Authentification forte du client

L’authentification utilise deux éléments de deux catégories parmi trois, indépendants pour que compromettre l’un ne compromette pas l’autre. La connaissance désigne ce que seul le client sait: un mot de passe ou un PIN personnel. La possession désigne ce qu’il détient: téléphone avec application enregistrée, lecteur de carte ou jeton matériel. L’inhérence désigne ce qu’il est: empreinte digitale, visage ou voix.

Deux mots de passe ne constituent pas une authentification forte du client. Numéro de carte et CVV non plus, car imprimés côte à côte, ils ne sont pas indépendants. Une application recevant la notification et réalisant le contrôle biométrique convient, car la possession est l’appareil enregistré, et l’inhérence l’empreinte utilisée. Cette combinaison explique le remplacement des lecteurs de cartes par les applications bancaires.

Faible montant: une transaction distante inférieure à 30 euros peut éviter le contrôle, jusqu’à cinq transactions ou 100 euros cumulés depuis la dernière authentification, après quoi l’émetteur exige de nouveau la SCA. L’analyse du risque de transaction, exemption TRA, permet une évaluation en temps réel sans contrôle, uniquement si le taux de fraude reste sous le seuil lié au montant: moins de 0,13 pour cent jusqu’à 100 euros, moins de 0,06 pour cent jusqu’à 250 euros, moins de 0,01 pour cent jusqu’à 500 euros.

Les bénéficiaires de confiance permettent au client d’inscrire un marchand sur liste blanche auprès de sa banque, seul le premier paiement étant ensuite contrôlé; peu d’émetteurs l’ont mis en œuvre. Le sans-contact au terminal est exempté jusqu’à une limite unitaire et des plafonds cumulés. Les paiements d’entreprise sécurisés couvrent des processus dédiés sans titulaire individuel à authentifier. Les transactions initiées par le marchand, dont les abonnements sur carte enregistrée, sont hors champ si la carte a été authentifiée lors de l’enregistrement et les débits ultérieurs acceptés.

Le marchand ou son prestataire signale l’exemption dans la demande d’autorisation; l’émetteur décide de l’accepter. Cette répartition des rôles constitue souvent une surprise pour les acteurs. Un marchand peut demander TRA pour chaque transaction éligible et recevoir malgré tout une demande de contrôle, car l’émetteur applique son propre modèle de risque.

En cas de désaccord, l’émetteur retourne généralement un refus temporaire signifiant «authentifiez puis revenez». Le traiter comme un échec fait perdre la vente; l’intégration doit reconnaître le code et diriger le client vers l’authentification, comme l’explique PCI Proxy. Cette source décrit une cascade, bénéficiaire de confiance d’abord, faible montant ensuite, puis TRA, plutôt qu’un choix unique sans suite.

La SCA est la règle; 3-D Secure la réalise pour les cartes. Dans 3-D Secure 2, le marchand transmet des données riches sur transaction, appareil et historique client, puis l’émetteur choisit deux parcours. Le parcours fluide approuve l’authentification uniquement sur ces données, sans action visible. Le parcours avec contrôle présente l’authentification bancaire, généralement une notification dans l’application.

La qualité des données détermine le parcours, et 3-D Secure 2 exige donc une transmission rigoureuse, et non une simple case cochée. Certains réseaux acceptent aussi une variante de données seules, transmises au réseau sans demande d’authentification à l’émetteur: elle peut améliorer l’acceptation hors champ SCA, sans transfert de responsabilité puisqu’aucune authentification n’a été demandée.

Chaque étape entre achat et confirmation perd des acheteurs; l’authentification en ajoute une. Cela explique les exemptions et l’investissement des marchands dans leur application. Une stratégie bien gérée conserve un parcours fluide pour la majorité des transactions peu risquées et réserve le contrôle aux transactions réellement suspectes.

La contrepartie est la fraude, avec des conséquences concrètes pour le prestataire. Celui qui utilise TRA et dépasse son seuil perd l’exemption pour tout son portefeuille, pas seulement les mauvaises transactions. Tout marchand optimisant l’acceptation sur une caisse allemande gère cet arbitrage; les paiements par carte en Allemagne détaillent les autres coûts.

Par défaut, selon la DSP2, un paiement authentifié transfère la responsabilité de fraude à la banque du payeur; sans authentification, elle reste chez celui qui a choisi de l’omettre. Si le marchand demande l’exemption, il supporte la fraude qui en résulte. Si l’émetteur l’accorde de sa propre initiative ou refuse l’authentification demandée, il en assume la responsabilité.

Deux situations surprennent régulièrement les acteurs qui évaluent cette responsabilité financière. Une transaction initiée par le marchand ne transfère aucune responsabilité, personne n’étant authentifié à cet instant. Un parcours de données seules n’en transfère pas davantage aux autres parties. L’entreprise débitant des abonnements supporte donc sa fraude à chaque renouvellement, raison d’examiner les alternatives des paiements de compte à compte, ainsi que les paiements récurrents variables.

Le paquet conserve la SCA et ajuste les points ayant suscité des critiques. Il vise à dépasser une vision centrée sur la carte: les règles ajoutent une obligation d’accessibilité, empêchant une banque d’imposer comme seule méthode un dispositif inaccessible sans smartphone ou avec un handicap; les exemptions devraient être clarifiées là où pratique et texte divergent.

Le PSR relie aussi authentification et lutte contre la fraude, auparavant séparées, avec le contrôle du nom par la vérification du bénéficiaire et le remboursement des arnaques par usurpation décrit sur la fraude APP. L’accord politique provisoire date de novembre 2025 et l’application est attendue vers 2028; les RTS actuels restent donc les règles opérationnelles pendant quelque temps.

La DSP2 exige l’authentification des paiements électroniques par deux éléments indépendants de deux catégories parmi trois: connaissance, possession et inhérence. Les normes techniques réglementaires précisent les modalités et exemptions; pour les cartes, le contrôle passe normalement par 3-D Secure 2.

Les principales sont le faible montant inférieur à 30 euros, plafonné à cinq transactions et 100 euros cumulés, analyse du risque de transaction jusqu’à 100, 250 ou 500 euros selon le taux de fraude, les bénéficiaires de confiance, le sans-contact au terminal et les paiements d’entreprise sécurisés. Transactions initiées par le marchand, commandes postales ou téléphoniques et transactions avec une partie hors EEE sortent du champ.

Pas les débits récurrents, si leur mise en place est correcte. La carte doit être authentifiée à l’enregistrement et le client accepter les débits suivants; chaque renouvellement peut ensuite être marqué comme transaction initiée par le marchand, hors champ SCA. En contrepartie, aucune responsabilité n’est transférée, et le marchand supporte la fraude sur ces paiements.