Architecture de paiement dans iGaming

Architecture de paiement dans iGaming

1) Le rôle des paiements dans P&L et la conformité

• Conversion de dépôt (taux d'autel, friction, 3DS/SCA) et taux de retrait (T + 0/T + 1).
• Coût : MDR/interchange, frais PSP/banques, FX/conversion, antifrod/chargbecks.
• Risque et réglementation : KYC/AML, limites et jeu responsable (RG), PSD2/SCA/GDPR/PCI DSS.
• Fiabilité : tolérance aux pannes, failover PSP, diversité des risques et SLA stable.

2) Paysage cible

Canaux d'entrée : cartes (Visa/Mastercard/MIR/UnionPay), APM (Apple/Google Pay), open banking/instant payments (SEPA Instant, Faster Payments, Pix, UPI), e-portefeuilles, bons, terminaux d'argent (locaux)).
Canaux de sortie : SEPA/ACH/FPS, Pix/UPI, card-to-card (OCT/Original Credit Transfer), portefeuilles, rails locaux ; pour « cash at cage » - paiements hors ligne.
Couches intermédiaires : orchestrateur PSP, antifrod, passerelle de conformité (KYC/AML/sanctions), Ledger (jeu/argent), stockage de tokens, rapprochement (reconnaissance), rapports.

3) Domaines fonctionnels

3. 1 Acceptation des paiements (Acquisition)

Routage intelligent : sélection de PSP par BIN/pays/banque/chèque risque/coût ; cascade (Retry → Alt-PSP) et approvals partiaux.
3DS/SCA : orchestration dynamique (frictionless vs challenge), TRA/Whitelisting, PSD2-exceptions (LVA, MOTO, MIT).
Tokenization : coffres-forts et jetons réseau (NTokens), cadre COF/CIT/MIT, cartes vaulted.
UI/UX : localisation des devises, autotest APM par GEO/UA, "1 clic'après KYC, frais/limites transparents.

3. 2 Paiements (Payouts)

Règles de priorité : vitesse (instant/proche-instant), coût, disponibilité du canal.
Anti-arb et RG : conclusions différées (cool-off), vérifications de la source des fonds, limites de velocity, report des gains controversés (fraud/AML).
KYT (Know Your Transaction) : surveillance des patterns (molling/rolling), communication des appareils et des cartes, listes d'exceptions.

3. 3 Antifrod et risque

Signaux : device-fingerprint, biométrie comportementale, BIN/crédit débiteur, proxy/VPN, velocity, rentim-events du noyau de jeu (win→withdraw anormalement rapide).
Scoring : hybride ML + règles (weighted features, contrôle SHAP), A/B sur la politique des seuils.
Stratégie 3DS : nous ne ciblons que le chèque haut/haut niveau ; on optimise le « challenge rate » et le « frictionless share ».
Charjbecky : alert précoce, Order Insight/CAA, RDR/ODR (vendeurs), données probantes (KYC, IP, login-trace, journal de jeu).

3. 4 KYC/AML/Sanctions/PEP

Tiering : L0 (email/téléphone) → L1 (ID/âge) → L2 (Proof of Address/SOW/SOF) → L3 (EDD).
Sanctions/RER : orchestration des fournisseurs, fuzzy-match, auto-escalade.
Surveillance transactionnelle : règles + ML, scénarios SAR/STR, rapports de seuil, frontières pour les passerelles cash/crypto (le cas échéant).
Fréquence de mise à jour KYC : risque-base ; les events (changement de périphérique/canal/comportement) déclenchent refresh.

3. 5 Ledger, portefeuilles et comptabilité

Double compte : Ledger de jeu (solde, paris, gains, obligations de bonus) et Ledger de trésorerie (dépôts/conclusions/commissions/impôts).
Engagements différés : Bonus/Frispins/Jackpots/Progressifs - comme passifs.
Rapprochements : T + 0/T + 1 avec PSP/banques, discovery non-rafraîchissement, auto-affichage des ajustements.
Multivalut/FX : comptabilité au comptant/conversion, annuaire de cours (fournisseur), PnL sur le delta FX.

4) Exigences non fonctionnelles

Disponibilité et échelle

Orchestrateur actif-actif (multi-région), failover PSP automatique, dégradation avec conservation du chemin noyau.
SLO/SLA : accueil ≥ 99. 95%, autorisation moyenne <3 s, succès de la cascade <7 s ; paiements instantanés ≤ 60 s (part), quasi instantanés ≤ 15 min.

Sécurité et vie privée

PCI DSS : segmentation des zones, abréviation « Cardholder Data Environment » (CDE), tokenisation, scans/tests de mousse.
RGPD/analogies locales : minimisation des données, DSR/suppression, audit des accès.
Sécurité de la chaîne d'approvisionnement : assemblages signés, SBOM, SAST/DAST, clés/secrets (HSM/KMS), logs tamper-evident.

5) Orchestre et routage PSP

Algorithme de routage (référence)

1. Pré-scoring : GEO, BIN/IIN, profil risque, chèque.
2. Règles de coût/succès : Historique Taux Auth × Fee → score PSP.
3. Santé technique : latency/bogues/boules - amende realtime.
4. Politique 3DS/SCA : TRA/Exemptions → sélection du flow.
5. Cascade : PSP-A → PSP-B → APM → open banking ; nous gardons l'idempotence.

