Carte virtuelle entreprise : sécurité et usages

La carte virtuelle entreprise, c'est un numéro de carte de paiement qui n'existe que sous forme numérique, sans plastique dans un portefeuille. Concrètement, on parle d'un « Virtual Card Number » (VCN) : 16 chiffres, une date d'expiration et un cryptogramme, exactement comme une carte classique, mais délivrés via un portail web ou une API, à la demande^[2]. Le principe est ancien chez les particuliers ; il s'est imposé en B2B parce qu'il règle deux problèmes qui empoisonnent la vie des directions financières : la traçabilité et l'exposition à la fraude.

Là où une carte physique est un objet unique réutilisable indéfiniment, la carte virtuelle se génère en quelques secondes et, selon la configuration, pour une seule transaction. On distingue en général trois familles : la carte virtuelle réutilisable (un numéro persistant pour un collaborateur ou un usage), la carte multi-usage limitée (plafonnée dans le temps ou par montant) et la carte à usage unique, éphémère, détruite après la transaction^[3]. Plus l'usage est ciblé, plus la surface d'attaque se réduit. C'est toute la logique du produit.

La dernière nuance compte : une carte virtuelle repose sur un compte finançeur unique (celui de l'entreprise), mais chaque numéro dérivé est indépendant. Compromettre un numéro virtuel ne donne accès qu'aux limites fixées sur ce numéro, jamais au compte principal. C'est ce cloisonnement qui transforme un outil de paiement en outil de pilotage.

La sécurité est le premier argument des émetteurs, et les chiffres lui donnent raison. Dans son enquête 2025 sur les fraudes de paiement, l'AFP (Association for Financial Professionals) mesure la fraude par canal : 63 % des entreprises ont subi des attaques sur les chèques en 2024, 38 % sur les virements via l'usurpation d'identité (Business Email Compromise), et seulement 5 % sur les cartes virtuelles^[1]. L'écart n'est pas marginal : il est d'un ordre de grandeur.

Les raisons tiennent à la mécanique du produit. D'abord, un numéro à usage unique ne sert qu'une fois : volé après la transaction, il est déjà désactivé. Ensuite, chaque carte virtuelle est configurée à la création : montant, devise, période de validité, marchand autorisé, ce qui rend une utilisation détournée quasi impossible au-delà du périmètre défini. Enfin, le numéro virtuel n'expose jamais les coordonnées du compte principal. Les quelques cas de fraude recensés viennent rarement du paiement lui-même : ils naissent de l'ingénierie sociale, quand un collaborateur est piégé pour émettre un paiement vers un faux fournisseur^[1].

La carte virtuelle ne sert pas à tout. Elle brille sur quatre terrains précis, où la traçabilité et le contrôle par transaction rapportent plus que le confort d'un plastique.

1. Le marketing et l'achat média. C'est le cas d'école. Une agence ou une équipe growth lance des campagnes sur plusieurs plateformes (Google, Meta, LinkedIn…). Au lieu d'une carte unique partagée (cauchemar de réconciliation), on génère un numéro par campagne, voire par client. Le spend est automatiquement rangé : plus de rapprochement manuel, et une anomalie (un pic sur une campagne dormant) saute aux yeux immédiatement. Pour les agences médias, c'est devenu un standard de fait.

2. Les abonnements et logiciels (SaaS). Le shadow IT coûte cher : des abonnements souscrits par équipes, oubliés, qui se renouvellent pendant des années. Une carte virtuelle par abonnement règle le problème en amont : plafond calé sur le tarif, désactivation automatique à la résiliation, visibilité totale sur les renouvellements. Et quand un fournisseur SaaS change de tarif sans prévenir, la carte refuse : l'alerte est immédiate, là où une carte classique aurait laissé passer.

3. Les paiements fournisseurs. Historiquement, c'est le territoire du chèque et du virement, les deux canaux les plus fraudés^[1]. La carte virtuelle à usage unique, émise pour un règlement précis, accélère l'encaissement côté fournisseur et supprime le risque d'interception d'un RIB ou d'un chèque. Les émetteurs qui ciblent ce segment mettent en avant la baisse des jours de crédit client (DSO) et une réconciliation automatisée : deux gains que ne propose aucun virement.

4. Le voyage d'affaires. Réservation de vol, hôtel, train, notes de restaurant : une carte virtuelle par déplacement, plafonnée au budget du trajet, clôturée au retour. Les voyageurs n'avancent plus de frais personnels, la direction financière suit chaque dépense en temps réel, et il n'y a plus de carte physique à perdre en mission. Ce usage est d'ailleurs l'un des plus documentés dans la littérature B2B sur les cartes virtuelles.

Posée ainsi, la question est mal formulée. La carte virtuelle ne remplace pas la carte physique : elle la complète. La carte physique reste indispensable partout où le paiement se fait « en présence » de la carte : un péage, une station-service, un restaurant en déplacement, un distributeur. La carte virtuelle, elle, excelle sur le « carte non présente » (e-commerce, abonnement, paiement fournisseur en ligne). Sur les deux terrains, le contrôle temps réel s'applique : plafonds, blocage instantané, alertes par transaction.

Le bon modèle, pour la plupart des entreprises, c'est la coexistence : une carte physique pour les usages de terrain (carburant, péage, restauration en déplacement), complétée par des cartes virtuelles pour les flux en ligne. C'est précisément ce que propose une carte carburant intégrée à une suite de paiement pro : un seul back-office pour les deux supports, plutôt que deux outils qui s'ignorent.

Un point souvent sous-estimé : la carte virtuelle se prête au contrôle temps réel mieux que la physique. Sur une physique, ajuster un plafond suppose un échange avec l'émetteur ; sur une virtuelle, le paramétrage se modifie à la volée depuis le portail. Pour une équipe finance qui doit ouvrir un plafond le temps d'un salon professionnel puis le refermer le soir même, l'écart est réel.

Le marché de la carte virtuelle B2B a explosé : le volume mondial de paiements B2B par carte virtuelle est devenu le segment dominant du marché, et l'usage à paiement unique représentait près de 60 % du marché en 2024^[4]. Côté offreurs, deux familles se partagent l'espace.

D'un côté, les plateformes de gestion des dépenses (Brex, Ramp, la carte corporate de Spendesk, Mooncard) qui intègrent la carte virtuelle dans un flux de notes de frais et d'approbations. De l'autre, les infrastructure d'émission (Stripe Issuing en tête) qui permettent à n'importe quelle entreprise de créer ses propres cartes virtuelles via API. Les réseaux (Visa, Mastercard) alimentent l'ensemble et font office de référentiel de sécurité^[2]. Greenway se positionne sur le premier terrain : une carte virtuelle entreprise intégrée à une suite qui couvre aussi carburant, péage et recharge, le tout piloté depuis un seul back-office, avec 1 % de chaque transaction reversé via le programme 1%ForAll®.

Pour choisir, deux critères pèsent plus que le tarif brut : la profondeur d'intégration (la carte dialogue-t-elle avec votre compta, votre gestion de flotte, votre outil de notes de frais ?) et la qualité du contrôle temps réel (plafond par transaction, blocage à distance, alertes). Une carte virtuelle livrée sans back-office digne de ce nom ne délivre que la moitié de la promesse.

Pour aller plus loin sur la logique d'intégration et l'usage plus large de la carte corporate, notre analyse sur la carte corporate au service de la RSE et notre panorama des cartes de paiement pro intelligentes complètent la picture.