La question revient à chaque fois qu’un client râle parce que son paiement a été bloqué : « c’est de votre faute ou de la banque ? ». Neuf fois sur dix, c’est ni l’un ni l’autre — c’est la réglementation. Depuis que la DSP2 (deuxième directive sur les services de paiement) s’applique pleinement aux paiements en ligne, l’authentification forte n’est plus une option que le marchand active ou non dans son back-office. C’est une obligation qui pèse sur la banque du client, mais dont les effets se voient d’abord chez le vendeur, au moment où le panier hésite entre validation et abandon.
Ce que change concrètement la DSP2
Avant cette directive européenne, un paiement par carte en ligne se validait avec un numéro de carte, une date d’expiration et un cryptogramme. Trois informations qu’on trouve sur l’objet physique, donc trois informations qu’on peut voler sans jamais croiser le porteur de la carte. La DSP2 impose désormais une authentification forte du client (SCA, pour Strong Customer Authentication) qui repose sur au moins deux facteurs parmi trois catégories distinctes : quelque chose que le client sait (un code), quelque chose qu’il possède (son téléphone) et quelque chose qu’il est (une empreinte digitale, une reconnaissance faciale). Concrètement, pour la grande majorité des marchands français, cela se traduit par une étape 3D Secure 2 au moment du paiement : le client est redirigé vers l’application ou le site de sa banque pour confirmer l’opération.
3D Secure 2, la version qui a corrigé les défauts de la première
La première version de 3D Secure, sortie au début des années 2000, avait mauvaise réputation à juste titre : mot de passe statique oublié, page de redirection à l’ergonomie douteuse, taux d’abandon de panier qui grimpait en flèche. 3D Secure 2 a corrigé une bonne partie de ces défauts en s’appuyant sur l’authentification biométrique du téléphone (empreinte, reconnaissance faciale) plutôt que sur un mot de passe à retenir, et surtout en permettant l’échange d’un volume de données bien plus large entre le marchand et la banque émettrice. Ce volume de données, c’est justement ce qui permet d’éviter l’étape d’authentification dans certains cas.
L’authentification forte est la règle pour tout paiement électronique initié par le payeur, la banque du client ne pouvant s’en dispenser que dans les cas d’exemption strictement encadrés par la réglementation européenne — faible montant, opération jugée à faible risque après analyse, ou paiement récurrent déjà autorisé.
Les exemptions qui évitent de bloquer chaque petit panier
C’est le point que beaucoup de marchands ignorent, et qui explique pourquoi tous les paiements ne déclenchent pas systématiquement une redirection bancaire. Le règlement technique qui encadre la DSP2 prévoit plusieurs cas d’exemption, décidés au cas par cas par la banque du client sur la base d’une analyse de risque : les paiements de faible montant (quelques dizaines d’euros), les transactions récurrentes déjà validées une première fois (un abonnement mensuel, par exemple), ou encore les opérations jugées peu risquées grâce à l’historique du porteur de carte. Le marchand ne décide jamais seul d’appliquer une exemption — c’est la banque émettrice, celle qui a délivré la carte du client, qui a le dernier mot. D’où des comportements parfois surprenants d’une banque à l’autre pour un même panier.
L’impact réel sur le taux d’abandon de panier
Sur le terrain, l’étape d’authentification forte reste le moment le plus fragile du tunnel de paiement. Un client qui ne reçoit pas son code SMS, qui a désinstallé l’application de sa banque, ou qui hésite trois secondes de trop devant une notification qu’il ne comprend pas, referme parfois l’onglet et abandonne son panier. C’est un arbitrage que la réglementation a tranché en faveur de la sécurité plutôt que de la fluidité, et il faut le prendre en compte dans le tunnel de conversion plutôt que de le subir : un message clair juste avant le paiement (« vous allez recevoir une notification de votre banque ») réduit sensiblement l’abandon lié à la confusion.
Ce que le marchand doit vérifier chez son prestataire de paiement
- Le prestataire de paiement (PSP) doit être certifié DSP2 et proposer 3D Secure 2 en natif, pas une version bricolée de l’ancien protocole.
- La transmission des données enrichies (email, historique de commande, adresse de livraison) au moment du paiement améliore les chances d’exemption accordées par la banque émettrice, donc réduit les frictions inutiles.
- Un taux d’abandon anormalement élevé au moment précis de l’authentification est souvent le signe d’une intégration technique à revoir avec le prestataire, pas d’une fatalité réglementaire.
Pour la Banque de France, gardienne de la stabilité du système des moyens de paiement, cette généralisation de l’authentification forte a nettement fait reculer la fraude sur les paiements à distance depuis son entrée en vigueur complète. C’est un argument à ne pas négliger quand un client se plaint d’une étape supplémentaire au moment de payer : elle protège autant le marchand, qui limite les impayés et les contestations, que le porteur de la carte. Pour aller plus loin sur la sécurisation globale du tunnel d’achat, notre rubrique web, marketing & outils détaille aussi les indicateurs à surveiller sur un site marchand, et notre dossier sur e-commerce & boutiques en ligne revient sur le choix des solutions techniques qui intègrent ces contraintes dès le départ.
