liste de sanctions depuis 2018 ; une adresse constitue donc un identifiant vérifiable au même titre qu'un nom.

UPay divulgue la liste de ses partenaires d'infrastructure, contrairement à la plupart des fournisseurs : vérification d'identité avec Sumsub ( annoncée en mai 2024) , règlement des stablecoins avec StraitsX et infrastructure cloud avec Tencent Cloud. Ces trois services sont listés sur UPay Business sous la rubrique « S'appuie sur des partenariats mondiaux de confiance ». Les partenaires nommés sont vérifiables ; l'« infrastructure de niveau entreprise » ne l'est pas.

La règle du transfert de fonds. Aux États-Unis, l'article 1010.410(f) du titre 31 du Code des réglementations fédérales (31 CFR 1010.410(f)) exige que les informations relatives à l'expéditeur et au bénéficiaire soient transmises lors de transferts de fonds d'un montant égal ou supérieur à 3 000 dollars américains. Cette règle est antérieure aux cryptomonnaies et s'applique à celles-ci.

La sécurité des données des cartes bancaires est assurée par la norme PCI DSS ( Payment Card Industry Data Security Standard). Le Conseil des normes de sécurité de l'industrie des cartes de paiement (PCI SSC) a mis hors service la version 4.0 le 31 décembre 2024 ; la version 4.0.1 est donc désormais la seule version active.

Parmi les 64 exigences introduites dans la version 4.x, 51 étaient prévues pour le futur et sont entrées en vigueur le 31 mars 2025 ; une évaluation effectuée aujourd'hui porte donc sur l'ensemble complet et non sur l'ensemble transitoire.

L'utilisation des champs de cartes hébergés par un fournisseur restreint votre périmètre d'intervention. Cela ne le supprime pas, et la question que votre auditeur vous posera sera : quels champs votre propre code modifie-t-il ?

Licences. Demandez la liste et vérifiez-la auprès des registres officiels plutôt que sur la page marketing. UPay indique posséder une licence d'opérateur de services de transfert d'argent à Hong Kong, un accord de principe en tant que fournisseur de services d'actifs virtuels en Lituanie, ainsi que des enregistrements d'entreprises de services de transfert d'argent aux États-Unis et au Canada.

UPay a publié les identifiants de ces deux entités : 31000257909666 pour l’enregistrement américain et M24993747 pour l’enregistrement canadien. Vérifiez-les vous-même sur le site FinCEN’s MSB Registrant Search et le registre des entreprises de services monétaires de FINTRAC. Si l’une de ces recherches ne vous permet pas de trouver l’entité avec laquelle vous contractez, demandez-en la raison avant de poursuivre.

Les deux pages du site web d'UPay ne sont pas cohérentes à ce sujet. Sa page d'accueil indique que les quatre licences sont détenues ; sa page « À propos » les présente toujours dans une chronologie intitulée « Objectifs et projets » comme des licences à obtenir, datées du troisième trimestre 2023 et du premier trimestre 2024, aux côtés d'une licence de fiducie qui n'est pas mentionnée sur la page d'accueil.

C’est le fonctionnement habituel du marketing des vendeurs, et c’est pourquoi la caisse enregistreuse plutôt que la page web est la solution.

Défis liés à l'utilisation des API d'émission de cartes cryptographiques

Les règles varient selon le marché et la nationalité. Une seule API ne donne pas accès à un seul produit. Les listes de sanctions, les règles du réseau et la liste des pays autorisés par le fournisseur limitent tous les clients que vous pouvez servir.

Le risque de conversion ne disparaît pas, il se déplace. La conversion dès l'autorisation concentre l'exposition du client dans les secondes qui entourent chaque achat. Sur un actif de financement volatil, une baisse d'un solde qui semblait suffisant une heure auparavant nécessite une demande d'assistance, et non un bug.

Vous vous occupez toujours de la partie la plus fastidieuse : la gestion des API, des relevés, des litiges, du processus 3-D Secure, des rappels de rechargement et de l’exportation des informations fiscales. Les équipes se concentrent sur les points de terminaison et négligent le reste du produit.

Vos clients ont besoin d'explications. Une carte alimentée depuis un portefeuille électronique est refusée en cas de solde insuffisant, sans découvert autorisé ni rechargement automatique. Indiquez-le lors de l'inscription plutôt que dans les conditions générales.

Vous bénéficiez de la stabilité du fournisseur. Un programme de cartes n'est pas un service que vous pouvez remplacer en un week-end. Renseignez-vous sur ce qui arrive aux cartes actives si le fournisseur change de partenaire émetteur.

