KYC pour les paiements crypto : ce que les développeurs et les entreprises doivent vérifier

KYC pour les paiements crypto signifie identifier et vérifier votre client avant, ou pendant, que vous déplaciez de la valeur pour son compte. Le fait d’avoir à le faire dépend moins de la technologie que de l’activité de votre entreprise : conservation des fonds des clients, échange de crypto contre de la monnaie fiduciaire, ou simple fourniture de logiciels. Ce guide explique où commence l’obligation, quels sont les contrôles standards, comment les règles diffèrent selon les juridictions, et quoi décider avant d’intégrer un flux de paiement dans votre application.

TL;DR

• Le KYC est une couche de la conformité des paiements crypto, aux côtés de l’évaluation des risques, du filtrage des sanctions, de la surveillance des transactions, de la conservation des archives et, le cas échéant, des données de la Travel Rule.
• Les services de conservation, les plateformes d’échange et les rampes d’accès fiat sont les points habituels où s’effectuent les vérifications d’identité. Les fournisseurs de logiciels neutres peuvent se trouver en dehors du périmètre, selon leurs activités et leur juridiction.
• Les contrôles standards couvrent le nom, la date de naissance, l’adresse et une pièce d’identité officielle, avec un selfie et des informations supplémentaires pour les clients à risque plus élevé.
• Le bon niveau de contrôles est basé sur le risque, et non un contrôle unique identique pour chaque paiement.
• Définissez votre statut réglementaire avec un conseil juridique d’abord, puis intégrez la vérification et la surveillance dans le flux de paiement lui-même.

Table des matières

• Ce que signifie KYC dans un flux de paiement crypto
• Qui doit réellement vérifier les clients
• Les contrôles couramment requis
• Basé sur le risque, pas taille unique
• La Travel Rule et les portefeuilles auto-hébergés
• Les règles changent selon la juridiction
• Ce qu’il faut vérifier avant d’intégrer un flux de paiement
• Notre point de vue
• Construisez le côté technique avec Chaingateway
• FAQ
• Sources

Ce que signifie KYC dans un flux de paiement crypto

KYC signifie « know your customer » (connaître votre client). En pratique, cela couvre l’identification et la vérification du client, la compréhension de l’objet et de la nature prévue de la relation ou de la transaction, et la prise de mesures raisonnables pour vérifier les bénéficiaires effectifs. C’est ainsi que le guide JMLSG du Royaume-Uni pour les fournisseurs de services d’échange de cryptoactifs et les fournisseurs de portefeuilles de conservation le formule.

Le KYC n’est pas la totalité de la conformité. Autour s’articulent l’évaluation des risques LBC/FT, le filtrage des sanctions et autres, la surveillance des transactions, la déclaration d’opérations suspectes, la conservation des archives et, le cas échéant, les informations de la travel rule. Lorsque les gens recherchent « conformité paiements crypto », ils désignent généralement cette pile complète, et le KYC en est la porte d’entrée.

La base mondiale provient du Groupe d’action financière (GAFI). Ses directives actualisées sur les actifs virtuels et les fournisseurs de services d’actifs virtuels stipulent que les PSAN doivent appliquer des mesures préventives LBC/FT, y compris la vigilance à l’égard de la clientèle, la conservation des archives, la déclaration d’opérations suspectes et la travel rule. Les lois nationales mettent ensuite en œuvre cette base, chacune à sa manière.

Qui doit réellement vérifier les clients

La première question n’est pas « quel fournisseur KYC choisir ? » Elle est « sommes-nous le type d’entreprise qui doit vérifier qui que ce soit ? »

Services de conservation et plateformes d’échange

Si vous détenez des fonds clients, échangez des cryptomonnaies contre d’autres actifs ou de la monnaie fiduciaire, ou si vous protégez et administrez des cryptoactifs, vous êtes probablement concerné. Les directives de la JMLSG indiquent que les fournisseurs de services d’échange et les fournisseurs de portefeuilles de conservation entrent généralement dans le champ des exigences de vigilance à l’égard de la clientèle. La conservation et le transfert des clés des clients peuvent également faire entrer une entreprise dans le périmètre.

Fournisseurs de logiciels neutres

Ces mêmes directives précisent que les développeurs de logiciels et autres fournisseurs connectés à des systèmes décentralisés peuvent se situer en dehors du périmètre. Cela dépend de leurs activités et de savoir s’ils tirent profit des transactions. « Peuvent » est le mot clé. Vos propres choix de conception, comme le fait de contrôler un jour les clés ou de prélever une commission sur les flux, peuvent vous faire basculer de l’autre côté de la ligne.

