1. Qu'est-ce qu'une carte virtuelle ?
Une carte virtuelle est un numéro de carte bancaire à 16 chiffres (avec date d'expiration et cryptogramme CVV) généré à la demande. Il est valable une seule fois, jusqu'à un plafond précis ou pendant une durée limitée. Il n'existe aucune carte physique, seulement ce numéro.
Mécanique de génération
Étape 1 : connectez-vous à l'app mobile de votre banque (Wafa Pay, BMCE Direct, CIH Mobile). Étape 2 : ouvrez la section "Carte virtuelle" ou "e-shopping". Étape 3 : choisissez les paramètres : montant maximum (10 à 50 000 MAD), durée de validité (1 jour, 7 jours, 1 mois, 1 an), usage unique ou réutilisable. Étape 4 : l'app génère immédiatement un numéro à 16 chiffres, un CVV et une date d'expiration. Étape 5 : vous l'utilisez sur le site marchand comme une carte classique. Étape 6 : le montant est débité automatiquement de votre compte courant ou de la provision. Après usage ou expiration, le numéro n'est plus valide et un fraudeur ne peut pas le réutiliser.
Différence avec une carte bancaire classique
Une carte classique a un seul numéro, permanent jusqu'à son expiration (3-5 ans), qui sert pour tous vos achats en ligne. Si un site est piraté et le numéro volé, la carte reste compromise pour tous vos achats futurs, jusqu'à l'opposition et la refabrication (15-30 jours sans carte). La carte virtuelle a un numéro jetable, par achat ou par marchand, qui expire vite (souvent 24h). Même volé après l'achat, ce numéro est déjà invalide, et le risque est donc inexistant. Avec une carte classique, vous confiez à chaque visiteur la vraie clé de votre appartement ; avec une carte virtuelle, une clé à usage unique.
Quand utiliser une carte virtuelle ?
(1) Achats sur des sites internationaux non certifiés 3D Secure (sites chinois, plateformes de second rang). (2) Abonnements récurrents que vous voulez pouvoir arrêter sans passer par le marchand (Netflix, logiciels, salles de sport en ligne). (3) Premier achat chez un marchand inconnu, pour tester. (4) Achat sur un site qui vous inspire un doute mais où vous voulez quand même commander. (5) Achat à montant exact pour tenir un budget : avec 250 MAD chargés pour Netflix, le marchand ne peut pas prélever davantage.
2. Comparatif de 5 banques marocaines en 2026
En 2026, 5 banques proposent activement des cartes virtuelles à leurs clients. Elles diffèrent surtout par le plafond, la durée de validité et les options.
Attijariwafa Bank : Wafa Pay e-card et Simple Pay
Disponible depuis 2018 dans l'app Wafa Pay, pour les titulaires d'un compte AWB avec carte Visa ou Mastercard. Le service est gratuit et illimité : vous générez autant de cartes virtuelles que vous voulez. Plafond unitaire de 50 000 MAD, durée de validité paramétrable (1 jour à 1 an), usage unique ou réutilisable. La carte est compatible 3D Secure (Verified by Visa, MasterCard SecureCode), avec authentification par SMS sur votre mobile et par biométrie (Touch ID, Face ID) dans l'app Wafa Pay. Le numéro et le CVV se copient en un clic pour les coller dans le formulaire du site. Depuis mai 2026, Attijariwafa Bank propose aussi Simple Pay, la carte virtuelle de sa néobanque Simple (ex-L'bankalik). Elle est accessible dès l'offre gratuite Go et conçue pour un usage 100 % mobile, hors clientèle AWB classique.
Bank of Africa BMCE : BMCE e-card
Intégrée à l'app BMCE Direct depuis 2020, gratuite pour les clients BMCE. Plafond unitaire de 30 000 MAD, validité de 1 jour ou 1 mois. Particularité : l'e-card est adossée à un compte tampon temporaire. L'argent n'est débité de votre compte qu'au moment où l'e-card est réellement utilisée, ce qui limite l'exposition même en cas de fraude après la génération. Elle est compatible Apple Pay et Google Pay, pour utiliser les cartes virtuelles dans les portefeuilles mobiles.
