GUIDE MONDIAL DES AUTOR. DES OPÉR. DE CRÉDIT D AMERICAN EXPRESS POUR SERVICES WEB (FORMAT XML) NOV. 2010

Transcription

1 GUIDE MONDIAL DES AUTOR. DES OPÉR. DE CRÉDIT D AMERICAN EXPRESS POUR SERVICES WEB (FORMAT XML) NOV SERVICES AUX MARCHANDS MONDIAL

2 American Express Travel Related Services Company, Inc. Tous droits réservés. Le présent document contient des secrets commerciaux ainsi que des renseignements confidentiels et sensibles, et aucune partie ne doit être divulguée à un tiers ni reproduite sous quelque forme que ce soit ni par aucun moyen, électronique ou mécanique, y compris un système d archivage et de recherche d information, sans le consentement préalable écrit et explicite d American Express Travel Related Services Company, Inc.

3 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) Demande de clarification sur le document Suivez les instructions ci-dessous pour nous signaler qu une partie du texte doit être clarifiée ou qu elle comporte une erreur selon vous. Envoyez un courriel avec vos questions ou vos commentaires à «SpecQuestions@aexp.com» et fournissez les renseignements suivants : Renseignements sur le demandeur : Date de la demande Nom, titre et adresse électronique Entreprise Adresse de l entreprise Numéro de téléphone de la personne-ressource Nom du représentant ou de la personne-ressource d American Express Titre des spécifications Date de parution des spécifications Numéro de la page Numéro de la section Vous pouvez aussi envoyer une copie de la page visée du document. Vous recevrez une confirmation que nous avons reçu votre demande dans les trois à cinq jours ouvrables. Toute modification, correction ou clarification sera intégrée à la prochaine version du document. Pour toute question sur les modifications apportées aux fonctions existantes, communiquez avec votre représentant American Express. Novembre 2010 POS ( ) i

4 GMAOC pour services Web (Format XML) Rens. priv. et conf. d American Express Page intentionnellement laissée en blanc. ii POS ( ) Novembre 2010

5 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) Table des matières Avant-propos... vii Méthodes de communication... viii Structure... ix Documents connexes... x 1.0 Introduction à l autorisation des opérations de crédit Aperçu Lignes directrices d American Express sur les autorisations Autorisations en ligne Communication sans l intervention d un autorisateur File d attente «Appelez S.V.P.» File d attente mode de communication sans l intervention d un autorisateur File d attente mode de communication avec l intervention d un autorisateur Directives relatives à l acceptation des Cartes Autres services d autorisation Services de vérification Services de vérification électronique Vérification du numéro d identification de la Carte (NIC) Vérification automatique de l adresse (VAA) Vérification du numéro de téléphone Vérification de l adresse électronique Service SafeKey MS d American Express Règlement financier Programmes d autorisation partielle d une opération par Carte prépayée et d autorisation avec affichage du solde Carte à puce Annexe Redressement du montant autorisé Planification de la mise en œuvre Aperçu de la planification de la mise en œuvre Responsabilités en matière de développement Étapes de développement Exigences matérielles Novembre 2010 POS ( ) iii

6 GMAOC pour services Web (Format XML) Rens. priv. et conf. d American Express Table des matières 2.5 Options de communication Formats des messages Format de message ISO Demande d autorisation/un moment s.v.p./réponse Demande d annulation et réponse Lignes directrices sur la certification des systèmes des marchands Éléments de données du Guide mondial des autorisations des opérations de crédit Structure d un fichier XML Description des éléments de données Description des éléments de données du message 1100 (MsgTypId = 1100) Description des éléments de données du message 1110 (MsgTypId = 1110) Description des éléments de données du message 1420 (MsgTypId = 1420) Description des éléments de données du message 1430 (MsgTypId = 1430) Tableaux d utilisation des éléments de données selon les messages Tableau d utilisation des éléments de données du message 1100 (MsgTypId = 1100) Tableau d utilisation des éléments de données du message 1110 (MsgTypId = 1110) Tableau d utilisation des éléments de données du message 1420 (MsgTypId = 1420) Tableau d utilisation des éléments de données du message 1430 (MsgTypId = 1430) Tests de validation des données et de certification Tests de validation des données Numéros d établissement de compte du titulaire valides Vérification du chiffre de contrôle Calcul du chiffre de contrôle du numéro d établissement (Modulo 9) Calcul du chiffre de contrôle du numéro du compte-carte (Modulo 10) Tests de certification Annexe Formats de bandes magnétiques American Express Norme ANSI X Norme ISO Formats de message de la piste 1 ANSI X4.16 / ISO Formats de message de la piste 2 ANSI X4.16 / ISO iv POS ( ) Novembre 2010

7 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) Table des matières 5.2 Formats des pseudo-bandes magnétiques Expresspay Codes de catégorie de marchand (MCC) Codes de pays et de devises Codes de pays Codes de devises Régions d American Express Codes de rues Plages de numéro de compte ISO Table de conversion des codes EBCDIC et ASCII Liste des mises à jour Figures 1-1 Communication sans l intervention d un autorisateur File d attente pour le mode de communication sans l intervention d un autorisateur File d attente pour le mode de communication avec l intervention d un autorisateur Étapes de la mise en œuvre de l application d autorisation Échange de messages d autorisation ISO Échange de message d annulation ISO Novembre 2010 POS ( ) v

8 GMAOC pour services Web (Format XML) Rens. priv. et conf. d American Express Page intentionnellement laissée en blanc. vi POS ( ) Novembre 2010

