Le 3 septembre, la Banque centrale n'a pas édité une règle de paiement. Elle a édité une spécification d'interface. L'Instruction normative BCB nº 774 publie la version 7.4 des Exigences minimales pour l'expérience utilisateur — document qui intègre le Règlement du Pix — et détermine ce qui peut apparaître dans le justificatif, comment se présente le signalement de fraude et quand l'application doit avertir qu'un contact enregistré a changé de titulaire. Derrière la spécification existe un régime sanctionnateur qui aboutit à l'exclusion du système pendant soixante mois. C'est cela qui, dans ma lecture, transforme un manuel d'écran en un instrument de poids.

Un manuel d'interface dans le règlement

L'IN 774 abroge l'IN BCB nº 689, de décembre 2025, retire la version 7.3 et entre en vigueur le 1er mars 2027. Il y a dix-huit mois entre la publication et l'exigibilité — délai pour que les participants réécrivent l'écran de conclusion de la transaction et le fichier en PDF ou image que le client partage par message.

La cadence importe plus que le contenu de n'importe quelle version isolée. La 7.0 est sortie en août 2024, la 7.1 en février 2025, la 7.2 en octobre 2025, la 7.3 en décembre 2025 avec effets à partir de février 2026, la 7.4 maintenant. Cinq révisions en un peu plus de deux ans d'un document qui spécifie quels messages d'erreur l'application doit afficher, quelle icône doit surmonter le justificatif, quelles nomenclatures sont obligatoires et sur quel écran le raccourci vers le canal de service doit se trouver. Le manuel n'est pas un annexe décoratif du règlement : c'est là où le régulateur exerce un contrôle de produit sur la couche que l'utilisateur voit effectivement.

Le paquet de la 7.4 va au-delà du justificatif. Il exige l'affichage du nom commercial du bénéficiaire personne morale. Il harmonise le relevé, y compris l'utilisation de symboles pour les valeurs créditées et débitées et la nomenclature de paiement et de réception. Il oblige à informer l'utilisateur quand la transaction est bloquée en raison d'une suspicion fondée de fraude, et à informer, dans le message d'échec d'enregistrement de clé, quand le rejet résulte d'un signalement de fraude créé ou accepté par le prestataire lui-même. Il restreint la réclamation de propriété aux clés de type numéro de téléphone mobile. Il met en évidence le champ d'objet du paiement dans le Pix Automatisé. Chacun de ces éléments est une décision de design prise à Brasília et implémentée par chaque participant à ses frais.

Le justificatif n'a jamais été un espace libre

La lecture courante est que la Banque centrale a fermé une brèche ouverte. J'ai lu la version 7.3 entière avant d'écrire ceci, et la lecture la plus précise est une autre : elle a étendu au document un principe qu'elle appliquait déjà au message.

La version 7.3, en vigueur depuis février 2026, détermine déjà que le champ « Description » — qui correspond au champ informacoesEntreUsuarios du pacs.008 — ne contienne pas de balises HTML, et que l'application du payeur affiche ses caractères littéralement, sans rendre des liens ou aucun contenu dynamique. La clause apparaît répétée dans cinq chapitres du manuel : Pix avec clé, saisie manuelle, remboursement, programmation, notification au bénéficiaire. Dans les codes QR, où le champ de description du payeur est supprimé, la 7.3 admet du HTML dans le champ d'informations supplémentaires mais interdit le contenu dynamique, comme les scripts. Et elle interdit déjà d'afficher la clé Pix et les données bancaires du bénéficiaire dans le justificatif quand l'identifiant de la transaction est rempli.

C'est-à-dire : la Banque centrale réglemente ce que l'application rend à l'intérieur du flux de paiement depuis au moins deux versions. La nouveauté de la 7.4 est de déclarer que le justificatif a une finalité exclusive d'enregistrement et de démonstration de la transaction, et que la publicité, les offres commerciales, les hyperliens et tout contenu sans rapport avec l'identification, l'exécution ou l'enregistrement sont interdits — sur écran, PDF, image et papier.

