Cartes Virtuelles Privacy.com : Comment Fonctionne la Confidentialité des Paiements

Une carte virtuelle fait une chose spécifique : elle change ce que le commerçant reçoit, pas ce que votre banque sait. C’est tout le mécanisme, et le comprendre explique à la fois la protection que vous obtenez et celle que vous n’obtenez pas.

La plupart des articles traitent les cartes virtuelles comme un outil général de confidentialité et évitent les détails techniques. Cet article couvre ce qui est stocké sur une carte, pourquoi la bande magnétique est le point faible, et comment les types de cartes de Privacy.com se comportent en pratique.

Le bénéfice pratique est étroit et réel : un numéro volé devient inutile pour un voleur, car il ne fonctionne qu’avec le commerçant pour lequel il a été émis.

La Réponse Courte #

Ce Qui Se Trouve sur une Carte de Paiement #

Trois éléments autorisent une transaction sans présentation de carte : le numéro de compte principal, la date d’expiration, et la valeur de vérification.

Le PAN n’est pas une chaîne aléatoire. Le premier chiffre identifie le réseau, les suivants identifient la banque émettrice, et le reste identifie le compte. Cette structure permet de vérifier la plausibilité d’un numéro de carte sans contacter personne, et explique pourquoi le chiffre de contrôle de Luhn détecte une seule erreur de chiffre.

Le CVV prouve que quelqu’un a physiquement tenu la carte lors de son émission. Il n’est pas stocké sur la bande magnétique, ce qui explique pourquoi un skimmer copiant la bande ne l’obtient jamais.

Inspectez tout cela vous-même avec le Décodeur et Encodeur de Bande Magnétique , qui analyse les pistes 1 et 2, décode les chiffres du code de service, et réencode le résultat. Il fonctionne entièrement dans votre navigateur, ce qui est important car c’est le contenu complet d’une carte de paiement.

Pourquoi la Bande Magnétique Est le Point Faible #

La bande stocke les données du compte en clair, et tout lecteur compatible peut les lire.

Une bande magnétique contient jusqu’à trois pistes. La piste 1 porte le PAN, le nom du titulaire, l’expiration, et un code de service à trois chiffres, et c’est la seule piste contenant du texte alphabétique. La piste 2 porte le PAN, l’expiration, et le code de service dans un encodage numérique plus dense, et c’est la piste 2 que presque tous les terminaux de point de vente lisent. La piste 3 est pratiquement inutilisée par les grands réseaux et souvent absente de la carte.

Le code de service mérite d’être compris, car il décrit l’usage autorisé de la carte. Le premier chiffre couvre les règles d’interchange, le deuxième la gestion des autorisations, et le troisième la gamme de services. Une carte codée 201 permet l’interchange international, ne nécessite pas de chemin d’autorisation spécial, et n’a pas de restrictions de service.

L’histoire explique pourquoi la bande a duré si longtemps. En 1969, un ingénieur IBM nommé Forrest Parry a essayé de coller une bande magnétique sur une carte plastique et n’a pas réussi à la faire adhérer sans l’endommager. Sa femme a suggéré d’utiliser un fer à repasser, et la chaleur a collé la bande à la carte. Cette improvisation est devenue la norme pendant plus d’un demi-siècle.

Deux évolutions y mettent fin :

La bande a été remplacée par la puce et le paiement sans contact car copier une bande ne demande aucune compétence autre que posséder un lecteur. Notre outil de bande magnétique montre combien peu de données suffisent à reconstruire une piste fonctionnelle.

Comment Lire les Données des Pistes #

Une chaîne de bande magnétique est une séquence de champs, pas un second numéro de carte. Le lecteur trouve la sentinelle de début, sépare les champs, lit l’expiration et le code de service, puis vérifie la sentinelle de fin et le LRC.

Les sentinelles optionnelles identifient les limites physiques de l’enregistrement. Un décodeur les omet souvent lorsqu’il affiche les champs, mais un encodeur physique a besoin du format complet de l’enregistrement attendu par le lecteur.