9 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) Avant-propos Le Guide mondial des autorisations des opérations de crédit pour services Web a été rédigé pour les programmeurs des marchands (établissements de services et fournisseurs de liaisons hôtes), des sociétés de traitement indépendantes (sociétés de traitement autorisées, fournisseurs de passerelles et maîtres marchands) et des fournisseurs de logiciels (développeurs indépendants) pour les aider à concevoir des interfaces hôtes ou des interfaces pour ordinateur personnel pour les communications avec les systèmes d American Express. Attention : la présente version du Guide mondial des autorisations des opérations de crédit s adress à tous les marchands, sociétés de traitement indépendantes et fournisseurs de logiciels qui entrent en communication avec un système frontal d American Express. Le présent guide fournit des instructions pour le développement de logiciels appelés à communiquer avec le système d autorisation des opérations de crédit d American Express. Il aidera les programmeurs à coder le logiciel conformément aux exigences d American Express. Les marchands autorisés et les sociétés de traitement qui respectent ces spécifications et qui réussissent nos tests de certification pourront avoir accès au réseau mondial d American Express afin de faire autoriser des opérations financières. L utilisation de ces spécifications avant l obtention d une certification est interdite. Les utilisateurs sont souvent classés selon leur pays, ce qui permet de régionaliser les exigences en matière d éléments de données et de certification. Si aucune mention n indique qu une exigence est spécifique à un pays ou à une région, la configuration prévue pour l échelle mondiale s applique. Sinon, les pays et (ou) les régions visés sont indiqués. Voici les acronymes utilisés pour décrire les régions : Canada Canada EMOA Europe, Moyen-Orient et Afrique APA Asie-Pacifique et Australie ALA Amérique latine et Antilles É.-U. États-Unis Pour la liste complète des régions et des pays visés, consultez la section Régions d American Express à la page 376. Novembre 2010 POS ( ) vii

10 GMAOC pour services Web (Format XML) Rens. priv. et conf. d American Express Méthodes de communication La présente section précise comment les changements apportés aux spécifications techniques sont communiqués. Parution semestrielle Le Réseau American Express publie les spécifications techniques deux fois par année, soit en avril et en octobre. Les changements apportés qui requièrent des mises à jour techniques pour être mis en œuvre ou pris en charge, ainsi que toute exigence relative à la certification et les dates de conformité, seront communiqués six mois avant leur publication dans un Avis de changements apportés aux spécifications. Des bulletins techniques peuvent aussi être utilisés pour communiquer des changements apportés en-dehors des dates de parution d avril et d octobre. Avis de changements apportés aux spécifications Les avis de changements apportés aux spécifications sont aussi diffusés deux fois par année, soit en avril et en octobre. Chaque numéro présente les modifications qui seront apportées aux fonctions ou aux caractéristiques existantes ainsi que les fonctions et les caractéristiques qui seront ajoutées. Ces changements et ces ajouts seront intégrés à la prochaine version des spécifications techniques. Ainsi, les changements publiés dans l Avis de changements apportés aux spécifications d avril seront intégrés à la version d octobre des spécifications techniques. Et les changements publiés dans l Avis de changements apportés aux spécifications d octobre seront intégrés à la version d avril des spécifications techniques. Bulletins techniques American Express communiquera tout changement apporté en-dehors des parutions d avril et d octobre dans des bulletins techniques. Ceux-ci fournissent habituellement le même degré de renseignements que les avis de changements apportés aux spécifications, y compris une description du changement et les incidences technique et commerciale que le changement pourrait avoir pour les clients. Les bulletins techniques peuvent aussi fournir des renseignements sur les modifications, les corrections et les clarifications annoncées dans des spécifications techniques précédentes. Les changements expliqués dans les bulletins techniques seront intégrés à la prochaine version des spécifications techniques. viii POS ( ) Novembre 2010

11 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) Structure Le présent document est divisé en cinq sections : 1.0 Introduction à l autorisation des opérations de crédit Elle précise les services d autorisation fournis par American Express. 2.0 Planification de la mise en œuvre Elle fournit des renseignements détaillés utiles pour la gestion du développement et de la mise en oeuvre du logiciel du marchand. 3.0 Éléments de données du Guide mondial des autorisations des opérations de crédit Elle présente en détail les éléments de données utilisés dans les différents messages de demande et de réponse. 4.0 Tests de validation des données et de certification Elle explique les différents tests exigés par American Express et résume le processus utilisé par American Express pour tester le logiciel d un marchand. Les différents aspects qu un marchand doit prendre en compte au moment de se préparer à un test y sont aussi abordés. 5.0 Annexe Elle indique les formats de message à utiliser pour les pistes 1 et 2, les codes de secteurs d activité pour l acceptation de la Carte et les codes de pays et de devises qui sont pris en charge ou définis par American Express. 6.0 Liste des mises à jour Cette section fournit un aperçu condensé de tous les changements apportés au Guide mondial des autorisations des opérations de crédit. Novembre 2010 POS ( ) ix

