Mastercard étend sa plateforme de cartes virtuelles In Control avec de nouveaux mécanismes de sécurité, des contrôles appliqués à plusieurs étapes du paiement, et une interface de programmation unique pour relier banques, entreprises et plateformes financières. L’objectif est de faciliter l’intégration des paiements interentreprises directement dans les systèmes de gestion des ressources, de contrôle des dépenses et des comptes fournisseurs.

Les clés des nouvelles cartes virtuelles Mastercard en 30 secondes

• Mastercard introduit des limites obligatoires que les banques peuvent fixer dès la création de chaque carte virtuelle.
• Les contrôles s’appliquent aussi à la phase de compensation, après l’autorisation initiale du paiement.
• L’API Commercial Connect regroupe création de la carte et déclenchement du paiement dans une seule intégration.
• Le réseau opère dans 43 pays et gère 174 devises.
• Citibank utilise déjà ces contrôles et prévoit un déploiement international en 2026.

Une carte virtuelle génère un numéro distinct de la carte physique ou du compte principal. Elle peut être configurée pour un seul fournisseur, un montant précis, un nombre limité de transactions ou une période déterminée, ce qui la rend populaire pour payer des factures, gérer des déplacements professionnels ou régler des fournisseurs sans divulguer les identifiants réels de l’entreprise. La refonte d’In Control applique ces règles au-delà de la simple génération du numéro : banques et entreprises peuvent vérifier les limites tout au long de la transaction, y compris pendant la compensation. Le système connecte désormais émetteurs, plateformes et entreprises dans 43 pays, avec un traitement en 174 devises, sans que Mastercard précise le volume financier concerné.

Contexte et enjeux : des contrôles dès la création de la carte

La nouveauté principale s’appelle Issuer Enforced Controls. Elle permet à l’émetteur de fixer des conditions minimales dès la génération du numéro : plafond de dépense, montant maximum par transaction ou durée de validité. Ces paramètres forment une base que l’entreprise utilisatrice ne pourra pas dépasser ensuite dans son propre programme de paiements. Cette séparation compte lorsque plusieurs parties interviennent : une banque fixe les limites générales, une société impose des règles spécifiques pour ses départements, ses employés ou ses fournisseurs. Une carte destinée à régler une facture de 2 000 euros pourrait n’accepter qu’une seule opération, pour ce montant, dans un court laps de temps et pour une catégorie commerciale précise. Même exposé, le numéro deviendrait inutilisable hors de ces conditions.

Mastercard avance que la fraude sur les cartes virtuelles représente moins d’un cinquième de celle observée sur les cartes physiques, un taux qui baisserait encore avec In Control. Ce sont des données internes, sans détail sur la méthodologie ni les marchés analysés. Une exposition moindre ne rend pas ces cartes invulnérables : un fraudeur peut tenter d’utiliser un numéro valide avant expiration, falsifier une facture ou usurper l’identité d’un fournisseur. Les limites réduisent certains risques, mais les entreprises doivent continuer à vérifier les changements de comptes bancaires et à séparer les tâches d’approbation.

Les faits : compensation renforcée et API unifiée

La seconde brique, Clearing Controls, introduite l’an dernier, s’enrichit de nouvelles options pour re-vérifier les conditions du paiement pendant la phase de compensation, après l’autorisation initiale. Entre l’autorisation, qui réserve le montant, et la liquidation définitive présentée par le commerçant, des écarts peuvent apparaître sur le montant, la date ou les informations transmises. Les nouveaux contrôles bloquent les opérations hors règles, un usage utile lors de déplacements où hôtels, compagnies aériennes ou loueurs préautorisent souvent un montant différent du montant final. Citibank utilise déjà les deux fonctions et sera le premier émetteur à les déployer à l’échelle internationale en 2026, sans calendrier pays par pays pour l’instant. Ces contrôles s’appuient sur la tokenisation, déjà au cœur d’Agent Pay, sur la détection de fraude et sur l’infrastructure réseau de Mastercard.

Troisième volet, Commercial Connect API vise à remplacer les multiples connexions nécessaires jusqu’ici pour émettre un numéro, définir ses conditions, lancer le paiement et synchroniser avec la comptabilité. Cette API génère la carte et déclenche le paiement dans un processus intégré, avec des contrôles applicables à la carte réelle comme au compte de financement. Mastercard cite une étude selon laquelle 69 % des entreprises peinent à connecter leurs systèmes de paiement à leurs applications métier, un chiffre issu de sa propre documentation commerciale. Une carte générée dans le même environnement que l’approbation de la facture prend plus de valeur : numéro, plafond et fournisseur se déduisent directement des données de l’ERP, et la référence de carte se relie ensuite à la facture pour simplifier la réconciliation comptable.

Analyse et implications : la carte devient une crédentiale logicielle

Mastercard a lancé son programme de cartes virtuelles intégrées en mars 2025 et a depuis rattaché des partenaires en gestion ERP, comptes fournisseurs, dépenses, voyages, e-commerce et santé. SAP a rejoint le programme pour intégrer les cartes virtuelles directement dans les processus de trésorerie existants plutôt que via une plateforme de paiement séparée. Mastercard travaille aussi avec Emburse sur la gestion des dépenses, avec Juniper Travel, HBX Group et TravelSoft dans le tourisme, et avec HSBC pour une solution aux Émirats arabes unis basée sur des portefeuilles mobiles tokenisés. Ces partenariats montrent le changement de nature de la carte d’entreprise : elle cesse d’être un objet remis à un employé pour devenir une crédentiale générée par logiciel à chaque transaction, une logique proche de celle décrite dans l’infrastructure de paiement préparée pour les agents d’IA. Une plateforme peut ainsi créer une carte par réservation hôtelière, facture ou commande, avec une limite calquée sur la dépense autorisée ; la carte devient obsolète une fois la transaction réalisée.

Dans son rapport annuel 2025, Mastercard indiquait déjà que sa technologie de cartes virtuelles était intégrée dans plus de dix plateformes internationales de paiement d’entreprise et de gestion de voyages, soit deux fois plus qu’un an plus tôt. Le concurrent Visa avance dans la même direction avec sa carte transformée en clé d’identité numérique, et Mastercard elle-même avait posé les bases de la détection de fraude dédiée aux paiements avec sa plateforme Threat Intelligence.

Perspectives

Les nouvelles API et contrôles visent à élargir ce modèle sans obliger chaque banque ou plateforme à construire toutes les connexions elle-même. Leur adoption réelle dépendra néanmoins des émetteurs disponibles dans chaque pays, du coût du service et de la facilité d’intégration avec les systèmes propres à chaque entreprise.

Questions fréquentes

Qu’est-ce qu’une carte virtuelle Mastercard ?

Un numéro de carte généré à partir d’un compte de financement existant, soumis à des limites par montant, fournisseur, nombre d’utilisations ou validité, sans divulguer les identifiants principaux.

Que change Issuer Enforced Controls ?

Les banques peuvent fixer dès la génération de la carte des restrictions obligatoires : plafonds de dépense, montants maximum par opération ou périodes de validité.

À quoi sert l’API Commercial Connect ?

Elle relie les plateformes d’entreprise aux fonctions de cartes virtuelles Mastercard via une intégration unique, combinant création de la crédentiale et lancement du paiement.

Citibank propose-t-elle déjà ces fonctionnalités ?

Oui, Citibank utilise déjà les contrôles de génération et de compensation, avec un déploiement international prévu d’ici 2026, sans calendrier précis par pays.