Rampes d’accès et de sortie en monnaie fiduciaire

Les blockchains sans permission n’ont pas d’intermédiaire unique responsable. La Banque des règlements internationaux explique dans son bulletin sur la conformité anti-blanchiment pour les cryptoactifs que la vérification des clients est généralement effectuée là où la crypto rencontre le système financier conventionnel, comme les plateformes d’échange et les rampes de sortie. Elle ajoute que l’historique des transactions sur la blockchain peut compléter les contrôles KYC et AML.

C’est pourquoi un commerçant qui ne fait que recevoir des cryptomonnaies n’effectue souvent jamais de vérifications d’identité directement, tandis que la plateforme où le payeur a acheté les pièces l’a fait. C’est aussi pourquoi la réponse change dès que vous ajoutez une conversion en monnaie fiduciaire ou un solde de conservation.

Flux	Qui vérifie généralement le client	Ce qu’il faut confirmer
Portefeuille de conservation ou solde détenu pour les utilisateurs	Vous, en tant que fournisseur de services	Licence ou enregistrement, vigilance complète, surveillance
Rampe d’accès ou de sortie en monnaie fiduciaire	La plateforme d’échange ou le processeur réglementé	Qui est la partie réglementée, et quelles données elle exige de vous
Paiements en auto-conservation, logiciel uniquement	Souvent personne à votre niveau	Si vos activités et votre bénéfice tiré des transactions vous mettent dans le périmètre
Transferts vers ou depuis des portefeuilles auto-hébergés	Le fournisseur réglementé de l’autre côté	Règles locales sur la propriété du portefeuille et la règle de voyage

Les vérifications couramment requises

Pour un particulier, l’ensemble standard est simple. Les fournisseurs collectent et vérifient un nom complet, une date de naissance et une adresse de résidence, et contrôlent une pièce d’identité officielle valide telle qu’un passeport ou un permis de conduire. Le guide de Veriff sur le KYC crypto ajoute que des vérifications renforcées peuvent demander un selfie et des informations supplémentaires, et que les exigences varient selon les plateformes. L’aperçu de Plaid sur le KYC pour la crypto décrit le même ensemble de données et indique que les clients suspects peuvent se voir demander davantage.

Le même guide de Veriff note que les plateformes restreignent généralement les achats, retraits ou dépôts jusqu’à la fin de la vérification, et que le KYC basé sur le risque peut inclure le filtrage des sanctions, des personnes politiquement exposées et des médias défavorables, ainsi qu’une surveillance continue.

Certains marchés vérifient différemment. Le centre d’aide d’un fournisseur explique comment, en Indonésie, en Afrique du Sud et au Nigeria, la vérification sans document contrôle généralement un numéro officiel automatiquement : le NIK, le numéro de carte d’identité nationale ou le NIN. Si vous servez des utilisateurs dans plusieurs pays, attendez-vous à ce que la méthode de vérification change selon la région, et pas seulement les règles.

Ce qui ralentit la vérification

Les sources que nous avons examinées ne fournissent pas de chiffres fiables sur les délais, nous n’en inventerons donc pas. Les causes pratiques sont prévisibles à partir des contrôles eux-mêmes : un document qui ne correspond pas au nom ou à l’adresse saisis, une image que le système ne peut pas lire, un client qui déclenche une alerte de filtrage, ou une demande d’informations supplémentaires sur un profil à risque plus élevé. Concevez votre processus d’onboarding pour qu’un client puisse soumettre à nouveau sans tout recommencer, et pour que votre équipe de support puisse voir pourquoi un dossier est en attente.

Basé sur le risque, pas taille unique

L’approche du GAFI est basée sur le risque. L’intensité de la vigilance client et de la surveillance doit refléter le client, le produit, la transaction et la géographie. Un petit paiement récurrent d’un client vérifié ne présente pas le même risque qu’un premier transfert important provenant d’une source floue.

La vigilance renforcée est là que cela se manifeste. L’unité de renseignement financier de Malte, dans ses procédures d’application pour le secteur des crypto-actifs, souligne les scénarios à risque plus élevé qui l’exigent, tels que les transactions impliquant des juridictions à haut risque, des schémas inhabituels, ou une origine de patrimoine ou de fonds qui ne peut être conciliée avec les volumes de transactions connus.