12 GMAOC pour services Web (Format XML) Rens. priv. et conf. d American Express Documents connexes Guide mondial des règlements financiers American Express Guide mondial des autorisations des opérations de crédit Services Web Annexe Redressement du montant autorisé Guide de transmission Protocole HTTPS Passerelle de paiement IP Services Web (POS020052) Guide de transmission Protocole SOAP Passerelle de paiement IP Services Web (POS020053) Spécifications Carte à puce AEIPS Spécifications Terminal traitant les opérations AEIPS Acquirer Chip Card Implementation Guide (document en anglais seulement) Mise en œuvre de l acceptation des Cartes à puce American Express sur un terminal Expresspay 2.0 Spécifications pour le terminal Expresspay 2.0 Spécifications pour la Carte Expresspay 2.0 Spécifications pour la Carte Annexe pour les interfaces doubles Expresspay 2.0 Protocole de communication International Standard ISO 8583:1993, Financial Transaction Card Originated Interchange Messages Interchange Message Specifications (document en anglais seulement) International Standard ISO/IEC 7813, Identification Cards Financial Transaction Cards (Track I and Track II Specifications) (document en anglais seulement) American National Standards Institute ANSI X4.16, Financial Transaction Cards Magnetic Stripe Encoding (document en anglais seulement) American Express SafeKey SM Acquirer Merchant Implementation Guide (document en anglais seulement) x POS ( ) Novembre 2010

13 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) 1.0 Introduction à l autorisation des opérations de crédit 1.1 Aperçu Le système d autorisation du crédit d American Express permet aux marchands et aux sociétés de traitement indépendantes de faire autoriser des opérations financières pour les produits suivants : Cartes American Express Cartes émises sur le réseau d American Express Cartes prépayées American Express Autres cartes servant aux opérations financières (MasterCard, VISA, Diners Club, JCB). Remarque : American Express ne permet que le réacheminement des demandes relatives aux autres cartes qu American Express. Chèques de Voyage American Express Le marchand ou la société de traitement indépendante doit concevoir un logiciel d autorisation permettant de recueillir des données au point de vente (PdV), de la façon choisie par son équipe de développement, et de présenter ces données à American Express dans le format prescrit dans le présent document. Le système d autorisation du crédit offre les services suivants à l égard des produits qu il accepte : Autorisations en ligne Un marchand qui utilise le service d autorisation en ligne peut transmettre une demande d autorisation et recevoir la réponse au cours de la même session. Autres services d autorisation Un marchand peut utiliser le système d autorisation American Express pour traiter les opérations par d autres cartes, ainsi que par Chèques de Voyage American Express. Les demandes d autorisation relatives aux autres cartes qu American Express sont transmises à l émetteur de cartes approprié. American Express traite les demandes d autorisation pour les opérations par Chèques de Voyage. Services de prévention de la fraude Un marchand peut envoyer, avec la demande d autorisation, des éléments de données importants pouvant aider à prévenir la fraude au point d autorisation. Ces services comprennent la vérification automatique de l adresse (VAA), le NIC/C4C, la piste 1, l autorisation plus poussée, les outils pour les maîtres marchands et les sociétés pétrolières, ainsi que le code du terminal. Novembre 2010 POS ( ) 1

14 GMAOC pour services Web (Format XML) Rens. priv. et conf. d American Express 1.1 Aperçu (suite) Autorisations des opérations par Carte prépayée Des autorisations partielles permettent à un marchand d accepter et de traiter une demande d autorisation relative aux Cartes prépayées American Express peu importe le solde résiduel de la Carte. Ces opérations sont normalement refusées en raison d une insuffisance de fonds sur la Carte prépayée American Express. Toutefois, les systèmes qui ne permettent pas le fractionnement des opérations (requis pour les autorisations partielles) peuvent recevoir un message de réponse indiquant le solde résiduel (autorisation avec affichage du solde) afin que le client puisse choisir de présenter une nouvelle demande pour un montant inférieur ou égal au solde disponible; il peut également choisir un autre mode de paiement pour l opération. Préautorisations Toute demande d autorisation (1100) utilisée comme préautorisation sera traitée comme une opération normale d autorisation. Autorisations des opérations par cartes VISA, MasterCard et autres cartes bancaires De brèves directives de traitement pour les opérations par les autres cartes qu American Express prises en charge par le réseau sont incluses dans ce guide. Cependant, cette information est fournie aux marchands qui passent par le réseau d acceptation et de traitement des opérations par Carte American Express pour acheminer leurs opérations vers un réseau externe durant les interruptions de service des réseaux des cartes bancaires. Il ne s agit pas d une voie de rechange pour le traitement normal des opérations par cartes bancaires. Cette fonction est actuellement une mesure d urgence offerte seulement aux marchands associés. Les sociétés de traitement indépendantes autorisées n y ont pas du tout accès. Les marchands doivent informer American Express de leur intention d utiliser cette fonction avant de le faire, puisque les données sur les opérations par les autres cartes qu American Express prises en charge par le réseau sont habituellement rejetées dès leur réception. De plus, American Express ne peut garantir la conformité au système d échange de données sur les cartes bancaires. Veuillez communiquer avec votre représentant d American Express. Cartes à puce Dans certains marchés, American Express émet des Cartes qui, en plus de la bande magnétique, contiennent une puce intégrée conforme aux spécifications EMV de l industrie. Ces Cartes fonctionnent soit avec une interface sans contact (Expresspay) soit avec une interface avec contact (AEIPS). Dans certains cas, la Carte peut contenir les deux types d interface, c est-àdire Expresspay et AEIPS. Quand ces Cartes sont utilisées dans un terminal acceptant les Cartes à puce certifié par American Express, des données supplémentaires doivent être intégrées au message de demande d autorisation. Pour plus de renseignements, voir la page POS ( ) Novembre 2010