CIH Bank : CIH Virtual
Lancée en 2022 dans l'app CIH Mobile, gratuite pour les clients CIH. Plafond de 40 000 MAD, validité de 24h à 12 mois. Particularité : l'option "carte fournisseur" permet de créer une carte virtuelle réservée à un seul marchand (Netflix, Spotify, AWS), avec un plafond mensuel automatique et des alertes en cas de dépassement. Les freelances s'en servent beaucoup pour isoler leurs abonnements professionnels.
Société Générale Maroc : SG e-shopping
Service plus classique, intégré à l'Espace Personnel SG en ligne (pas encore d'app mobile dédiée en mai 2026) et gratuit pour les clients SG. Plafond de 25 000 MAD, validité de 1 jour ou 7 jours. Moins souple que les offres concurrentes, mais sécurisé, il vise plutôt une clientèle senior ou de cadres supérieurs.
Banque Populaire : La Virtuelle et L'Instant (nouveauté juin 2026)
Lancées le 4 juin 2026 dans l'app Pocket Bank, ce sont les deux premières cartes 100 % digitales de Banque Populaire. "La Virtuelle" est une carte marocaine virtuelle qui fonctionne aussi en TPE physique via Apple Pay/Google Pay, alors que les e-cards classiques sont limitées aux achats en ligne. "L'Instant" est une carte éphémère gratuite à usage unique : si elle n'est pas utilisée, elle expire automatiquement au bout d'1 heure. C'est à ce jour la protection anti-fraude la plus stricte du marché marocain, adaptée à un achat ponctuel sur un site inconnu.
3. Standard 3D Secure 2026 (Verified by Visa / MasterCard SecureCode)
3D Secure est le protocole de sécurité bancaire international qui ajoute une étape d'authentification forte à chaque paiement en ligne. Il est obligatoire en Europe depuis 2021 et généralisé au Maroc depuis 2023.
Comment fonctionne 3D Secure
Étape 1 : vous saisissez les informations de la carte (numéro, expiration, CVV) sur le site marchand. Étape 2 : le site interroge la banque émettrice. Étape 3 : la banque envoie un code par SMS sur votre mobile ou déclenche une notification dans l'app bancaire pour une authentification biométrique (Touch ID, Face ID). Étape 4 : vous validez, par le code ou par biométrie. Étape 5 : la transaction est confirmée et le marchand en est informé. Sans validation 3D Secure, la transaction est refusée. Le vol du seul numéro ne permet donc pratiquement pas de frauder, puisque le fraudeur n'a pas votre mobile.
Sites qui supportent 3D Secure au Maroc 2026
Tous les e-marchands marocains agréés par le CMI (Centre Monétique Interbancaire) supportent 3D Secure depuis 2023 : Marjane.ma, Carrefour Maroc, Avito, Jumia, plateformes bancaires (paiement TH/TSC, impôts, factures) et sites institutionnels. Côté international, la plupart des grands acteurs le supportent aussi (Amazon, AliExpress, Booking, Airbnb, Netflix). Pour vérifier : si le logo "Verified by Visa" ou "MasterCard SecureCode" s'affiche au moment du paiement, 3D Secure est activé.
Cas problématiques (sites non-3DS)
Certains sites internationaux refusent encore 3D Secure, notamment des sites chinois et des plateformes de second rang non agréées, et le risque de fraude y est plus élevé. Utilisez systématiquement une carte virtuelle avec un plafond exact sur ces sites : si la carte est compromise, vous ne perdez au maximum que le plafond fixé (par exemple 250 MAD pour un achat de 200 MAD).
4. Sécurité pratique : 7 règles d'or 2026
En plus des outils techniques (3D Secure, cartes virtuelles), 7 règles de comportement protègent vos données bancaires en ligne.
