Payer quand il n’y a aucun réseau

Les réseaux tombent aux pires moments possibles : jour de marché, l’heure avant la fermeture, l’après-midi où tout le monde est payé.

Quand le signal s’en va, le paiement numérique s’arrête et tout le monde revient aux espèces — précisément au moment où un commerçant en porte le plus.

La solution évidente et son trou évident

Laisser les deux téléphones s’accorder entre eux et se synchroniser plus tard.

Cela marche à merveille jusqu’à ce que quelqu’un comprenne qu’il peut faire la même promesse hors réseau à quatre commerçants différents dans quatre coins du marché, et disparaître avant qu’aucun des téléphones ne trouve un signal.

Le paiement hors réseau est facile. Le paiement hors réseau qui n’est pas une machine à double dépense est le vrai problème.

Une promesse signée et comptée

Le téléphone du payeur produit une promesse portant le montant, un nonce et un compteur par appareil, signée par la clé enrôlée de l’appareil.

Le téléphone du commerçant vérifie cette signature sans aucun réseau. Il ne peut pas fabriquer de promesse, parce qu’il ne détient pas la clé du payeur.

Le nonce fait qu’une promesse rejouée est reconnue. Le compteur fait qu’un trou est visible : si un appareil synchronise les promesses 41, 42 et 44, quelqu’un détient la 43 et le système sait qu’il faut la chercher.

La part honnête

On ne peut pas rendre la dépense hors réseau sans risque. Quiconque prétend le contraire vend quelque chose.

Ce que l’on peut faire, c’est borner l’exposition et dire la vérité à son sujet :

• Les plafonds limitent ce qui peut être promis hors réseau avant synchronisation.
• L’échéance fait qu’une promesse non synchronisée ne reste pas éternellement une créance ouverte.
• Les trous de compteur sont listés par appareil : un téléphone qui a cessé de se synchroniser est visible au lieu d’être présumé sain.
• Et les deux côtés voient les mots en attente de confirmation plutôt qu’une coche verte.

Ce dernier point compte le plus. Un commerçant qui sait qu’un paiement est une promesse peut décider de remettre ou non la marchandise selon le montant et le client. Un commerçant à qui l’on montre une coche qui ne veut rien dire s’est fait mentir.

Ce qui reste préférable aux espèces

Les espèces un jour de marché, c’est porter des billets dans une foule et les garder la nuit. Une promesse signée par un appareil enrôlé, en attente de confirmation, bornée par un plafond, est un risque plus petit qu’une caisse pleine — et considérablement plus petit qu’une capture d’écran sur le téléphone d’un inconnu.

Au retour du signal

Les promesses se synchronisent et se règlent. Les deux côtés voient le paiement passer d’en attente à réglé, et le commerçant voit l’argent.

La vente a eu lieu quand le client était là. Le règlement a eu lieu quand le réseau l’a permis. Ce sont deux événements différents, et le produit ne prétend pas qu’ils n’en font qu’un.

Ce que vous pouvez vérifier

Ce sont des faits sur la plateforme en fonctionnement, pas des adjectifs. Chacun est visible dans le produit, dans la référence de l’API ou dans le grand livre.

• Une promesse est signée par la clé d’appareil enrôlée du payeur : elle ne peut pas être fabriquée par le téléphone du commerçant.
• Chaque promesse porte un nonce et un compteur par appareil ; une promesse rejouée est reconnue et une valeur de compteur manquante apparaît comme un trou.
• L’état en attente est montré aux deux côtés en mots clairs au lieu d’être présenté comme un paiement abouti.
• Les promesses ont une échéance : une promesse non synchronisée ne reste pas indéfiniment une créance ouverte.
• Les trous de compteur sont listés par appareil : un appareil qui a cessé de se synchroniser est visible au lieu d’être présumé sain.

Ce que cela coûte

Aucun frais supplémentaire. Le paiement est tarifé comme un paiement ordinaire lorsqu’il se règle.

Est-ce activé ?

La disponibilité dépend des autorisations en place et de ce que l’administrateur d’un déploiement donné a activé. Cela change, un article non — la réponse vivante est donc sur la page de la fonctionnalité, qui la lit dans la plateforme elle-même : Paiements hors réseau sur la page des fonctionnalités.

À lire ensuite

• Paiements BitriQR — Un code au mur. Tous les payeurs qu’il peut atteindre.
• USSD et SMS — Pas de smartphone. Pas de données. Le même compte.
• BitriPay Lite — Fonctionne avec la connexion que vous avez vraiment.