15 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) 1.2 Lignes directrices d American Express sur les autorisations American Express offre une grande variété de Cartes. Certaines font l objet d un processus d autorisation différent de celui d autres cartes, comme les cartes bancaires. American Express n impose pas de limite de dépenses préétablie aux titulaires de ces Cartes. D autres produits American Express comportent une marge de crédit. Des limites fixes sont chargées dans les Cartes prépayées American Express. Pour l autorisation d une opération par un produit sans limite de dépenses préétablie, le système d autorisation du crédit d American Express tient compte des antécédents de dépenses et de paiement du titulaire. Divers autres facteurs sont pris en compte durant le processus d autorisation de l opération pour toutes les cartes, y compris le risque de fraude. 1.3 Autorisations en ligne Le processus d autorisation en ligne d American Express débute quand un titulaire utilise la Carte American Express pour acheter des biens ou des services auprès d un marchand. L achat peut se faire chez le marchand ou à distance, p. ex., par Internet, par la poste ou au téléphone. Si l achat se fait chez le marchand, la Carte est soit glissée dans le terminal point de vente afin que celui-ci puisse lire la bande magnétique, soit insérée dans un terminal lisant les Cartes à puce afin que les données inscrites puissent être lues, soit apposée sur l interface pour les opérations sans contact. Les données peuvent également être saisies manuellement. Si l achat se fait à distance, le titulaire doit fournir au marchand les données relatives à sa Carte pour que ce dernier puisse faire autoriser l opération. Une fois les renseignements obtenus, les données sont transmises à American Express. Deux services sont offerts aux marchands qui utilisent l autorisation en ligne : la communication sans l intervention d un autorisateur, la file d attente «Appelez S.V.P.» Novembre 2010 POS ( ) 3

16 GMAOC pour services Web (Format XML) Rens. priv. et conf. d American Express Communication sans l intervention d un autorisateur La communication sans l intervention d un autorisateur est la première méthode de traitement utilisée par la plupart des marchands qui acceptent la Carte American Express et qui transmettent les demandes d autorisation au système d autorisation du crédit d American Express. La communication sans l intervention d un autorisateur permet le traitement d une autorisation sans transférer (référer) électroniquement la demande à un autorisateur d American Express. Quand la demande d autorisation électronique est transmise à American Express par ce mode de communication, le système d autorisation du crédit évalue divers renseignements, comme les antécédents de dépenses, de paiement et de crédit du titulaire, ainsi que le risque associé à l opération. Si cette évaluation est concluante, le système d autorisation du crédit approuve la demande et renvoie le message «APPROUVÉE» et un code d autorisation au système du marchand. Si la demande n est pas automatiquement approuvée par le système d autorisation du crédit, un message équivalent à «REFUSÉE» ou «APPELEZ S.V.P.» est renvoyé au système du marchand. Quand le marchand reçoit un message «APPELEZ S.V.P.», l utilisateur de l appareil PdV de l établissement doit communiquer avec American Express et parler avec un autorisateur, qui autorisera ou refusera verbalement la demande. Figure 1-1 Communication sans l intervention d un autorisateur 4 POS ( ) Novembre 2010

17 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) Communication sans l intervention d un autorisateur (suite) 1. L utilisateur d un appareil PdV saisit une opération dans le système du marchand. 2. L ordinateur du marchand traite les données relatives à l opération et transmet un message de demande d autorisation au système d autorisation du crédit d American Express. 3. Le système d autorisation du crédit reçoit et traite la demande, puis envoie un message de réponse à l ordinateur du marchand. 4. L ordinateur du marchand reçoit et traite le message de réponse, puis affiche la réponse à l écran du système du marchand. 5. Si le système d autorisation du crédit approuve la demande, le message «APPROUVÉE» et un code d autorisation s affichent à l écran du système du marchand. Si le système d autorisation du crédit refuse la demande, un message équivalent à «REFUSÉE» s affiche à l écran du système du marchand. Si le système d autorisation du crédit ne peut prendre de décision, le message «APPELEZ S.V.P.» s affiche à l écran du système du marchand; l utilisateur de l appareil PdV doit alors communiquer avec un autorisateur d American Express, qui analysera l opération et autorisera ou refusera verbalement la demande. Novembre 2010 POS ( ) 5

18 GMAOC pour services Web (Format XML) Rens. priv. et conf. d American Express File d attente «Appelez S.V.P.» L option de file d attente «Appelez S.V.P.» est offerte pour le traitement par communication avec ou sans l intervention d un autorisateur. Le système de file d attente attribue un numéro de référence à quatre chiffres à chaque demande qui reçoit la réponse «APPELEZ S.V.P.» et place la demande dans une file d attente. Le numéro de référence est alors inclus dans le message de réponse «APPELEZ S.V.P.» transmis au système du marchand. L utilisateur de l appareil PdV communique avec American Express et fournit le numéro de référence. Selon le numéro de référence, l appel est acheminé à l autorisateur désigné, qui analyse les renseignements et autorise ou refuse l opération. Cette procédure élimine la double saisie de données au moment de l appel relatif à l autorisation. La mise en file d attente «Appelez S.V.P.» pour les communications sans l intervention d un autorisateur est expliquée dans les pages suivantes File d attente mode de communication sans l intervention d un autorisateur Figure 1-2 File d attente pour le mode de communication sans l intervention d un autorisateur 6 POS ( ) Novembre 2010