Exemple de Piste 1 #

Ceci est un exemple synthétique. Il utilise le PAN de test standard de l’outil ainsi qu’un faux nom, une fausse date d’expiration, un code de service et des données discrétionnaires. Ce n’est pas une carte Privacy.com et ce ne sont pas des données de paiement valides.

%B4111111111111111^TEST/USER^2912501000000000?

Lisez-le de gauche à droite :

L’enregistrement encodé réel porte aussi un caractère LRC après la sentinelle de fin lorsque le lecteur l’attend. La forme texte visible est utile pour étudier la structure. La représentation au niveau des bits porte aussi une parité impaire pour chaque caractère.

Exemple de Piste 2 #

La Piste 2 supprime le nom et le code de format. Les mêmes valeurs synthétiques deviennent :

;4111111111111111=291250100000000?

La Piste 2 est plus courte car elle ne contient pas le nom du titulaire. De nombreux terminaux lisent la Piste 2 pour les transactions par glissement ordinaires, tandis que la Piste 1 fournit le champ nom lorsqu’un lecteur le demande.

Chiffres du Code de Service #

Les trois chiffres du code de service décrivent le comportement du terminal et de l’autorisation. Ils ne contiennent pas le CVV, et les modifier sur une vraie carte sans autorisation de l’émetteur produit un identifiant de paiement mal formé ou trompeur.

Le premier chiffre couvre l’interchange et la préférence puce :

Le deuxième chiffre couvre la gestion de l’autorisation :

Le troisième chiffre couvre les restrictions de service :

Par exemple, 201 signifie interchange international avec utilisation de la puce si possible, traitement normal de l’autorisation, et aucune restriction de service. Le décodeur expose chaque chiffre séparément pour que vous n’ayez pas à mémoriser le tableau.

LRC et Parité #

Le LRC est un caractère de contrôle, pas un autre champ à inventer. L’encodeur fait un XOR des valeurs de données de chaque caractère depuis la sentinelle de début jusqu’à la sentinelle de fin. Il convertit le résultat dans la plage de caractères imprimables de la piste et rapporte séparément les bits de parité impaire encodés.

La Piste 1 utilise un jeu de caractères ALPHA à six bits. Sa valeur de données est le code ASCII moins 0x20. La Piste 2 utilise un jeu de caractères BCD à quatre bits. Sa valeur de données est le nibble bas du code ASCII. Appliquer la correspondance de la Piste 1 à la Piste 2 produit un LRC incorrect.

L’option Inclure le LRC calculé du décodeur ajoute le caractère LRC imprimable à la sortie. Sa décomposition montre aussi le motif de bits LRC avec parité impaire. Utilisez ceci pour apprendre comment un lecteur vérifie l’enregistrement, pas pour contourner les contrôles d’un émetteur.

Écriture de Cartes Synthétiques pour Tests #

Utilisez le décodeur pour écrire des chaînes de test, pas des cartes de paiement réelles. L’outil accepte des champs, reconstruit les Pistes 1 et 2, ajoute les sentinelles optionnelles et calcule le LRC. Il fonctionne localement dans le navigateur.

1. Ouvrez le Décodeur et Encodeur de Bande Magnétique .
2. Sélectionnez Charger la carte de test. Cela remplit l’outil avec le PAN synthétique 4111111111111111, le nom TEST/USER, la date d’expiration 2912, le code service 201, et les données discrétionnaires de test.
3. Activez Inclure les sentinelles de début et de fin pour afficher les limites physiques de l’enregistrement.
4. Activez Inclure le LRC calculé pour ajouter le caractère de contrôle calculé.
5. Activez Diviser les données discrétionnaires en PVKI, PVV et CVV uniquement pour voir comment un champ synthétique de neuf chiffres est affiché. Ces étiquettes sont des conventions de l’émetteur, pas une disposition universelle de la piste 1 ou piste 2.
6. Modifiez le nom, la date d’expiration, le code service ou les données discrétionnaires synthétiques. La sortie se met à jour au fur et à mesure de la saisie.
7. Comparez les champs décodés avec les chaînes générées. Effacez les champs une fois terminé.