Déclencheurs typiques de vigilance renforcée que vous pouvez encoder en règles :

1. Un client ou une contrepartie lié à une juridiction à haut risque.
2. Des montants ou une fréquence de paiement qui s’écartent du schéma établi du client.
3. Des fonds qui ne correspondent pas à l’origine de patrimoine déclarée.
4. Des informations d’ordonnateur ou de bénéficiaire manquantes ou incomplètes sur un transfert entrant.

Les équipes dans d’autres catégories de paiement à haut risque exécutent déjà ce type de surveillance client basée sur le risque, avec souscription, filtrage anti-fraude et révision continue. Les équipes crypto peuvent emprunter la même discipline : définir le déclencheur, router le dossier, enregistrer la décision.

La Travel Rule et les portefeuilles auto-hébergés

La Travel Rule exige que les informations d’identification de l’expéditeur et du destinataire accompagnent un transfert. Les règles de l’Union européenne sur les transferts de crypto-actifs, en vigueur depuis le 30 décembre 2024, obligent les prestataires à inclure les détails de l’ordonnateur et du bénéficiaire. Pour les transferts de plus de 1 000 € impliquant une adresse auto-hébergée, le prestataire doit vérifier si la personne concernée possède ou contrôle cette adresse.

Les directives finales de l’Autorité bancaire européenne exigent une méthode de vérification pour les portefeuilles auto-hébergés par défaut, selon l’analyse des directives par Notabene. La même analyse indique que les prestataires ayant des limitations techniques pourraient utiliser des étapes techniques supplémentaires jusqu’au 31 juillet 2025, bien que la conformité totale reste obligatoire.

La règle de voyage (Travel Rule) n’est pas appliquée de manière uniforme dans le monde. Selon les chiffres du GAFI 2024 cités dans les directives de l’Autorité monétaire des Bermudes sur la règle de voyage, environ 30 % des juridictions n’avaient pas mis en œuvre de législation sur la règle de voyage. Ces mêmes directives indiquent que les prestataires de services de paiement doivent conserver les messages de la règle de voyage et obtenir, vérifier, transmettre ou enregistrer les informations du donneur d’ordre et du bénéficiaire, selon le cas. Des informations manquantes ou incomplètes peuvent justifier des mesures renforcées et des évaluations de suspicion.

Les règles varient selon la juridiction

La règle qui s’applique à vous est celle des lieux où vous opérez et où résident vos utilisateurs. Quelques exemples tirés de pages officielles et de régulateurs montrent à quel point les détails diffèrent :

• Union européenne : les règles de transfert ci-dessus, avec un seuil de 1 000 € pour la vérification des portefeuilles auto-hébergés.
• Bermudes : Le règlement 22(1) couvre tous les transferts de fonds, en toute devise, envoyés ou reçus par un prestataire de services de paiement, y compris les transferts d’actifs numériques. Le régulateur attend un registre des contreparties à jour et la conservation des messages de la règle de voyage, conformément aux directives de l’AMB mentionnées ci-dessus.
• Suisse et Liechtenstein : pour les portefeuilles auto-hébergés, la Suisse exige une vérification d’identité et une preuve de propriété, tandis que le Liechtenstein impose une vigilance renforcée, comme le rapporte l’aperçu de Notabene sur les règles des portefeuilles non hébergés.
• Royaume-Uni : les directives du JMLSG sur les entités entrant dans le périmètre, évoquées ci-dessus.

Si vous servez des clients américains, le cadre américain est une question à part entière. Le point général issu de la recherche reste valable : le KYC est une obligation légale imposée par les autorités de supervision financière, et celle qui s’applique à vous dépend de votre activité et de votre localisation. Obtenez un avis écrit d’un avocat spécialisé dans la transmission de fonds et la LBC/FT sur vos marchés cibles avant de lancer votre activité.

Ce qu’il faut vérifier avant d’intégrer un flux de paiement

Utilisez cette liste à l’étape de planification, pas après le lancement.

1. Cartographiez votre activité. Conservez-vous jamais des clés ou des soldes pour les utilisateurs ? Convertissez-vous en monnaie fiduciaire ? Prélevez-vous une part sur les transactions ? Chaque « oui » vous rapproche d’un statut réglementé.
2. Identifiez la partie régulée. Dans chaque flux, notez par écrit qui effectue la vérification d’identité du client (due diligence). S’il s’agit d’un partenaire, obtenez ses exigences en matière de données par écrit.
3. Listez vos juridictions. Où êtes-vous constitué, et où se situent vos utilisateurs et contreparties ? Vérifiez le statut de la règle de voyage pour chacune.
4. Définissez vos seuils. Fixez des montants et des déclencheurs de risque qui font basculer un paiement vers des vérifications renforcées.
5. Planifiez la protection des données. Les pièces d’identité sont sensibles. Limitez les personnes autorisées à les consulter, définissez les durées de conservation avec votre conseil juridique, et séparez les données de vérification des données de paiement dans la mesure du possible.
6. Attribuez les responsabilités. Une personne doit piloter le programme de conformité, les alertes sanctions et les décisions d’activité suspecte. « L’équipe technique » n’est pas un responsable.
7. Conservez les traces. Archivez la décision, les données utilisées et l’horodatage pour chaque contrôle, afin de pouvoir justifier votre démarche.