19 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) File d attente mode de communication sans l intervention d un autorisateur (suite) 1. L utilisateur d un appareil PdV saisit une opération dans le système du marchand. 2. L ordinateur du marchand traite les données relatives à l opération et transmet un message de demande d autorisation au système d autorisation du crédit d American Express. 3. Le système d autorisation du crédit reçoit et traite la demande, puis envoie un message de réponse à l ordinateur du marchand. 4. L ordinateur du marchand reçoit et traite le message de réponse, puis affiche la réponse à l écran du système du marchand. 5. Si le système d autorisation du crédit approuve la demande, le message «APPROUVÉE» et un code d autorisation s affichent à l écran du système du marchand. 6. Si le système d autorisation du crédit n approuve pas ou refuse la demande et que le marchand n est pas autorisé à recevoir des réponses de refus, un numéro de référence est attribué au message de réponse «APPELEZ S.V.P.». La demande est placée dans la file d attente pour que les autorisateurs d American Express y aient facilement accès. 7. Le message de réponse «APPELEZ S.V.P.» (avec le numéro de référence) est transmis au système du marchand, qui les affiche à l écran du système du marchand. 8. L utilisateur de l appareil PdV communique avec American Express et fournit le numéro de référence. Ce numéro met l utilisateur en communication avec un autorisateur d American Express. Novembre 2010 POS ( ) 7

20 GMAOC pour services Web (Format XML) Rens. priv. et conf. d American Express File d attente mode de communication avec l intervention d un autorisateur Figure 1-3 File d attente pour le mode de communication avec l intervention d un autorisateur 1. L utilisateur d un appareil PdV saisit une opération dans le système du marchand. 2. L ordinateur du marchand traite les données relatives à l opération et transmet un message de demande d autorisation au système d autorisation du crédit d American Express. 3. Le système d autorisation du crédit reçoit et traite la demande, puis envoie un message de réponse à l ordinateur du marchand. 4. L ordinateur du marchand reçoit et traite le message de réponse, puis affiche la réponse à l écran du système du marchand. 5. Si le système d autorisation du crédit approuve la demande, le message «APPROUVÉE» et un code d autorisation s affichent à l écran du système du marchand. 8 POS ( ) Novembre 2010

21 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) File d attente mode de communication avec l intervention d un autorisateur (suite) 6. Si le système d autorisation du crédit n approuve pas la demande, celle-ci est transmise à un autorisateur. L autorisateur analyse la demande et les antécédents du titulaire de la Carte en matière de paiement et de dépenses. 7. Si l autorisateur approuve la demande, le message «APPROUVÉE» et un code d autorisation sont transmis à l ordinateur du marchand. Cet ordinateur traite la réponse d American Express et envoie le message au système du marchand. 8. Si l autorisateur n approuve pas automatiquement la demande, un numéro de référence est attribué au message de réponse «APPELEZ S.V.P.». La demande est placée dans la file d attente pour que les autorisateurs d American Express y aient facilement accès. 9. Le message de réponse «APPELEZ S.V.P.» (avec le numéro de référence) est transmis à l ordinateur du marchand, qui les affiche à l écran du système du marchand. 10. L utilisateur de l appareil PdV communique avec American Express et fournit le numéro de référence. Ce numéro met l utilisateur en communication avec un autorisateur d American Express. 11. Après avoir analysé la demande et les antécédents du titulaire de la Carte en matière de dépenses et de paiement, l autorisateur approuvera ou refusera verbalement la demande. Novembre 2010 POS ( ) 9

22 GMAOC pour services Web (Format XML) Rens. priv. et conf. d American Express 1.4 Directives relatives à l acceptation des Cartes Les normes de création des bandes magnétiques des Cartes American Express prévoient la présence de données non définies dans les critères de mise en œuvre des formats ANSI X4.16 et ISO 7813 actuellement publiés. Les champs de données actuellement utilisés pour les bandes magnétiques ne seront pas déplacés; toutefois, des champs discrétionnaires ou non utilisés pourraient être redéfinis en vue de leur utilisation avec d autres Cartes American Express. Ainsi, les définitions de champs à la section 5.1 ne sont données qu à titre de référence et peuvent ne pas tenir compte de toutes les variations de Cartes American Express existantes. C est pourquoi, quand les données de la piste 1 et (ou) de la piste 2 sont lues sur la bande magnétique, la banque administratrice, ses appareils, ses systèmes, ses logiciels et ses fournisseurs ainsi que les sociétés de traitement indépendantes devraient saisir tous les caractères situés entre la sentinelle de début et la sentinelle de fin, enlever les sentinelles et le contrôle de parité longitudinale et envoyer les données restantes à American Express dans l élément de données CardTrack1- Data ou CardTrack2Data approprié sans tenir compte des tailles indiquées à la section 5.1. Pour plus de renseignements, voir Formats des bandes magnétiques American Express débutant à la page 312. Si le système du marchand peut saisir les pistes 1 et 2, les deux doivent être envoyées. Si une seule piste peut être saisie, la piste 1 est à privilégier (voir page 94). Pour les systèmes qui ne saisissent que la piste 2, celle-ci peut être envoyée à la place de la piste 1, bien que cela soit moins souhaitable (voir page 76). American Express exige que tous les marchands et fournisseurs de services, conformément à la convention Acceptation de la Carte et aux ententes de service, respectent les Lignes directrices opérationnelles sur la sécurité des données American Express. Ces lignes directrices requièrent que les marchands se conforment aux normes de sécurité des données du secteur des cartes de paiement afin de traiter, de stocker ou de transmettre des renseignements relatifs au paiement du titulaire de la Carte. Pour plus de renseignements sur les Lignes directrices opérationnelles sur la sécurité des données American Express et les normes de sécurité des données du secteur des cartes de paiement, consultez le site Au moment de la certification, les marchands doivent démontrer qu ils sont en mesure de transmettre les éléments de données CardTrack1Data et (ou) CardTrack2Data pour toutes les opérations avec présentation de la Carte, y compris celles effectuées avec Expresspay. Pour les opérations AEIPS, l élément de données CardTrack2Data doit être fourni pour toutes les opérations. Les sociétés de traitement indépendantes autorisées et les fournisseurs de logiciels doivent également démontrer cette aptitude. Après la certification, les marchands, les sociétés de traitement indépendantes et les fournisseurs de logiciels doivent envoyer, dans le(s) élément(s) de données approprié(s), toutes les données de la piste fournies au point de vente. Les caractères espaces ne doivent pas être effacés. Il ne faut pas non plus compléter les données afin d uniformiser la taille des pistes; elles doivent être transmises comme elles ont été lues. 10 POS ( ) Novembre 2010