Pour un exercice sur une piste 1 synthétique, utilisez :

PAN: 4111111111111111
Surname: TEST
First name: USER
Expiry: 12/29
Service code: 201
Discretionary data: 000000000

Pour un exercice sur une piste 2 synthétique, utilisez le même PAN, la même date d’expiration, le même code service, et un champ discrétionnaire numérique. La chaîne générée pour la piste 2 omet le nom car la piste 2 ne comporte pas de champ nom.

Ne copiez pas un PAN, une date d’expiration, un CVV ou une valeur discrétionnaire Privacy.com en direct dans une carte réinscriptible. Privacy.com décrit son produit comme des numéros de carte virtuels créés via son site web ou son application. Sa page officielle ne présente pas le service comme un système d’écriture de bande magnétique, et un numéro de carte virtuel n’est pas une preuve d’un enregistrement physique autorisé par l’émetteur. Une carte de test réinscriptible contenant un identifiant en direct crée un instrument de paiement dupliqué et viole les conditions de l’émetteur ou les règles de paiement.

La limite de sécurité est simple : utilisez l’échantillon synthétique intégré à l’outil, utilisez une carte de laboratoire avec des valeurs factices, et utilisez une carte physique approuvée par l’émetteur lorsque vous devez payer en personne. N’essayez pas de transformer une carte virtuelle Privacy.com en carte à bande magnétique physique.

Ce que change une carte virtuelle #

Une carte virtuelle est un second numéro qui se place devant le premier.

Lorsque vous payez avec une carte virtuelle, le commerçant reçoit un numéro, une date d’expiration et un CVV appartenant à la carte virtuelle. Votre vrai PAN ne leur parvient jamais. En pratique, le changement se manifeste après une fuite de données :

Ce que cela ne change pas est tout aussi important. Votre banque voit toujours la transaction. Le réseau de paiement la traite toujours. L’émetteur détient toujours votre identité, car les règles anti-blanchiment exigent une vérification. Une carte virtuelle réduit l’exposition côté commerçant. Ce n’est pas un moyen de dépenser anonymement.

Cette distinction embrouille constamment les gens. Si votre modèle de menace inclut l’émetteur ou le réseau, une carte virtuelle ne change rien à cela.

Les trois types d’objet en forme de carte #

La terminologie est utilisée de manière incohérente, et la différence importe lorsque vous choisissez ce que vous remettez à un commerçant.

Un portefeuille mobile utilise un mécanisme entièrement différent. Lorsque vous ajoutez une carte à un portefeuille, celui-ci stocke un jeton spécifique à l’appareil plutôt que votre PAN, et le commerçant reçoit ce jeton. Cela s’appelle la tokenisation, et c’est pourquoi payer avec un téléphone est plus sûr que de remettre la carte plastique même sans carte virtuelle.

La tokenisation réseau et les cartes virtuelles résolvent des parties qui se chevauchent du même problème. La tokenisation protège le numéro en transit et au repos. Une carte virtuelle vous protège de ce que le commerçant conserve ensuite.

Types de cartes Privacy.com #

Privacy.com propose quatre comportements de carte, et ils ne sont pas interchangeables.

Le verrouillage sur commerçant est le mécanisme qui apporte le plus de valeur. Une carte verrouillée échoue chez tout commerçant autre que celui avec lequel elle a été utilisée en premier, ce qui signifie qu’une fuite chez ce commerçant rend le numéro inutile ailleurs.

L’usage unique est l’option la plus forte là où elle s’applique. Une carte qui se ferme après un débit ne peut pas être rejouée, et elle supprime le besoin de penser à la fermer plus tard.

Deux détails opérationnels à connaître :

• Les cartes partagées se verrouillent sur le premier commerçant avec lequel elles sont utilisées, donc les partager avec un membre de la famille ou un employé conserve la restriction commerçant.
• Une carte est mise en pause plutôt que fermée. La pause est réversible, ce qui est utile quand vous voulez arrêter temporairement un abonnement sans perdre les détails de la carte.