Intégrer les règles dans le code

Un point de vue de praticien dans la recherche est que la conformité fonctionne mieux lorsqu’elle est intégrée dans les flux de fonds sous forme de règles déterministes plutôt que comme un processus manuel distinct. Nous sommes d’accord avec l’idée d’ingénierie qui la sous-tend. Un paiement qui ne peut pas atteindre l’état « released » tant que les vérifications requises ne sont pas passées est plus facile à auditer qu’un tableur d’exceptions.

Notre perspective

Nous construisons la plomberie, pas l’avis juridique. Chaingateway est une API unifiée pour créer des portefeuilles, envoyer des transferts de tokens, recevoir des notifications webhook et lire des données de transactions décodées sur des chaînes telles qu’Ethereum, Bitcoin, Tron, Solana, Polyggon, BNB Chain et Arbitrum. La conformité est une couche que vous ajoutez par-dessus, et le meilleur endroit pour l’ajouter est là où les paiements changent d’état.

C’est pourquoi nous considérons les webhooks comme un outil de conformité autant que comme une commodité. Lorsqu’un événement de paiement entrant arrive déjà décodé, avec l’expéditeur, le destinataire, le token et le montant dans une seule charge utile, vous pouvez le filtrer selon vos règles avant de créditer quoi que ce soit. Votre propre moteur de règles décide de libérer, de mettre en attente ou d’escalader. Votre fournisseur KYC décide de l’identité du client. L’API blockchain vous dit ce qui s’est réellement passé on-chain.

Nous mettrions également en garde contre deux habitudes. L’une consiste à traiter le KYC comme un formulaire unique à l’inscription, alors que la surveillance basée sur le risque est continue. L’autre consiste à supposer que « nous ne sommes qu’un logiciel » règle votre statut. Le régulateur regarde ce que vous faites, pas comment vous vous appelez.

— Bitblade

Construisez le côté technique avec Chaingateway

Une fois votre modèle de conformité clair, le travail d’ingénierie consiste en la création de portefeuilles, les transferts et la gestion des événements. Notre API Blockchain vous donne une interface REST unique sur sept chaînes, avec estimation automatique du gaz et requêtes signées HMAC, et aucun nœud à exécuter. Les Webhooks et notifications d’événements envoient des événements de paiement en temps réel à votre backend, ce qui est le point d’ancrage naturel pour la logique de filtrage et de surveillance. Si vous partez de zéro, notre guide sur la création d’un portefeuille crypto avec une API vous guide à travers les premières étapes.

Les plans commencent à 49 € par mois pour Plus, 99 € pour Pro, 249 € pour Premium et 499 € pour Enterprise, ou 490 €, 990 €, 2 490 € et 4 990 € par an. Les détails et les limites des plans sont sur la page de tarification, et vous pouvez essayer l’API avant de vous abonner.

Sources

• JMLSG Guidance Part II, Sector 22: cryptoasset exchange providers and custodian wallet providers
• FATF: Updated Guidance for a Risk-Based Approach for Virtual Assets and VASPs
• BIS Bulletin: An approach to anti-money laundering compliance for cryptoassets
• Veriff: What is KYC in crypto?
• Plaid: KYC for crypto
• Doto Help Center: KYC compliance
• FIAU Malta: Implementing Procedures Part II, Crypto-Assets Sector
• EUR-Lex: Information accompanying transfers of funds and certain crypto-assets
• Notabene: The EBA’s final Travel Rule guidelines
• Bermuda Monetary Authority: Travel Rule compliance and implications
• Notabene: Travel Rule compliance with unhosted wallets
• DavinciPay: payment processing for high-risk businesses

Recommandé

• RPC API Beta Release — Level Up Your Crypto Journey
• Blockchain APIs for E-Commerce: A Revolution
• Developer: Ship Recurring Crypto Payments in 90 Days, EIP & 2026
• How to Create a Crypto Wallet with an API: 2026 Guide