23 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) 1.4 Directives relatives à l acceptation des Cartes (suite) Le message de demande d autorisation (1100) contient des éléments de données qui décrivent la capacité de traitement au point de vente (l élément à balises PointOfServiceData et les sous-éléments connexes). Les marchands et les sociétés de traitement indépendantes doivent s assurer que les données d autorisation comprises dans l élément à balises PointOfServiceData et les sous-éléments connexes sont exactes. Plus particulièrement, l exactitude des éléments CardPresentCd, CMPresentCd et CardDataInpModeCd peut influer considérablement sur le traitement du message, réduire les interruptions au PdV et maximiser la satisfaction du client. Pour plus de renseignements, veuillez communiquer avec votre représentant American Express. 1.5 Autres services d autorisation American Express offre à ses marchands des services d autorisation pour les opérations portées à d autres produits que les Cartes American Express : autorisation des opérations par d autres cartes qu American Express, vérification des Chèques de Voyage American Express, et autorisation des opérations par Cartes prépayée. American Express transmettra les opérations MasterCard, VISA, Diners Club et JCB à l émetteur de carte approprié pour autorisation et renverra la réponse de ce dernier au système du marchand à son établissement. Les Chèques de Voyage American Express peuvent être vérifiés au moyen du système American Express pour s assurer qu il ne s agit pas de chèques perdus ou volés. Les opérations réglées par des produits prépayés American Express peuvent être autorisées par l entremise du système American Express. Voir page 17. Novembre 2010 POS ( ) 11

24 GMAOC pour services Web (Format XML) Rens. priv. et conf. d American Express 1.6 Services de vérification American Express offre aux marchands nombre d outils pour vérifier des renseignements par voie électronique au cours du processus d autorisation des opérations sans présentation de la Carte. Ces outils permettent de comparer les renseignements fournis par le client avec ceux contenus dans les dossiers de l émetteur. American Express recommande d utiliser ces outils de vérification conjointement avec d autres outils de réduction de la fraude, comme le service supérieur d autorisation, en multicouche, pour aider le marchand à réduire les risques de fraude. Ces outils ne garantissent d aucune façon que l opération est faite de bonne foi ou qu un débit compensatoire ne sera pas inscrit au compte du marchand. Les présentes spécifications ne fournissent de l information que sur les services de vérification électronique. Pour obtenir des renseignements sur les autres services de vérification, veuillez communiquer avec votre représentant American Express. Pour toute question sur les lignes directrices sur le traitement des opérations aux États-Unis, veuillez consulter le document American Express Merchant Regulations U.S. Service supérieur d autorisation Le service supérieur d autorisation contribue à réduire les risques de fraude avant que l opération ne soit autorisée en procédant à l analyse d éléments de données clés envoyés avec la demande d autorisation. Quand ces éléments de données supplémentaires sont transmis avec la demande d autorisation, l émetteur peut faire une évaluation du risque plus poussée et prendre une décision plus éclairée à l égard de l autorisation de l opération. Les marchands peuvent déjà saisir les éléments de données et les autres renseignements sur la Carte nécessaires pour le service supérieur d autorisation dans le cadre du processus de commande. Bien que l envoi de tous les éléments de données représente la meilleure façon d utiliser le service supérieur d autorisation, tout élément de données supplémentaire permet à l émetteur de fournir une réponse plus éclairée à la demande d autorisation. Voici des exemples d éléments de données supplémentaires utiles : Renseignements Internet Adresse IP, adresse électronique et numéro UGS (unité de gestion de stock) du produit Renseignements sur le téléphone Numéro de téléphone utilisé pour passer la commande Renseignements du transporteur aérien Nom du passager, aéroport d origine, aéroport de destination, date du voyage, itinéraire, classe de service, nombre de passagers, codes de transporteur aérien, adresse électronique et adresse IP Renseignements de livraison Adresse de livraison, code postal, code de pays, numéro de téléphone, prénom et nom de famille du destinataire et mode de livraison Remarque : Dans le message de demande d autorisation (1100), les éléments de données Internet pour le service supérieur d autorisation doivent être envoyés dans les sous-éléments de l élément CardNot- PresentData (ITD), alors que les renseignements du transporteur aérien doivent l être dans les souséléments de l élément InternetAirlineCustomer (IAC). Quant aux éléments de données pour le numéro de téléphone et les renseignements de livraison, ils doivent être envoyés dans les sous-éléments de l élément AddressVerificationData. 12 POS ( ) Novembre 2010

