Mastercard a étendu sa plateforme de cartes virtuelles In Control en intégrant de nouveaux mécanismes de sécurité, des contrôles appliqués à différentes étapes du paiement, ainsi qu’une interface de programmation d’applications (API) unique pour relier banques, entreprises et plateformes financières. Cette mise à jour vise à faciliter l’intégration des paiements interentreprises directement dans les systèmes de gestion des ressources, de contrôle des dépenses et des comptes fournisseurs.

Les éléments clés des nouvelles cartes virtuelles Mastercard en 30 secondes

• Mastercard introduit des limites obligatoires que les banques peuvent définir lors de la création de chaque carte virtuelle.
• Les contrôles sont également applicables à la phase de compensation, après l’autorisation initiale du paiement.
• La API Commercial Connect regroupe la création de la carte et le déclenchement du paiement dans une seule intégration.
• Le réseau opère dans 43 pays et supporte 174 devises différentes.
• Citibank utilise déjà ces nouveaux contrôles et prévoit un déploiement international en 2026.

Les cartes virtuelles génèrent un numéro distinct de celui de la carte physique ou du compte principal. Elles peuvent être configurées pour un seul fournisseur, un montant précis, un nombre limité de transactions ou une période déterminée. Ce caractère flexible les rend de plus en plus populaires pour payer des factures, gérer des déplacements professionnels ou régler des achats auprès de fournisseurs sans divulguer les identifiants réels de l’entreprise.

La refonte d’In Control vise à appliquer ces règles au-delà de la simple génération initiale du numéro. Mastercard souhaite permettre aux banques et aux entreprises de vérifier les limites tout au long du processus de transaction, y compris lors de la compensation, lorsque la opération autorisée est soumise à la liquidation définitive.

Le système connecte désormais émetteurs, plateformes et entreprises dans 43 pays, avec une capacité de traitement en 174 devises, selon les données publiées par Mastercard. La société n’a pas précisé dans son annonce le volume financier que représente son réseau de cartes virtuelles.

Contrôles qui s’appliquent dès la création de la carte virtuelle

L’une des nouveautés majeures porte le nom de Issuer Enforced Controls. Cette fonction permet à l’émetteur de fixer des conditions minimales dès la génération du numéro de la carte virtuelle.

L’établissement financier peut définir un plafond de dépense, limiter le montant de chaque transaction ou déterminer la durée de validité de la carte. Ces paramètres constituent une base que l’entreprise utilisatrice ne pourra pas dépasser ultérieurement en configurant son programme de paiements.

Cette séparation est particulièrement utile lorsque plusieurs parties sont impliquées. Une banque peut fixer les limites générales, tandis qu’une société peut imposer des règles spécifiques pour ses départements, ses employés ou ses fournisseurs.

Par exemple, une carte virtuelle destinée à régler une facture de 2 000 euros pourrait accepter uniquement une seule opération pour ce montant, dans un court laps de temps, et pour une catégorie commerciale particulière. Même si le numéro restait exposé, son usage hors de ces conditions serait limité.

Mastercard estime que la fraude sur les cartes virtuelles représente moins d’un cinquième de celui enregistré sur les cartes physiques non virtuelles. Ce taux serait encore plus faible avec l’utilisation d’In Control. Il s’agit de données internes à l’entreprise, sans détails sur la méthodologie, les marchés analysés ni les catégories de fraude prises en compte.

Une exposition moindre ne rend pas ces cartes invulnérables : un fraudeur pourrait tenter d’utiliser un numéro valide avant son expiration, falsifier une facture, usurper l’identité d’un fournisseur ou compromettre le système de création des paiements.

Les limites aident à réduire certains risques liés aux identifiants, mais il demeure essentiel pour les entreprises de vérifier les changements de comptes bancaires, de séparer les tâches d’approbation et de contrôler qui peut générer de nouvelles cartes.

Extension des contrôles jusqu’à la phase de compensation

La seconde innovation concerne Clearing Controls, une fonctionnalité introduite l’année dernière et désormais enrichie avec de nouvelles options. Son objectif est de re-vérifier les conditions du paiement durant la phase de compensation, après une première autorisation.

L’autorisation initiale consiste à confirmer que la carte peut effectuer le paiement et à réserver le montant. La phase de liquidation intervient ensuite, lorsque le commerçant présente la transaction pour son encaissement définitif.

Entre ces deux étapes, des différences peuvent apparaître en termes de montant, de date ou d’informations transmises par le point de vente. Les nouveaux contrôles permettent de bloquer les opérations qui ne respectent plus les règles, de préciser davantage les restrictions et d’organiser le traitement des paiements.

Ce contrôle supplémentaire est particulièrement utile lors de déplacements, où hôtels, compagnies aériennes ou loueurs de véhicules effectuent des préautorisations souvent différentes du montant final. Il peut également s’appliquer à des paiements fournisseurs lorsque la facture évolue après la création de la carte.

