Obtenir agrément BAM (établissement de paiement ou société de transfert de fonds), développer plateforme conforme PCI-DSS Level 1, intégrer acquéreurs (CMI, banques), mettre en place KYC/AML, déployer infrastructure haute disponibilité (AWS/Azure), audit sécurité annuel.

Architecture microservices : API Gateway (Kong/Apigee), service transaction (Node.js/Go), tokenization vault (HSM), anti-fraude (ML), webhooks, retry queue (Redis), base transactions (PostgreSQL), logs (ELK), monitoring (Grafana), backup temps réel. Hébergement dual DC Maroc + Cloud.

PCI-DSS Level 1 (audit annuel), tokenization carte (pas de stockage PAN), 3D Secure 2 (SCA), chiffrement TLS 1.3, HSM pour clés, anti-fraude ML (taux acceptation 95%), monitoring fraude temps réel, 2FA, biométrie, IP whitelisting, rate limiting.

Acquéreurs : CMI, banques marocaines (BMCE, BMCI, Attijariwafa bank, CIH). Wallet : Orange Money, Cash Plus, Wafacash. International : Stripe, PayPal (si autorisé BAM). KYC/AML : DGSN API, registre commerce, scoring crédit.

Le développement comprend plusieurs phases : MVP wallet (prototype fonctionnel), puis payment gateway complet avec toutes les fonctionnalités. Infrastructure requise : hébergement sécurisé, certification PCI-DSS, audits réguliers. Conformité Bank Al-Maghrib : dossier juridique, audits, processus. Délai global : 6-12 mois selon le périmètre.

Pour intégrer CMI (Centre Monétique Interbancaire) au Maroc : 1) Ouvrir compte marchand chez Attijariwafa Bank (2-4 semaines), 2) Recevoir Client ID et Store Key, 3) Développer initialisation paiement avec hash SHA512, 4) Créer callback server-to-server HTTPS, 5) Tester en sandbox, 6) Passer en production. VOID propose un guide complet avec code JavaScript, PHP, Python, Java prêt à l'emploi sur cette page.

Coûts à prévoir : compte marchand CMI (gratuit), développement intégration (5-15 jours développeur selon complexité), frais transaction CMI par paiement (négociable avec AWB, généralement 1,5-2,5% + frais fixe). VOID peut intégrer CMI sur votre site : devis sur demande. Budget typique : 30K-80K MAD pour intégration complète incluant tests, sécurisation, monitoring.

CMI : cartes bancaires marocaines uniquement, 3D Secure obligatoire, compte marchand requis (délai 2-4 semaines), frais négociables, support local AWB, conformité CNDP. Stripe : cartes internationales, onboarding rapide, frais fixes 2,9% + 0,30$, pas de compte marchand, API moderne. Recommandation : CMI pour B2C Maroc (obligatoire pour cartes locales), Stripe en complément pour international si autorisé.

Le hash SHA512 sécurise les échanges avec CMI en garantissant l'intégrité des données et l'authentification mutuelle. Calcul : tous les paramètres triés alphabétiquement + Store Key, hashés en SHA512 puis encodés base64. Si le hash ne correspond pas côté CMI ou dans le callback, la transaction est refusée (protection contre la falsification). Critical : ne jamais exposer la Store Key côté client, uniquement côté serveur.