Code QR EPC : la norme SEPA du QR code de paiement expliquée

Un code QR EPC ne contient pas de lien. Il contient un virement SEPA, écrit sous la forme d'un court bloc de texte brut, et une application bancaire qui reconnaît le format le lit et remplit le formulaire de virement. Aucun serveur n'est contacté, rien n'est consulté, et rien du scan ne vous parvient.

Ce seul fait détermine tout le reste de la façon dont ces codes sont utilisés. Vous ne pouvez pas en raccourcir un, vous ne pouvez pas en repointer un, et vous ne pouvez pas compter les scans, car il n'y a de requête nulle part dans le flux. La norme derrière cela est l'EPC069-12 du Conseil européen des paiements, les codes sont généralement appelés GiroCodes sur les marchés germanophones, et le format mérite d'être compris précisément avant d'en imprimer des milliers sur des factures. Pour le cas général de ce qu'un code peut transporter, ce qu'est un code QR couvre la question de la charge utile.

Ce que la charge utile contient réellement

La charge utile est une séquence de lignes, dans un ordre fixe, chacune étant un élément distinct. Un analyseur lit la ligne 1, attend BCD, lit la ligne 4, attend SCT, et abandonne si l'un des deux manque.

Deux règles font trébucher les gens. La référence structurée et le texte non structuré s'excluent mutuellement : remplissez l'un, laissez l'autre vide. Et le montant est facultatif, ce qui est le bon choix pour un code de don où le payeur décide, et le mauvais choix pour une facture où vous voulez un montant exact prérempli.

L'ensemble du bloc est plafonné à 331 octets. Les directives EPC069-12 fixent aussi le niveau de correction d'erreur à M et plafonnent le symbole à la version 13, donc le code que vous imprimez a un plafond connu sur le nombre de modules. Si vous construisez cela en code plutôt qu'en cliquant sur un générateur, la documentation de la bibliothèque Segno montre l'ordre des champs et les règles d'encodage sous une forme que vous pouvez tester.

Pourquoi vous ne pouvez ni le raccourcir ni le suivre

Un code QR suivi fonctionne en encodant une URL que vous possédez. Le scan ouvre cette URL, votre redirection répond, vous comptez la requête, et le visiteur atterrit là où votre lien pointe actuellement. Codes QR dynamiques contre statiques couvre le mécanisme en détail.

Rien de tout cela ne s'applique ici. L'application bancaire n'est pas un navigateur. Elle analyse le texte, fait correspondre le format, et ouvre un formulaire de paiement localement sur l'appareil. Il n'y a aucune requête HTTP à intercepter, donc :

• Aucun comptage de scans n'existe, nulle part. Ni dans votre outil, ni dans celui de la banque.
• Rien ne peut être repointé. Un IBAN erroné signifie une réimpression.
• Envelopper la charge utile dans un lien court la casse net, car l'analyseur voit https là où il attend BCD.

J'ai vu une équipe passer une semaine à essayer d'obtenir une attribution sur un code de paiement avant que quelqu'un ne lise la spécification. La réponse honnête est que le côté paiement et le côté mesure sont deux codes différents, et si la mise en page n'a de la place que pour un seul, c'est le code de paiement qui gagne.

Ce que vous pouvez mesurer, c'est tout ce qui l'entoure. Si un envoi postal porte une facture avec un code de paiement, mettez un lien court suivi séparé sur la lettre pour le portail client, les conditions, ou la page d'assistance, et lisez l'engagement à partir de là. Les fonctionnalités QR code d'Elido couvrent la moitié traçable de la feuille, et le code de paiement reste exactement conforme à ce qu'exige la norme.

Où ça fonctionne et où ça ne fonctionne pas

La prise en charge réside dans chaque application bancaire, ce qui explique pourquoi la couverture est inégale d'une manière que les listes par pays survendent. Les applications autrichiennes et allemandes lisent ces codes depuis des années, les applications finlandaises et néerlandaises sont globalement fiables, la prise en charge belge est bonne. Au-delà, testez avant de vous engager sur un tirage d'impression.

Deux voisins sont couramment confondus avec lui. Le QR-bill suisse est une spécification différente avec sa propre mise en page et une croix suisse au milieu du symbole ; ce n'est pas un code EPC et les applications de la zone euro ne le liront pas comme un paiement. Et un lien de paiement d'un prestataire de cartes n'a rien à voir : c'est une URL ordinaire dans un QR, avec un paiement hébergé au bout, et il se comporte comme n'importe quel autre lien web, suivi compris.

Pour la question plus large de ce qu'une entreprise réglementée de paiement ou de crédit peut présenter à ses clients, les raccourcisseurs d'URL pour la fintech couvre les parties où un lien intervient.

En produire un sans regret

Six vérifications, dans l'ordre où elles vous font économiser de l'argent.

1. Validez l'IBAN avant la génération, pas après l'impression. Un test de somme de contrôle ne coûte rien, et une réimpression coûte tout un tirage.
2. Décidez délibérément la question du montant. Fixe pour les factures, vide pour les affiches de don où n'importe quel montant doit être possible.
3. Préférez la référence structurée au texte libre. Elle est plus courte, elle permet un rapprochement automatique dans votre comptabilité, et elle garde la charge utile réduite.
4. Testez avec au moins trois applications bancaires, sur les deux plateformes de téléphone. Les analyseurs diffèrent dans la rigueur avec laquelle ils traitent les champs facultatifs.
5. Dimensionnez le code imprimé pour la distance à laquelle il sera scanné, exactement comme pour n'importe quel autre code. Quelle taille doit avoir un code QR donne le calcul.
6. Gardez-le mat. Un vernis brillant sur un code de paiement sur une facture sous un éclairage de bureau est un ticket d'assistance qui n'attend qu'à arriver.

Le problème de l'autocollant

Il existe un vecteur de fraude bien réel, et il est physique plutôt que numérique. Un code de paiement statique imprimé sur une facture, un horodateur, une pancarte de stand de marché ou une affiche caritative peut être recouvert d'un autocollant portant un IBAN différent. Rien dans le code ne résiste à cela, car la charge utile, c'est le papier.

Les mesures d'atténuation sont tout aussi physiques. Imprimez le code à l'intérieur de la mise en page de la facture, où une étiquette serait visible, plutôt que sur un patch adhésif. Affichez le nom du bénéficiaire et les derniers chiffres de l'IBAN en texte à côté du code, afin qu'un payeur puisse comparer. Et dans les instructions de confirmation de paiement, dites aux gens de lire le nom que leur application bancaire affiche avant de confirmer, car cet écran est le seul endroit où la substitution devient visible. Les codes QR sont-ils sûrs, et qu'est-ce que le quishing couvre le schéma d'attaque plus large, dont la plupart s'applique aux codes de lien que vous imprimez ailleurs sur la même page.

La partie rassurante : un paiement a toujours besoin qu'un humain le confirme dans une application bancaire authentifiée. Le code préremplit un formulaire, il ne déplace jamais d'argent.

Lisez la série pilier

Cet article s'inscrit dans le cluster fonctionnalités. Pour le flux d'impression autour de n'importe quel code que vous générez, une campagne de code QR de zéro est l'article pilier, et le guide des codes QR dans la documentation couvre la génération du type traçable via l'API.

Sur le blog

• Codes QR dynamiques contre statiques, et quand chacun est le bon choix
• Ce qu'est un code QR et ce qu'il peut transporter
• Les codes QR et le RGPD : ce qu'un scan collecte
• Raccourcisseurs d'URL pour les équipes fintech
• Quelle taille doit avoir un code QR ?