Le paiement est la partie que redoutent la plupart des entrepreneurs, alors que c'est désormais l'une des plus simples techniquement. La vraie complexité est administrative : dossiers, compte bancaire et examen par le prestataire.
Voici les étapes dans l'ordre, et ce qui retarde habituellement la validation.
Il vous faut un registre commercial, un compte bancaire au nom de l'entreprise et un prestataire local prenant en charge mada et Apple Pay — et ne mettez jamais vos clés d'API dans le code : leur place est le coffre à secrets.
Ce qu'il faut avant de commencer
La plupart des prestataires de paiement en Arabie saoudite demandent :
- Un registre commercial valide couvrant l'activité de commerce électronique.
- Un compte bancaire au nom de l'entreprise, pas un compte personnel.
- Un site ou une application en fonctionnement, avec les pages : à propos, contact, conditions générales, politique d'échange et de retour.
- Une description claire de vos produits ou services et de leurs prix.
mada, cartes et portefeuilles
mada est le réseau de paiement local et le plus utilisé en Arabie saoudite, avec des frais généralement inférieurs à ceux des cartes de crédit. Apple Pay passe par la même passerelle et augmente nettement le taux de finalisation sur iPhone, puisqu'il supprime la saisie de la carte.
Les frais varient selon les prestataires, en général un pourcentage de la transaction plus un montant fixe. Demandez explicitement trois choses : les frais par transaction, les frais de remboursement et le délai de règlement bancaire — ce dernier influe directement sur votre trésorerie.
Comment se fait l'intégration
Le prestataire vous remet deux clés : une clé de test et une clé de production. Vous construisez le parcours de paiement, vous le testez avec des cartes de test, puis vous changez de clé après validation. Le point que beaucoup oublient est le webhook : la passerelle envoie à votre système la confirmation du résultat, et c'est là-dessus qu'il faut s'appuyer pour confirmer la commande, et non sur le retour de l'utilisateur à la page.
Sécurité : vos clés d'API
Ne mettez jamais une clé de paiement dans le code, dans les fichiers du projet ou dans le navigateur. Sa place est le coffre à secrets, lue uniquement côté serveur. Une clé exposée côté client ou dans un dépôt public est la vulnérabilité la plus courante des petites boutiques.
Quand vous construisez avec Uttra, ajoutez la clé de paiement au coffre à secrets et précisez dans votre description que l'intégration lit la clé depuis là — elle reste ainsi hors du code publié.