25 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) 1.6 Services de vérification (suite) Voici les services de vérification électronique offerts : Vérification du numéro d identification de la Carte (NIC) Vérification automatique de l adresse (VAA) Vérification du code ZIP Vérification du numéro de téléphone Vérification de l adresse électronique Services de vérification électronique Vérification du numéro d identification de la Carte (NIC) L outil de vérification du numéro d identification de la Carte (NIC, C4C ou CSC4) sert à réduire la fraude quand la Carte est glissée dans le lecteur du terminal ou que les données sont entrées manuellement sur le clavier du terminal. Un NIC est associé à chaque Carte. Les marchands demandent au titulaire le NIC de quatre chiffres imprimé sur la Carte au moment de l achat et le transmettent avec la demande d autorisation. La vérification du NIC est une façon de confirmer que l acheteur est bel et bien en possession de la Carte. Le NIC est un numéro de quatre chiffres imprimé (sans relief) sur chaque Carte American Express. Il se trouve habituellement au-dessus du numéro du compte-carte au recto de la Carte. Dans chacune des images de Carte American Express ci-dessous, le NIC est encerclé. Pour un supplément d information sur l intégration du NIC/C4C/CSC4 dans la demande d autorisation (1100), voir la page 163 et les sujets connexes aux pages 59 et 223. Pour un supplément d information sur le programme de NIC/C4C/CSC4 saisi manuellement d American Express, communiquez avec votre représentant American Express. Novembre 2010 POS ( ) 13

26 GMAOC pour services Web (Format XML) Rens. priv. et conf. d American Express Vérification automatique de l adresse (VAA) L outil de vérification automatique de l adresse compare le nom, l adresse et le code postal de facturation fournis par le client avec les renseignements de facturation que l émetteur a en dossier pour le titulaire. Les marchands, surtout ceux qui traitent des opérations sans présentation de la Carte (par exemple, où les commandes sont passées par la poste, par téléphone ou par Internet), utilisent le service VAA pour confirmer l identité du titulaire, ce qui est fait par la comparaison des renseignements fournis par le client au point de vente avec ceux que l émetteur a en dossier. Les marchands utilisent la demande d autorisation (1100) pour envoyer une demande VAA distincte ou une demande VAA avec une demande d autorisation. Pour utiliser le service VAA, le marchand envoie le nom du titulaire (tel qu il figure sur la Carte), l adresse de facturation et (ou) le code postal de facturation pour que ces renseignements soient vérifiés par l émetteur. Les systèmes de l émetteur comparent les renseignements fournis par le marchand avec les données que l émetteur a en dossier sur le titulaire et transmettent une réponse dans le sous-élément AddrCfm- RespCd de l élément AdditionalResponseData du message de réponse à la demande d autorisation (1110) indiquant si tous les renseignements sont valides ou si le nom du titulaire, l adresse de facturation et (ou) le code postal de facturation ne correspondent pas. American Express ne retourne aucun renseignement sur le titulaire au marchand. American Express encourage les marchands qui livrent physiquement des articles à utiliser le service supérieur d autorisation et à transmettre des renseignements sur l adresse de livraison dans des souséléments spécifiques de l élément AddressVerificationData de la demande d autorisation (1100). Pour un supplément d information, voir les pages 203 à 208. Données de la réponse à la demande VAA Les marchands ayant reçu une certification pour utiliser le service VAA, doivent utiliser les souséléments de l élément AddressVerificationData de la demande d autorisation (1100). Après avoir traité la demande, American Express retourne le ou les codes de réponse pour la demande VAA dans le sous-élément AddrCfmRespCd de l élément AdditionalResponseData ou dans les sous-éléments de l élément AddressValidationResponse du message de réponse à la demande d autorisation (1110) correspondant. Pour un supplément d information, voir les pages 194 à 208, 227 et 228, et 248 à POS ( ) Novembre 2010

27 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) Vérification du code ZIP Aux États-Unis, l outil de vérification du code ZIP fait partie intégrante du service VAA. Il compare le code ZIP de facturation fourni par le titulaire avec celui inscrit dans les dossiers de l émetteur. Le titulaire est invité à entrer son code ZIP de facturation au point de vente. Il faut toutefois faire attention si cet outil est mis en œuvre, car un code ZIP n est pas associé à toutes les Cartes American Express. Par exemple, aucun code ZIP n est associé à une Carte prépayée American Express non personnalisée. Si le service de vérification automatique de l adresse n est pas configuré correctement, le processus d autorisation pourrait avoir des ratés au point de vente; par exemple si aucun code ZIP n est inscrit au dossier. Données de la réponse à la demande de vérification du code ZIP Les marchands ayant reçu une certification pour le service de vérification du code ZIP doivent utiliser le sous-élément CmBillPostCd de l élément AddressVerificationData de la demande d autorisation (1100). Après le traitement de la demande d autorisation, American Express retourne le code de réponse pour la vérification du code ZIP dans le sous-élément AddrCfmRespCd de l élément Additional- ResponseData ou dans le sous-élément PostCdRespCd de l élément AddressValidationResponse du message de réponse à la demande d autorisation (1110) correspondant. Pour un supplément d information, voir les pages 194 à 197, 198, 227 à 228 et Vérification du numéro de téléphone L outil de vérification du numéro de téléphone compare le numéro de téléphone fourni par le client au point de vente avec le numéro de téléphone de facturation que l émetteur a en dossier pour le titulaire. Il aide les marchands à déterminer la validité d une opération en vérifiant des renseignements sur le titulaire qui ne figurent pas sur la Carte. Données de la réponse à la demande de vérification du numéro de téléphone Le service de vérification du numéro de téléphone est très similaire au service VAA. Toutefois, un marchand certifié transmet plutôt le numéro de téléphone de facturation dans le sous-élément CmPhoneNbr de l élément AddressVerificationData de la demande d autorisation (1100). L émetteur compare l information fournie par le marchand avec celle qu il a en dossier sur le titulaire et retourne le code de réponse pour la vérification du numéro de téléphone dans le sous-élément PhoneRespCd de l élément AddressValidationResponse du message de réponse à la demande d autorisation (1110). D autres souséléments de l élément AddressValidationResponse fournissent les résultats correspondant pour les sous-champs supplémentaires utilisés pour la vérification automatique de l adresse (c est-à-dire le code postal, l adresse et le nom de facturation du titulaire) et pour la vérification de l adresse électronique. Pour un supplément d information, voir les pages 194 à 197, 202, 253 et 248 à 254. Comme pour tous les services de vérification, American Express ne retourne aucun renseignement sur le titulaire au marchand. Novembre 2010 POS ( ) 15