Cela change mon interprétation de ce qui s'est passé. Si la règle était sur la monétisation, ce serait une nouveauté de politique. Comme extension d'une clause antirendu préexistante, c'est la conclusion cohérente d'une ligne que le régulateur tirait : la surface du paiement ne peut contenir rien d'actionnable qui ne soit le paiement. Le mécanisme est le phishing. L'escroc n'a pas besoin d'accès à l'application de la banque ; il a besoin que l'utilisateur accepte comme normal la présence d'un bouton cliquable dans un justificatif. Tant que les justificatifs légitimes porteront des liens, le faux reçu avec lien ne sortira pas du lot. Avec le document harmonisé sans élément actionnable, tout reçu avec bouton externe devient une anomalie visible — et le coût de détection migre de l'utilisateur au format.

La paire que personne n'a réunie

Deux changements de la 7.4 ont été traités séparément dans tous les articles que j'ai lus. Pour moi, ils n'ont de sens que ensemble.

Le premier : les institutions doivent désormais stocker la clé Pix utilisée, liée à la fonctionnalité de contacts enregistrés, et alerter l'utilisateur quand la clé déjà figurant dans ses contacts commence à pointer vers un autre titulaire. Le second : la réclamation de propriété — la procédure par laquelle quelqu'un demande pour lui une clé enregistrée par un autre utilisateur — n'existe plus que pour les clés de type numéro de téléphone mobile.

L'une restreint le vecteur. L'autre installe l'alarme. L'attaque contre laquelle les deux se dirigent est la prise de possession d'une clé déjà fiable : l'escroc capture une clé que la victime a déjà enregistrée et vérifiée, et le paiement suivant va vers le mauvais compte sans qu'aucun écran de confirmation ne semble différent. C'est le point du flux où la vérification humaine a déjà eu lieu et ne sera pas refaite. La 7.3 obligait déjà le prestataire cédant à communiquer immédiatement le début de la réclamation au titulaire de la clé, avec délai de sept jours pour revalidation — protection du côté de celui qui perd la clé. La 7.4 ajoute la protection de l'autre côté : de celui qui paie vers elle. Réduire les types de clés reclamables à un seul, et obliger un avis quand le titulaire derrière un favori change, c'est un design antifraude adressé à une étape spécifique du flux, pas un nettoyage d'interface.

Le MED n'a pas été réformé en septembre

La caractérisation la plus répétée sur l'IN 774 — qu'elle reformule le Mécanisme spécial de remboursement — est fausse, et l'erreur efface l'histoire qui importe. J'insiste parce que la vraie réforme est passée presque inaperçue.

La réforme a été le MED 2.0, institué par la Résolution BCB nº 493, d'usage facultatif depuis novembre 2025 et obligatoire pour tous les participants depuis le 2 février 2026. Il a modifié la mécanique, non la présentation : il a permis le remboursement non seulement à partir du compte bénéficiaire original mais aussi des comptes par lesquels la valeur a transité après ; il a obligé le signalement continu des transactions intrabancarires, pour que la Banque centrale voie des tronçons de la chaîne qui étaient auparavant invisibles ; il a transféré à la Banque centrale elle-même, via DICT, la génération et l'envoi automatique des notifications d'infraction tout au long du traçage ; et il a commencé à marquer comme impliquées dans la fraude, dans le DICT, les comptes récepteurs de la chaîne quand une notification est acceptée. Rien de cela ne figure dans la 7.4. La 7.4 change l'écran par lequel l'utilisateur accède à ce mécanisme : langage courant pour identifier le type d'arnaque, champ pour décrire ce qui s'est passé, pièces jointes de documents et de justificatifs, et signalisation plus claire de quand le cas n'est pas admissible — désaccord commercial sans fraude, retard de livraison, produit différent de celui attendu.

Il n'est pas vrai non plus que le paquet n'a pas modifié les délais. Il l'a fait — trois jours plus tôt, dans une autre norme, et de l'autre côté de l'opération. L'IN BCB nº 766, qui a publié la version 8.5 du Manuel opérationnel du DICT, a allongé de 30 à 80 jours, avec vigeur le 1er septembre 2026, le délai dont dispose le bénéficiaire original pour contester un remboursement effectué par le MED. Le délai de la victime pour activer le mécanisme était déjà de 80 jours et demeure. Une grande partie de la couverture a fusionné les deux et rapporté une augmentation de la protection de la victime qui ne s'est pas produite. Ce qui s'est produit était l'opposé symétrique : plus de temps pour le commerçant de bonne foi dont la valeur a été débitée pour se défendre contre un signalement sans fondement.