Règle 1 : toujours vérifier l'URL avant de payer
Avant de saisir votre carte, vérifiez (a) le protocole HTTPS (cadenas vert), (b) l'URL exacte (attention aux variantes : marjane-ma.com au lieu de marjane.ma) et (c) la validité du certificat SSL (cliquez sur le cadenas pour le détail). Les sites de phishing copient souvent le design d'un vrai site, avec une URL ressemblante.
Règle 2 : refuser systématiquement l'enregistrement de la carte
Quand un site propose "Sauvegarder la carte pour un achat futur", refusez et ressaisissez vos informations à chaque achat. Si le site est piraté plus tard, vos données ne seront pas dans sa base. Exception acceptable : un site de très grande confiance que vous utilisez très souvent (Amazon, avec 50 achats par an, justifie l'enregistrement ; pour AliExpress sans abonnement fixe, refusez).
Règle 3 : privilégier la carte virtuelle pour les achats internationaux
Pour tout achat hors Maroc et hors UE, utilisez une carte virtuelle Wafa Pay, BMCE ou CIH, avec un plafond égal au montant exact de l'achat plus 5 % de marge. Vous éliminez ainsi 99 % du risque de fraude après l'achat.
Règle 4 : activer les notifications de paiement en temps réel
En 2026, toutes les banques marocaines envoient des notifications instantanées, par SMS ou dans l'app, pour chaque transaction par carte. Activez-les : vous repérez une transaction suspecte et faites opposition en 5 minutes, au lieu de plusieurs jours ou semaines si vous attendez le relevé mensuel.
Règle 5 : ne jamais saisir votre CIN ou votre mot de passe de banque en ligne
Aucun marchand légitime ne vous demandera votre CIN, votre mot de passe bancaire ou votre code PIN. Si un site le fait, c'est forcément du phishing. Faites opposition immédiatement et signalez-le à BAM via son service de signalement officiel.
Règle 6 : vérifier vos abonnements récurrents 1 fois par mois
Sur votre relevé mensuel, repérez tous les prélèvements récurrents (Netflix, Spotify, logiciels, salle de sport) et annulez ceux que vous n'utilisez pas. En 2026, un Marocain a en moyenne 4,2 abonnements récurrents, dont 1,3 inutilisés, soit environ 200 MAD gaspillés par mois.
Règle 7 : changer régulièrement votre mot de passe de banque en ligne
Changez le mot de passe de votre app ou de votre site bancaire au moins tous les 6 mois. Choisissez un mot de passe fort (12 caractères ou plus, avec majuscules, minuscules, chiffres et symboles) et ne le réutilisez jamais sur d'autres sites (Facebook, email, etc.).
5. Limites des cartes virtuelles 2026
Les cartes virtuelles protègent mieux vos paiements, mais elles ont quelques limites pratiques à connaître.
Inutilisable pour les paiements physiques
Une carte virtuelle n'existe que sous forme numérique : vous ne pouvez pas l'utiliser au TPE d'un magasin ou d'un restaurant, ni au DAB. Elle sert uniquement aux paiements en ligne (e-commerce, formulaires web).
Délai de génération pour un achat urgent
Pour générer la carte, il faut ouvrir l'app, saisir les paramètres, parfois valider par SMS, puis passer le 3D Secure : comptez 30-60 secondes. Pour un achat très urgent (concert presque complet, dernière place d'avion), c'est plus contraignant que de sortir sa carte classique du portefeuille (5 secondes).
Certains marchands rejettent les cartes virtuelles
Quelques rares marchands détectent et refusent les cartes virtuelles, souvent à cause d'algorithmes anti-fraude trop stricts : abonnements de long terme (location de voiture, hôtel avec caution) et inscriptions à des formations chères. Dans ces cas, utilisez la carte classique et gardez la carte virtuelle pour le reste.
Pas d'assurance achat
Les protections "achats neufs" des cartes Gold/Platinum (garantie de 90 jours contre le dommage, le vol ou la perte d'un achat) ne s'appliquent en général pas aux paiements par carte virtuelle, même générée à partir d'une carte Gold. Pour un gros achat électronique que vous voulez assurer, payez avec la carte classique.