Stripe Checkout et liens de paiement : lequel choisir, et ce que Stripe gère pour vous

Deux portes vers la même page de paiement

La documentation de Stripe indique que les liens de paiement utilisent Checkout : l'essentiel de ce qui vaut pour l'un vaut pour l'autre. La différence tient à la création de la page. Un lien de paiement se crée une fois, dans le tableau de bord Stripe ou par l'API, puis se réutilise : selon Stripe, il peut servir de nombreuses fois à de nombreux clients, ou être limité à un nombre d'achats. Une session Checkout est créée par votre serveur pour chaque achat, avec les articles, le client et les options exacts de cette commande.

Ce que Stripe prend en charge

• Le formulaire de paiement, sur une page hébergée par Stripe et adaptée à la langue du client : Stripe indique que les liens de paiement gèrent plus de 30 langues, selon la langue du navigateur.
• Les moyens de paiement : les liens de paiement affichent dynamiquement plus de 40 moyens de paiement, gérés depuis le tableau de bord sans code ; Stripe indique que l'API Checkout Sessions accepte plus de 125 moyens de paiement locaux pour les paiements ponctuels et les abonnements.
• La devise locale via Adaptive Pricing, si elle est activée.
• Les taxes : Stripe Tax est pris en charge dans les deux cas.
• Reçus et remboursements : les liens de paiement proposent des reçus automatiques et des remboursements sans code.
• Les promotions : codes promo, articles optionnels et ventes additionnelles.

Sécurité des cartes et PCI : ce qui change, ce qui vous reste

Le guide de sécurité d'intégration de Stripe présente la conformité PCI comme une responsabilité partagée. Stripe est certifié chaque année comme prestataire PCI de niveau 1 ; en tant qu'entreprise qui encaisse, vous devez le faire de manière conforme et l'attester chaque année. Les intégrations « à faible risque » de Stripe envoient les informations de paiement directement à Stripe sans passer par vos serveurs, ce qui réduit vos obligations PCI ; à l'inverse, manipuler soi-même les numéros de carte peut imposer plus de 300 contrôles de sécurité.

Certaines choses restent à votre charge : les pages de paiement doivent utiliser TLS 1.2 ou plus, tous les échanges entre votre serveur et Stripe doivent passer en HTTPS, et si vous utilisez des webhooks, vous devez vérifier leurs signatures.

Livrer la commande : pourquoi les webhooks sont indispensables

C'est le point que ratent la plupart des petits sites. Le guide de traitement des commandes de Stripe le dit nettement : on ne peut pas déclencher la livraison uniquement depuis la page qui suit le paiement, car rien ne garantit que le client y arrive ; il peut payer puis perdre sa connexion avant qu'elle se charge. Stripe précise que les webhooks sont nécessaires pour la livraison, et en particulier si vous vendez des abonnements ou acceptez des moyens de paiement dont la réussite est confirmée plus tard.

• Écouter l'événement checkout.session.completed, et checkout.session.async_payment_succeeded pour les moyens de paiement différés comme les prélèvements bancaires.
• Écrire une seule fonction de livraison qui vérifie le statut de paiement de la session, livre la commande et enregistre qu'elle l'a fait.
• La rendre sûre à exécuter plusieurs fois : Stripe prévient qu'elle peut être appelée plus d'une fois, même simultanément, pour la même session, et demande de ne livrer qu'une fois par paiement.
• La déclencher aussi depuis la page de retour si vous voulez une livraison immédiate pendant que le client est là ; Stripe le recommande en plus des webhooks, pas à leur place.

Lequel pour une petite entreprise ?

Comment nous mettons en place les paiements chez Takat

Sur nos propres sites marchands, nous utilisons un paiement Stripe en un clic avec le minimum de champs, testé sur un téléphone de 390 pixels de large, une ligne de réassurance sous chaque bouton avec des faits vrais uniquement, et la livraison immédiate des produits numériques par e-mail. Voir Paiement en ligne et Pages de vente.