Et voici le nombre contre lequel je mesure tout cela. Entre janvier 2022 et avril 2026, R$ 24,52 milliards ont été soustraits en fraudes par Pix et R$ 2,2 milliards ont été remboursés par le MED — 8,9%, avec une moyenne de 271,5 mille fraudes confirmées par mois. Dans les données les plus récentes publiées, de janvier à avril 2026, il y avait 11,8 millions de demandes ouvertes et 10,7 millions refusées : taux de refus de 90,3%, avec R$ 264,7 millions remboursés, environ 10% de la valeur reconnue. La Banque centrale déclare publier ces statistiques trente jours après la fin de chaque mois ; les données de mai et après ne sont pas encore sorties.

À la lumière de cet historique, permettre à la victime de joindre une preuve n'est pas une amélioration de l'expérience. C'est une tentative de modifier un taux de récupération qui est catastrophique depuis l'origine. Si cela va le modifier est une question empirique ouverte, et il y a lieu de douter : le MED récupère la valeur qui existe encore dans la chaîne tracée, et la restriction pourrait être la vitesse, pas la qualité de la preuve. La Banque centrale elle-même a indiqué que la production du traçage élargi a commencé en couvrant environ 5% des récupérations, avec expansion progressive. Une meilleure preuve ne rend pas l'argent qui est déjà parti.

L'amende est proportionnelle ; l'exil ne l'est pas

Ce qui transforme une spécification d'écran en obligation de bilan est ce qui se passe pour celui qui ne la respecte pas.

La Résolution BCB nº 507/2025 a approuvé le Manuel des sanctions du Pix, applicable aux infractions commises à partir du 30 septembre 2025. Les sanctions sont l'avertissement, l'amende et l'exclusion du système ; la suspension a cessé d'exister en tant que sanction autonome. L'amende part d'une valeur de base entre R$ 50 mille et R$ 1 million selon la classe de gravité, multipliée par un facteur de pondération lié à l'actif total du participant, avec des aggravantes pour récidive, des réducteurs pour réparation du dommage et une remise pour paiement sans recours. Le plafond du manuel est de R$ 500 millions, contre R$ 25 millions dans le régime précédent.

Ce plafond, cependant, n'est presque jamais la limite qui s'applique. Le manuel limite la somme des amendes dans une même procédure, pour les institutions autorisées à opérer par la Banque centrale, au plus grand montant entre 25% du capital minimum exigé et 25% de l'avoir ; pour les autres personnes morales, à R$ 1,25 million. L'amende, donc, s'adapte à la taille par construction. Le manuel est sévère en haut et contenu en bas — ce qui est un design de sanction conventionnel et défendable.

L'exclusion ne fonctionne pas comme cela. La Résolution BCB nº 506/2025 a relevé de 12 à 60 mois le délai minimum pendant lequel un participant exclu peut demander une nouvelle adhésion, a commencé à exiger un avoir net minimum de R$ 5 millions comme condition de participation, et a créé une amende quotidienne coercitive jusqu'à R$ 200 mille, limitée à 60 jours, pour non-respect d'une ordonnance du régulateur. La Résolution BCB nº 559/2026, d'avril, a ajouté la perte de la qualité de participant pour celui qui reste plus de 90 jours consécutifs sans participant actif dans le SPI.

Cinq ans en dehors du Pix n'est pas une sanction graduée par taille : c'est le même intervalle pour tout le monde, et pour un prestataire brésilien dont la proposition de valeur dépend d'un compte de transaction, c'est indiscernable de la fermeture. La proportionnalité du régime se situe dans l'amende ; la peine qui n'a pas de proportionnalité est justement celle qu'on ne peut pas absorber. C'est pourquoi une clause sur ce qui peut apparaître dans le justificatif est un sujet de conseil d'administration et non une question d'équipe de design.

Règles de réseau et mandat de banque centrale

Les réseaux de cartes spécifient aussi l'interface. Les règles de réseau traitent du positionnement de la marque, des écrans d'authentification, des textes d'erreur, du format du reçu. Le mécanisme est le même : celui qui opère le rail détermine ce que le participant montre.

La différence est la nature de l'adhésion. L'affiliation à un réseau est une relation commerciale ; la sortie est une décision commerciale, avec coût et alternative. La participation au Pix, pour celui qui propose un compte de transaction au Brésil, est une infrastructure quasi-obligatoire — et la sortie, quand elle est imposée, dure soixante mois. Le même instrument, spécification d'interface, opère sous un effet de levier incomparable. Un réseau qui durcit trop ses règles perd des émetteurs vers un autre. Une banque centrale qui durcit les siennes ne perd personne.