Limites de dépenses et contrôles #

Chaque carte porte une limite de dépense, qui est un contrôle distinct du verrouillage commerçant.

Définissez à la fois une limite par transaction et une limite mensuelle sur toute carte liée à un abonnement. Une augmentation silencieuse du prix par un commerçant atteint la limite plutôt que votre solde, et vous le remarquez grâce à un débit échoué plutôt qu’une ligne manquante sur le relevé.

Notre module Sécurité des Finances Personnelles place cela aux côtés des gels de crédit et de la tokenisation des cartes comme les trois contrôles limitant ce qu’un commerçant compromis unique peut atteindre.

Plans et ce que chacun débloque #

Privacy.com propose un niveau gratuit ainsi que trois formules payantes. Les prix et les limites des fonctionnalités évoluent, vérifiez donc les conditions actuelles avant de vous abonner.

Le niveau gratuit couvre le bénéfice principal en matière de sécurité. Le verrouillage commerçant, les cartes à usage unique et les limites de dépenses sont les mécanismes qui réduisent l’exposition, et ils sont disponibles sans paiement. Les formules payantes ajoutent de l’organisation et de la commodité plutôt qu’une protection supplémentaire.

Les frais de transaction à l’étranger varient selon le forfait. Le niveau gratuit applique 3 % sur les transactions étrangères avec un minimum de 0,50 $, tandis que les formules payantes n’en appliquent pas.

Ce que Privacy.com ne fait pas #

Être clair sur les limites est plus utile qu’une liste de fonctionnalités.

Le point sur le blocage des commerçants est important en pratique. Certains services d’abonnement et compagnies aériennes rejettent les plages de cartes qu’ils associent aux cartes virtuelles ou prépayées, et aucune configuration ne résout ce problème. Gardez une carte réelle disponible en secours dans ces cas.

Résumé honnête : une carte virtuelle est un contrôle de confinement pour l’exposition côté commerçant, pas un outil d’anonymat. Si vous avez besoin d’anonymat, c’est un problème différent avec des outils différents.

Qui émet la carte et pourquoi c’est important #

Une carte virtuelle reste une vraie carte, émise par une vraie banque, sous une vraie licence de réseau.

C’est pourquoi la protection est réelle. La carte bénéficie des mêmes protections réseau que tout autre produit Mastercard ou Visa, ce qui signifie que les droits de rétrofacturation et les procédures de contestation de fraude s’appliquent normalement. Ce n’est pas une carte cadeau ni un crédit magasin fermé.

Deux certifications méritent d’être citées car elles sont vérifiables indépendamment et non de simples arguments marketing :

• Conformité PCI-DSS, la norme de l’industrie des cartes de paiement pour la gestion des données des titulaires
• SOC 2 Type II, un rapport audité couvrant les contrôles de sécurité sur une période plutôt qu’une simple déclaration ponctuelle

Sur le modèle économique : la société déclare gagner des commissions d’interchange auprès des commerçants et ne vend pas les données clients à des annonceurs ou tiers. C’est le même modèle de revenus que tous les autres émetteurs de cartes, ce qui mérite d’être compris plutôt que perçu comme inhabituel.

La raison pratique de vérifier la banque émettrice est la vérification. N’importe qui peut prétendre gérer un programme de cartes, et le nom de l’émetteur sur la carte est ce que vous confirmez par rapport à la banque indiquée dans les documents.

Inspectez le réseau et la banque via le préfixe PAN avec le Décodeur de bande magnétique , qui indique la plage majeure du réseau et valide le chiffre de contrôle Luhn.

Bien utiliser les cartes virtuelles #

Les contrôles ne servent que si vous les configurez. Six habitudes apportent la majeure partie du bénéfice.