28 GMAOC pour services Web (Format XML) Rens. priv. et conf. d American Express Vérification de l adresse électronique L outil de vérification de l adresse électronique compare l adresse électronique fournie par le client au point de vente avec l adresse électronique du titulaire inscrite dans les dossiers de l émetteur. Il aide les marchands à déterminer la validité d une opération en vérifiant des renseignements sur le titulaire qui ne figurent pas sur la Carte. Données de la réponse à la demande de vérification de l adresse électronique Le marchand certifié doit transmettre l adresse électronique du titulaire dans le sous-élément Cust- Addr de l élément à balises CardNotPresentData (ITD) ou InternetAirlineCustomer (IAC) du message de demande d autorisation (1100). De plus, pour recevoir un code de réponse à la demande de vérification de l adresse électronique, la valeur entrée dans le sous-élément ReqTypId de l élément VerificationInformation doit être «AE». L émetteur compare l information fournie par le marchand avec celle qu il a en dossier sur le titulaire, et retourne le code de réponse pour la vérification de l adresse électronique dans le sous-élément RespCd de l élément AddressValidationResponse du message de réponse à la demande d autorisation (1110). D autres sous-éléments de l élément AddressValidationResponse fournissent les résultats correspondant pour les sous-éléments supplémentaires de la vérification automatique de l adresse (c est-à-dire le code postal et l adresse de facturation ainsi que le nom du titulaire) et de la vérification du numéro de téléphone. Pour un supplément d information, voir les pages 102, 130, 254 et 248 à 254. Comme pour tous les services de vérification, American Express ne retourne aucun renseignement sur le titulaire au marchand Service SafeKey MS d American Express American Express a mis en place un nouveau service intitulé SafeKey, qui permet d authentifier le titulaire lors des opérations en ligne. Le service SafeKey d American Express fournit une couche de sécurité supplémentaire au moment où le titulaire entre ses renseignements de paiement pour ses opérations en ligne. Il contribue à empêcher les opérations non autorisées en ligne avant qu elles n aient lieu en confirmant l identité du titulaire grâce à l utilisation d un mot de passe ou d une valeur unique supplémentaire. Le service SafeKey d American Express s appuie sur le protocole 3-D Secure MD, lequel fourni une couche de sécurité supplémentaire aux opérations en ligne. Des modifications doivent être apportées aux messages de demande d autorisation (1100) et de réponse à la demande d autorisation (1110) pour appuyer la mise en place de ce nouveau service. Le service SafeKey d American Express peut actuellement être utilisé par les marchands (établissements et fournisseurs de liaisons hôtes), les sociétés de traitement indépendantes (sociétés de traitement autorisées, fournisseurs de passerelles et fournisseurs de services de paiement) et les fournisseurs de logiciels (développeurs indépendants) approuvés du Royaume-Uni et de Singapour. La mise en œuvre du service SafeKey American Express dans d autres pays et régions vous sera communiquée dans des parutions à venir. 16 POS ( ) Novembre 2010

29 Rens. priv. et conf. d American Express GMAOC pour services Web (Format XML) 1.7 Règlement financier Une fois que les demandes d autorisation ont été traitées par le système d autorisation du crédit d American Express (pour l autorisation des opérations de crédit et [ou] la vérification automatique de l adresse [VAA]), ces enregistrements peuvent être utilisés pour mettre à jour les données relatives à l expédition, aux stocks, aux comptes clients, etc. Ils peuvent également être équilibrés et rapprochés, puis placés dans un lot pour être transmis à American Express aux fins de règlement financier. Les données provenant des éléments suivants incluses dans les messages de demande et de réponse relativement à une autorisation approuvée devraient être conservées par le marchand, étant donné que ces renseignements sont requis pour le règlement financier : CardNbr TransAprvCd TransAmt TransId TransTs Remarque : D autres données peuvent également être exigées. Pour plus de renseignements sur les exigences en matière de données relatives au règlement financier, consultez le Guide mondial des règlements financiers American Express. 1.8 Programmes d autorisation partielle d une opération par Carte prépayée et d autorisation avec affichage du solde Les programmes d autorisation partielle d une opération par Carte prépayée et d autorisation avec affichage du solde sont conçus pour aider les marchands à fournir des renseignements sur le solde d une Carte aux titulaires de Cartes prépayées American Express au point de vente. Des messages dans le format XML sont échangés afin de déterminer les fonds disponibles et d aider le marchand à conclure dans les meilleurs délais les opérations effectuées par Cartes prépayées. Veuillez noter que les programmes d autorisation partielle d une opération par Carte prépayée et d autorisation avec affichage du solde ne s appliquent qu aux Cartes prépayées. Les marchands participants n ont pas à savoir quels produits American Express sont prépayés. Leurs systèmes d autorisation sont plutôt modifiés à l aide des spécifications afin d indiquer leur capacité à prendre en charge cette fonction. American Express renverra les renseignements spécifiés pour les opérations admissibles; sinon, les réponses seront les mêmes que celles qu ils reçoivent actuellement. American Express recommande fortement l autorisation partielle, car cette fonction permet d autoriser une demande pour le solde résiduel plutôt que de la refuser lorsque les fonds ne suffisent pas à couvrir le montant initial. Novembre 2010 POS ( ) 17