Smart Retry

Nous distribuons « reason codes », appliquons time-backoff, changeons la stratégie 3DS, compte gateway, BIN-white/black-lists.
Nous stockons « payment intent » et la clé d'identité pour éviter une double charge sur Ledger.

6) Archétypes régionaux (recettes rapides)

UE/Royaume-Uni : PSD2/SCA, SEPA Instant, Faster Payments, cartes + open banking ; poids élevé de la stratégie 3DS et des aphilliates.
États-Unis : cartes + ACH (vérifications en deux étapes), PayPal/Cash App ; Retensh sur les paiements P2P instantanés, la gestion charjbek est critique.
LATAM : Pix (Brésil), SPEI (Mexique), PSE (Colombie), bons/espèces ; la voie est APM-heavy, antifrod par dispositifs et documents.
Turquie/CA : ARM/ponts crypto locaux (si autorisé), virements bancaires ; poids spécifique élevé de l'AML/sanctions.
Inde/Asie : UPI, e-portefeuille, réseaux locaux de cartes ; limites, velocity et risque réel-temps.

7) Jeu responsable (RG) dans la boucle de paiement

Limites : dépôts/pertes/temps/conclusions ; cool-off et l'auto-exclusion → bloquer toutes les voies de paiement.
Affordability : vérification de la disponibilité des dépenses (open banking/indicateurs de crédit) - demandes douces.
Commercialisation : interdiction « sans risque » ; Bonus T&C transparents ; contrôle des affiliations/de la source du trafic.

8) Rapports, analyses et prévisions

Rapports quotidiens : Autorisations, Declines by reason, Taux de charge, Taux de remboursement, Payout time, Net Payment Margin.
Croisement : Ledger ↔ PSP Payouts ↔ Banque ; triangulation des anomalies.
Prévisions : saisonnalité de la conversion, élasticité par commission/seuil de roulement, besoin de fonds de roulement pour les paiements.

9) KPI/métriques (repères)

Taux auth (cartes) : EU 85-92 %, US 80-88 %, LATAM 70-85 % (avant l'orchestration).
Share of Instant Payouts : ≥ 70 % sur les chèques « légers ».
Chargeback Rate: < 0. 5 % par compte, 0. 9 % en volume (selon le produit/région).
Taux de défi 3DS : <10-20 % (segmentaire), Frictionless ≥ 70 %.
Concertation PSP : Indice herfindahl <0. 35 (diversification).
OPEX sur les paiements (en % du dépôt) : corridor cible 1. 2–2. 0 % lors d'une orchestration à maturité.

10) Incidents et résilience

Playbooks : Declines massives (issuer/PSP outage), dégradation 3DS ACS, retards Pix/UPI, banque-vacances, surtension des chargbacks.
Fiches de stabilité : le terme « balance grace » pour une courte période (uniquement pour les profils sécurisés), auto-switch APM, « queued payouts » en cas d'échec d'une banque, « circuit breaker » pour les anomalies.
Communications : page de statut, modèles de notification, compensations/bons.

11) Listes de vérification de conformité

PCI DSS

• Segmentation CDE, Tokenization, PAN en dehors des applications.
• Attestation annuelle, scans, tests de mousse, registres d'accès.

GDPR/Privacy

• Minimisation des données, DSR/suppression, DPIA pour antifrood, cryptage at-rest/in-transit.
• DPA avec PSP/fournisseurs, flux transfrontaliers.

KYC/AML

• Politiques CDD/EDD, sanctions/RER, KYT, scénarios STR/SAR.
• Seuils et révisions ; Journal des décisions.

RG/Marketing

• Limites/auto-exclusion, disclaimer visible.
• Audit des affiliations, interdiction du ciblage des jeunes.

12) Référence architecturale (couches)

1. Checkout Layer (UI/localisation/APM Discovery).
2. Payment Orchestrator (routing, retries, rules, A/B).
3. Risk Engine (device, behavior, ML, 3DS policy).
4. Compliance Hub (KYC, sanctions, KYT, RG).
5. Wallet & Ledgers (jeu/argent, bonus-passif).
6. Reconnaissance et reporting (PSP/banque/GL, impôts).
7. Observability & Security (metrics/logs/traces, PCI/GDPR).
8. Data/ML (modèles Fred, LTV, personnalisation des limites).

13) Feuille de route pour la mise en œuvre

Phase 0 (2-4 semaines) : audit des PSP/métriques actuelles, GAP par PCI/KYC/RG, mise en scène des KPI, sélection des orchestrateurs.
Phase 1 (6-8 semaines) : réception multi-PSP + open banking/APM, antifrood de base, politique 3DS, tokenisation.
Phase 2 (8-12 semaines) : instant payouts, KYT, rapprochement complet T + 0/T + 1, rapports CFO.
Phase 3 (12 + semaines) : ML-fred, routage dynamique par coût/succès, affordability, temps réel « circuit breaker ».

14) Qu'est-ce qui est important de se souvenir

L'architecture de paiement est une orchestration : la bonne combinaison de canaux, PSP et antifrode augmente la conversion et réduit les coûts.
Sécurité/conformité (PCI, GDPR, KYC/AML, RG) - fondation ; sans eux, l'échelle est dangereuse.
Rapprochement et comptabilité - support pour CFO/audit : T + 0/T + 1, tracabilité complète, ledgers séparés.
La régionalité décide : ouvrez les rails locaux (Pix/UPI/SEPA Instant/FPS) et adaptez la stratégie UX et 3DS à la banque émettrice/région.