1. Verrouillez chaque carte à un commerçant sauf raison contraire. Le verrouillage rend un numéro divulgué inutile.
2. Utilisez l’usage unique pour tout ce qui est inconnu, y compris les essais et achats ponctuels sur des sites plus petits.
3. Fixez les deux limites de dépenses sur les cartes d’abonnement, pour qu’une augmentation de prix échoue plutôt que d’être débitée.
4. Nommez chaque carte d’après le commerçant, pour que la liste des transactions soit lisible et qu’une charge inattendue ressorte.
5. Mettez en pause plutôt que fermez quand vous prévoyez de reprendre un service, et fermez quand vous ne le ferez pas.
6. Gardez une carte réelle pour les commerçants qui rejettent les plages virtuelles, afin qu’un paiement bloqué ne devienne pas une urgence.

Erreur courante : considérer une carte virtuelle comme un substitut à la vigilance sur vos relevés. Le verrouillage commerçant empêche une catégorie de dommages. Il ne détecte pas un compte compromis à votre banque, un transfert non autorisé ou une charge frauduleuse sur la vraie carte associée.

Points clés à retenir #

• Une carte virtuelle change le numéro que le commerçant stocke. Votre vrai PAN ne leur parvient jamais, c’est tout le mécanisme.
• Elle ne rend pas la transaction privée. Votre banque, le réseau et l’émetteur la voient toujours, et la vérification d’identité est obligatoire.
• Le verrouillage commerçant est la fonctionnalité la plus précieuse, car un numéro divulgué échoue alors partout ailleurs.
• Le niveau gratuit inclut les contrôles de sécurité. Les plans payants ajoutent organisation et commodité plutôt que protection.
• La bande magnétique stocke les données de la carte en clair et sera supprimée d’ici 2033, les banques US arrêtant l’émission en 2027.
• Le CVV n’est pas sur la bande, c’est pourquoi un skimmer copiant les pistes ne dispose pas de ce que beaucoup de commerçants en ligne exigent.
• Certains commerçants rejettent les plages de cartes virtuelles. Gardez une carte réelle en secours.
• Vérifiez la banque émettrice plutôt que de faire confiance à une affirmation de programme de cartes, et contrôlez vous-même le préfixe PAN.

Étapes suivantes #

1. Inspectez les données de piste de votre propre carte et voyez exactement ce que contient une bande magnétique : Décodeur et encodeur de bande magnétique
2. Gelez votre crédit si ce n’est pas déjà fait, c’est le contrôle le plus efficace contre la fraude liée à l’ouverture de nouveaux comptes : Sécurité financière personnelle
3. Appliquez la discipline de hiérarchisation pour décider de l’effort à consacrer selon votre situation : Liste de contrôle de sécurité personnelle priorisée
4. Examinez les plans et conditions actuelles de Privacy.com avant de vous abonner : Privacy.com
5. Vérifiez si vos données apparaissent déjà dans une fuite avant de supposer que vous n’êtes pas affecté : Have I Been Pwned
6. Lisez la liste de contrôle de sécurité des paiements pour la contrepartie organisationnelle : Liste de contrôle de réponse aux incidents

Références #

1. Privacy.com - ce que sont les cartes virtuelles, verrouillage commerçant et limites de dépenses
2. Carte numérique - Wikipédia, couvrant cartes numériques versus virtuelles, pistes de bande magnétique, codes de service, parité et LRC
3. ISO/IEC 7813:2006 - cartes d’identification, cartes de transaction financière, structure des données des pistes 1 et 2
4. ISO/IEC 7813 - disposition détaillée des champs de piste, incluant sentinelles et codes de service
5. Conseil des normes de sécurité PCI - exigences pour l’environnement des données des titulaires de carte
6. Bureau de protection financière des consommateurs - rapports et scores de crédit
7. Encodage de données ANSI/ISO ALPHA, jeu de caractères de la piste 1 et tableau de parité
8. Caractères ISO des cartes magnétiques, jeux de la piste 1 et piste 2 côte à côte
9. Lecture des données de carte magnétique, guide pratique avec scan en direct d’une carte