Que vérifier avant de signer

Quels marchés et selon quels critères ? L’éligibilité à la carte est déterminée par la nationalité et non par le lieu de résidence, et varie selon la carte. La carte Premier d’UPay refuse les demandes provenant d’une longue liste de pays et territoires, pour la plupart inhabités ou faisant l’objet de litiges.

Sa carte Platinum refuse les demandes provenant d'une liste beaucoup plus restreinte, mais cette liste comprend notamment les États-Unis, la Chine, l'Inde, l'Indonésie, le Pakistan, le Vietnam, la Turquie, l'Arabie saoudite et Israël. C'est cette liste restreinte qui met fin aux transactions, et les deux cartes interdisent d'emblée les nationalités sous sanctions.

UPay met à jour sa liste et précise qu'elle est basée sur les listes de Visa et les principales listes mondiales de risques réglementaires et de sanctions. Consultez donc la version actuelle sur son centre d'aide.

Qui est l'émetteur ? Les cartes UPay sont émises par des institutions partenaires et non par UPay elle-même, et c'est cette entité qui définit les règles régissant votre programme.

UPay a désigné JC Credit Limited comme émetteur de sa carte de crédit hongkongaise, dont les conditions générales font référence à Mastercard. Ses cartes Premier et Platinum actuelles, ainsi que son service Business API, fonctionnent avec Visa. Renseignez-vous auprès de l'organisme émetteur de votre carte.

Quel est le taux applicable ? Demandez quel est le taux appliqué lors de l’autorisation, quelle marge est appliquée et qui supporte la différence entre l’autorisation et le règlement.

Comment se désengager ? Renseignez-vous sur le sort de vos clients titulaires de cartes en cas de départ, sur le propriétaire des identifiants tokenisés et sur les délais de préavis applicables. La réponse se trouve rarement dans la documentation.

Vous privilégiez les fournisseurs aux mécanismes ? Notre guide des plateformes d’émission de cartes crypto pour startups les compare, et notre article sur l’infrastructure de paiement crypto B2B aborde la question du règlement.

Ce qui prend réellement du temps

Un premier déploiement réaliste dure de trois à quatre mois, et la phase d'ingénierie est minime : elle se compte en semaines, tandis que le dossier de conformité prend un trimestre. Ces deux durées sont des estimations de travail et non des chiffres publiés.

La vérification des informations relatives à une entité à structure de propriété complexe est l'étape qui prend le plus de temps. Préparez les documents de constitution, l'organigramme de la propriété et les pièces d'identité des administrateurs.

Après cela, ce sont les décisions qui priment sur le code : quels contrôles de dépenses exposer, que fait le support lorsqu’une carte est refusée à une pompe à essence en raison d’une préautorisation, et comment un client recharge un solde épuisé.

L'intégration en elle-même est la partie la plus courte, et c'est ce que notre guide d'intégration de l'API de passerelle de paiement détaille.

FAQ

L'intégration d'une API d'émission de cartes crypto est-elle difficile ?

L'intégration n'est pas le plus difficile. La documentation, un environnement de test et les webhooks permettent de réaliser l'ingénierie en quelques semaines. La validation par votre entreprise, l'approbation de la conformité et les conditions commerciales fixent la date de mise en service.

Ai-je besoin de ma propre licence pour émettre des cartes via une API ?

En règle générale, non : le fournisseur et son partenaire émetteur détiennent les licences, et vous agissez en tant que gestionnaire de programme en vertu de leurs autorisations. Il s’agit d’une position commerciale plutôt que d’un avis juridique ; il convient donc de la confirmer pour chaque marché où vous êtes présent.

Comment une carte crypto gère-t-elle les fluctuations de prix entre l'achat et le règlement ?

Le prestataire effectue la conversion dès l'autorisation, le solde étant alors débité du taux en vigueur à ce moment-là. L'écart entre l'autorisation et le règlement est reporté, et le contrat précise où.

Quelle est la différence entre l'émission de cartes et une passerelle de paiement ?

Une passerelle de paiement vous permet d'accepter les paiements de vos clients. L'émission de cartes leur fournit une carte pour effectuer leurs achats. Même principe, problèmes inverses : de nombreuses entreprises souhaitent les deux.

Puis-je émettre des cartes à des clients n'importe où ?

Non. Un programme de cartes comporte une liste de pays et de nationalités qu'il ne peut pas desservir, en raison des sanctions et des règles du réseau. Consultez la liste à jour avant d'étudier un marché.