Je ne critique pas le design. Je constate que le Pix a créé une catégorie de risque réglementaire que le secteur traite toujours comme s'il s'agissait de conformité de produit : modifications d'interface obligatoires, avec une cadence de deux à trois par an, entièrement financées par le participant, sanctionnées par un régime dont l'extrême est la sortie du marché. Celui qui a de la marge l'absorbe. Celui qui ne l'a pas, finance un outil de différenciation plus riche jusqu'à mars 2027 avec le même budget.

Où la thèse ne tient pas

Une partie de la lecture courante sur l'IN 774 n'a pas de preuve, et j'ai cherché : celle que les participants traitaient le justificatif comme un espace propre de vente croisée et le régulateur a réagi à cela.

Je n'ai pas trouvé une seule source qui nomme une banque, une fintech ou un portefeuille qui mettait une publicité ou un lien dans un justificatif Pix. Après l'annonce de la norme, les portails ont commencé à décrire la pratique comme courante — offres de prêt pré-approuvé, financement, assurance, bon de magasin partenaire juste sous les données du bénéficiaire — sans nommer une institution, sans image, sans source primaire. La justification déclarée par la Banque centrale est la fraude : réduire le risque que le document soit utilisé comme vecteur d'arnaque, en particulier par le biais de liens frauduleux.

Il y a une deuxième contre-preuve, et pour moi elle est plus éloquente que la première : personne sur le marché ne s'est plaint. Je n'ai pas trouvé de déclaration d'une entité de classe ou d'un participant nommé sur la perte de cette surface. Quand le secteur s'est exprimé publiquement sur le MED, en juillet, la préoccupation déclarée était la réduction des faux positifs et le traitement adéquat au bénéficiaire de bonne foi — risque opérationnel, non pas inventaire perdu. Un actif de monétisation que personne ne défend quand il est retiré n'était probablement pas un actif de monétisation.

Ma lecture, donc, est plus étroite et plus intéressante que celle de l'économie de l'attention. Ce n'est pas que le régulateur ait repris une surface commerciale. C'est que le régulateur a spécifié préventivement une surface avant qu'elle ne devienne commerciale — et a pu le faire parce que la spécification d'interface est déjà la sienne, par règlement, avec sanction derrière. La capacité de fermer un marché publicitaire qui n'existe pas encore est la démonstration la plus claire de qui est le propriétaire du produit.

Ce à observer

Le premier marqueur que je vais suivre est le 26 octobre 2026, quand entre la phase de communication entre institutions du MED 2.0, reportée d'août. C'est la pièce qui détermine la vitesse du traçage en chaîne, et la vitesse est la variable qui décide s'il reste un solde à rembourser.

Le deuxième est la reprise des statistiques du MED. Les données publiques s'arrêtent en avril 2026, malgré la cadence déclarée de trente jours. Sans série de mai à février, il n'y aura pas de ligne de base contre laquelle mesurer l'effet du nouveau parcours de signalement à partir de mars 2027 — et l'absence de ligne de base est comment les interventions réglementaires cessent d'être évaluables. Il convient aussi de suivre la proportion de récupérations qui transitent effectivement par le traçage élargi, partant des environ 5% du début de la production.

Le troisième est le 1er octobre 2026, quand entrent les limites personnalisables et tombe le plafond fixe par transaction dans le Pix par approximation. C'est le vecteur qui grandit pendant que l'attention du secteur est sur l'écran du justificatif.

Le quatrième, et pour moi le plus révélateur, est le premier processus sanctionnateur instauré sur la base d'un élément du manuel d'expérience utilisateur. Tant que cela ne se produira pas, l'hypothèse que la spécification d'interface est une obligation véritable reste non testée — et les participants aux budgets serrés continueront à la prioriser en dessous des exigences dont ils ont vu fonctionner la surveillance.

Le cinquième est le silence. Si, jusqu'à mars 2027, aucun participant ne demande publiquement un délai plus long, aucune entité n'estime le coût de conformité et aucune institution n'est identifiée comme ayant perdu des revenus avec l'interdiction, l'interprétation que c'était une règle antiphishing préventive sera confirmée par absence — et le secteur aura accepté, sans débat, que l'écran où l'utilisateur passe le plus de temps est spécifié par celui qui opère le rail.

Édition en portugais révisée par Alexandre Goes.