Exploiter un parc de distributeurs crypto : espèces, cassettes, conformité

Un distributeur crypto est un distributeur de billets qui fonctionne dans les deux sens : le client y insère des billets et reçoit de la crypto, ou envoie de la crypto et récupère des billets. Exploiter un parc de ces machines, c'est un métier de logistique doté d'une interface logicielle. L'écran cote et confirme, mais le plus difficile est physique — du cash dans des cassettes, des machines installées là où vous n'êtes pas, et un échange à chaque borne qui doit se rapprocher au centime près. Qui voit un distributeur crypto comme une appli n'a regardé que la moitié facile.

Voici donc une analyse de la moitié opérationnelle : les deux sous-systèmes à l'intérieur de la borne, l'échange à l'écran, les cassettes que personne ne montre en démo, le problème de prévision que devient un parc, et la discipline qui consiste à contrôler et rapprocher des machines que l'on ne voit pas.

Deux machines dans une seule borne

Un distributeur crypto est en réalité deux sous-systèmes assemblés : une machine de gestion d'espèces — accepteur de billets, valideur, distributeur ou recycleur, et les cassettes qui contiennent les billets — et un terminal crypto — un wallet, une connexion réseau et un écran qui cote et confirme. Un achat va des espèces vers la crypto : le client insère des billets, le valideur les compte et les empile, et la machine envoie la crypto vers le wallet du client. Une vente va de la crypto vers les espèces : le client envoie de la crypto à l'adresse de la machine et, une fois le transfert confirmé, le dispenseur compte les billets depuis une cassette. Tout ce qui est difficile se joue là où ces deux moitiés se rencontrent, car les billets sont physiques et irréversibles une fois empilés, tandis que la crypto est numérique et irréversible une fois confirmée — et la machine ne doit engager aucun des deux côtés avant d'être certaine de l'autre.

L'échange à l'écran

À chaque machine, un échange a lieu, régi par la même discipline de cours verrouillé qu'un terminal de comptoir : l'écran affiche un taux, le maintient pendant la session avec un compte à rebours, et le client opère à ce cours, faute de quoi la session est recotée. L'ordre des opérations est le modèle de sécurité. À l'achat, la machine ne libère les cryptos qu'une fois les billets validés et stockés, et non simplement insérés, car un billet encore dans la goulotte d'escrow n'est pas encore de l'argent. À la vente, elle ne distribue pas un seul billet tant que le virement entrant n'a pas assez de confirmations, car un billet distribué ne se récupère pas. L'action irréversible passe toujours en dernier, une fois l'autre côté définitif. Inversez cet ordre et vous obtenez une machine qui donne des cryptos contre des billets qu'elle n'a jamais gardés, ou des espèces contre un virement qui n'est jamais arrivé.

Les cassettes : la moitié physique que personne ne démontre

Le cash vit dans des cassettes : des boîtes amovibles de billets, généralement une par coupure, qui s'insèrent dans la machine. Un recycleur peut redistribuer les billets qu'il a encaissés ; un simple distributeur ne puise que dans les cassettes chargées par un opérateur. Chaque cassette porte deux chiffres : le nombre que le logiciel croit et le nombre qui est physiquement vrai. Le travail de l'opérateur, résumé en une phrase, consiste à garder ces deux chiffres égaux. Chaque billet accepté incrémente un compteur théorique, chaque billet distribué le décrémente, et chaque passage de collecte de cash le recale sur un comptage physique. Quand le théorique et le compté divergent lors d'une collecte, cet écart est le chiffre le plus important de l'exploitation d'un parc : erreur de comptage, bourrage ou pire, et on le trouve en comptant, jamais en espérant.

Niveaux de cash : pourquoi un parc est un problème de prévision

Une machine est une corvée ; un parc est un problème de prévision. Un distributeur à sec renvoie les clients, et un accepteur de billets dont le stacker est plein cesse de prendre du cash. Ce sont deux pannes, et aucune n'allume de voyant d'erreur qu'un passant remarquerait, car la machine ne peut simplement pas réaliser la transaction voulue par le client. La console suit donc le niveau de cash par cassette et par machine, et en tire des tournées : quels automates doivent être approvisionnés et lesquels vidés, avant que l'un ou l'autre ne atteigne la limite. Un parc bien géré est surtout un planning de transport de fonds : qui se rend à quel automate, avec quel montant, quel jour. Le logiciel sert à construire ce planning à partir des niveaux en temps réel, plutôt qu'au jugé et dans la panique du vendredi après-midi.