Citibank utilise déjà Issuer Enforced Controls et Clearing Controls. Mastercard prévoit que ce sera le premier émetteur à déployer ces capacités à l’échelle internationale en 2026, sans préciser pour l’heure les pays ni le calendrier précis de déploiement.

Ces contrôles s’appuient notamment sur la tokenisation, la détection de la fraude et l’infrastructure de réseau Mastercard. La tokenisation consiste à remplacer le numéro de compte réel par une crédentiel différent, de façon à ne pas manipuler directement les données sensibles.

Une API pour créer la carte et lancer le paiement

Une autre facette de l’annonce concerne Commercial Connect API, l’interface via laquelle Mastercard souhaite simplifier le déploiement d’un programme de cartes virtuelles en réduisant le nombre d’intégrations nécessaires.

Jusqu’à présent, une organisation devait souvent établir plusieurs connexions pour émettre le numéro, définir ses conditions, initier le paiement, recevoir des informations ou synchroniser avec ses systèmes comptables. Commercial Connect API vise à offrir une plateforme unique pour ces fonctionnalités.

La mise à jour permet de générer la carte virtuelle et d’enclencher le paiement dans un processus intégré. Elle supporte également plusieurs niveaux de contrôles appliqués à la fois à la carte réelle ou au compte de financement, garantissant que les restrictions s’appliquent à toutes les cartes virtuelles associées sans exposer leurs données sensibles.

Mastercard cite une étude indiquant que 69 % des entreprises rencontrent des difficultés pour connecter leurs systèmes de paiement à leurs applications commerciales. Ce chiffre provient de la documentation commerciale utilisée pour présenter la plateforme, sans données détaillées sur l’échantillon.

L’intégration est cruciale : une carte virtuelle a plus de valeur si elle est générée dans le même environnement que celui de l’approbation de la facture. Le numéro, le plafond et le fournisseur peuvent être automatiquement déterminés à partir des données existantes dans le système ERP.

Après le paiement, la référence de la carte peut être liée à la facture correspondante, facilitant la réconciliation. Cela réduit le travail manuel pour faire correspondre mouvements bancaires, bons de commande et documents comptables.

Paiements intégrés dans SAP et autres plateformes d’entreprise

Mastercard a lancé son programme de cartes virtuelles intégrées en mars 2025. Depuis, elle a intégré des partenaires spécialisés dans la gestion ERP, comptes fournisseurs, gestion des dépenses, voyages, e-commerce et santé.

SAP a récemment rejoint ce programme. L’objectif est d’intégrer les cartes virtuelles directement dans les processus de trésorerie et de gestion du fonds de roulement déjà utilisés par les entreprises, plutôt que de les faire passer par une plateforme de paiement indépendante.

Mastercard collabore également avec Emburse pour la gestion des dépenses, avec Juniper Travel, HBX Group et TravelSoft dans le secteur du tourisme, ainsi qu’avec HSBC pour une solution aux Émirats arabes unis utilisant des portefeuilles mobiles avec des numéros virtuels tokenisés.

Ces partenariats illustrent la mutation du paiement d’entreprise : la carte cesse d’être simplement un objet fourni à un employé pour devenir une simple crédentiale générée par logiciel dans un processus automatisé.

Une plateforme peut créer une carte pour chaque réservation hôtelière, facture ou commande, avec une limite correspondant aux dépenses autorisées. La carte devient obsolète une fois la transaction effectuée. Elle fournit également des données pouvant être associées au fournisseur, au projet ou au département concerné.

Dans son rapport annuel 2025, Mastercard indiquait déjà que sa technologie de cartes virtuelles était intégrée dans plus de dix plateformes internationales de paiements d’entreprise et de gestion de voyages, soit deux fois plus qu’un an plus tôt.

Les nouvelles API et contrôles complémentaires visent à élargir ce modèle sans obliger chaque banque ou plateforme à développer toutes les connexions dès le départ. Leur adoption dépendra cependant des émetteurs disponibles dans chaque pays, des coûts du service et de l’intégration avec les systèmes propres à chaque entreprise.

Questions fréquemment posées

Qu’est-ce qu’une carte virtuelle Mastercard ?

C’est un numéro de carte généré à partir d’un compte de financement existant. Il peut être soumis à des limites par montant, fournisseur, nombre d’utilisations ou validité, sans divulguer les identifiants principaux.

Que change la fonctionnalité Issuer Enforced Controls ?

Les banques peuvent définir dès la génération de la carte des restrictions obligatoires, telles que des plafonds de dépense, des montants maximum par opération ou des périodes de validité.

À quoi sert l’API Commercial Connect ?

Elle facilite la connexion entre les plateformes d’entreprise et les fonctions de cartes virtuelles Mastercard, en proposant une intégration unique. Elle permet de combiner la création de la crédentiale et le lancement du paiement en un seul processus.

Citibank propose-t-elle déjà ces fonctionnalités ?

Citibank utilise déjà les contrôles de génération et de compensation. Il est prévu qu’elle déploie ces capacités à l’échelle internationale d’ici 2026, mais aucun calendrier précis par pays n’a encore été communiqué.