Verrouillage à distance et pilotage depuis une console

Les machines se trouvent là où l'opérateur n'est pas, dans un hall, une surface de vente, un hall de gare, et le contrôle doit donc se faire à distance. Depuis la console, un opérateur peut verrouiller instantanément une machine ou tout le parc, et une machine verrouillée ne réalise plus aucune nouvelle transaction. Le verrouillage répond à un bourrage, à une panne suspectée, à un écart de caisse, ou à une machine qu'il faut figer le temps que quelqu'un se déplace. Les clés et les cassettes restent en place ; la machine cesse simplement de transiger jusqu'à ce qu'un humain la débloque. La règle est que les actions sensibles se font depuis la console, avec un motif joint et une trace dans un journal, et non en tapotant l'écran de la machine sur le terrain, sans enregistrement, là où personne ne pourra reconstituer ensuite ce qui a été fait ni pourquoi.

Un parc de distributeurs crypto n'est pas un produit logiciel auquel on ajoute du matériel. C'est une opération de logistique du cash avec un écran en façade, et chaque chiffre affiché doit se rapprocher d'un billet que l'on pourrait tenir dans la main.

Rapprocher une machine que l'on ne voit pas

Le rapprochement est la preuve quotidienne qu'un parc est sain. Chaque session sur une machine laisse une trace : billets entrés et cryptos sortis, ou cryptos entrés et billets sortis, avec le taux verrouillé, les adresses de wallet et les confirmations. En additionnant les sessions d'une machine depuis sa dernière collecte, on obtient le cash qu'elle devrait contenir ; en comptant les cassettes lors du passage, on obtient le cash qu'elle contient ; les deux doivent coïncider. Le côté crypto se rapproche de la même façon, avec le solde du wallet de la machine. Un parc rapproché par machine et par jour repère un automate défaillant dès le premier jour (bourrage, skimming, erreur de comptage) au lieu de le découvrir en fin de trimestre sous la forme d'un trou que personne ne sait expliquer. Tout l'intérêt du grand livre par machine est qu'il résiste à un audit précisément parce qu'on ne l'a jamais laissé dériver.

La conformité incombe à l'opérateur ; le logiciel applique et enregistre

L'exploitant d'un parc de distributeurs crypto porte les obligations. Les autorisations à détenir, les contrôles d'identité à effectuer et les plafonds de transaction à respecter varient selon l'emplacement de chaque machine, et ils relèvent de l'opérateur, pas du boîtier ni de son fabricant. Le logiciel, lui, est volontairement mécanique : il applique les plafonds par client et par jour configurés par l'opérateur, déclenche l'étape d'identité exigée par l'opérateur au seuil qu'il a fixé, et enregistre chaque billet, chaque transfert et chaque décision de plafond pour que l'opérateur puisse rendre des comptes sur son parc. La machine ne décide pas de la politique ; elle applique celle de l'opérateur de la même manière sur chaque automate et consigne ce qui s'est passé. Bien définir la politique est l'affaire de l'opérateur. L'apport du logiciel est de la rendre uniforme et auditable sur un parc qu'aucune personne ne peut surveiller seule en une fois.

La frontière, en toute franchise

Une seule machine à un seul endroit n'a guère besoin d'une console de parc : un tableur et un comptage hebdomadaire suffiraient. Cette mécanique prend tout son sens à l'échelle d'un parc, quand les chiffres ne tiennent plus dans une seule tête : niveaux de cash sur de nombreux automates, comptages de cassettes à rapprocher par site, verrouillage à distance pour des machines à des heures de route, et grand livre par machine capable de résister à un audit. Avec un automate, c'est de la surcharge ; avec vingt, le planning, le rapprochement et les contrôles à distance font la différence entre une activité et un tas d'automates qui dérivent lentement hors d'équilibre. La console de parc se trouve sur /products/atm, et les termes (cassette, recycleur, rapprochement, règlement) figurent dans le /glossary.