Carte bancaire : l’authentification forte bientôt la norme ?
Depuis maintenant un an, les nouvelles règles de sécurité applicables aux paiements en ligne et sans contact de la Directive révisée sur les Services de Paiements 2 (DSP2) sont en vigueur. En vue d’assurer la sécurisation des transactions, l’authentification forte sera désormais imposée aux acteurs financiers. L’objectif étant de réduire le taux de fraude liée à la cybercriminalité.
Des délais supplémentaires
L’authentification forte repose sur une série de processus visant à garantir que l’utilisateur de la carte bancaire lors de l’achat n’est pas un usurpateur.
Le code SMS à usage unique qui est envoyé pendant le règlement en ligne est jugé insuffisant par la DSP2 pour assurer la sécurité des comptes bancaires. Ce procédé est toujours d’actualité un an après la mise en œuvre des nouvelles règles de sécurité pour ne pas perturber l’écosystème du commerce électronique.
Mais la mise en place des dispositifs pour le nouveau processus d’identification étant assez complexe, les commerçants, les prestataires de services de paiement et les banques ont obtenu des autorités des délais supplémentaires limités pour se mettre en conformité.
Connexion en ligne avec la banque
ImportantMais d’ici mars de l’année prochaine, l’authentification forte devra se généraliser. L’identité du client ou de l’utilisateur du moyen de paiement dématérialisé sera minutieusement vérifiée.
Selon la Fédération du e-commerce et de la vente à distance (Fevad), la première démarche consiste à télécharger l’application mobile de la banque qui enverra une demande d’authentification au moment du paiement en ligne.
Des éléments que seul l’utilisateur de la carte connaît ou possède sont demandés au moment de la confirmation du paiement :
- mot de passe ;
- code personnel statique ;
- carte à puce ;
- caractéristique personnelle (empreinte digitale, reconnaissance faciale ou d’iris).
Pour un vieux portable, la combinaison de deux codes est nécessaire pour sécuriser la transaction : un code à usage unique transmis par SMS ou par message vocal et un code statique donné par la banque. À défaut de mobile, la banque peut fournir au client un équipement spécialement conçu pour l’authentification forte : un générateur de code par exemple, ou une clé USB fiable.
Des cas d’exemption
Toutefois, certains achats sont dispensés de ce procédé :
- les opérations en ligne de petits montants (moins de 30 euros) ;
- les paiements récurrents (abonnements, parking…) ;
- les virements entre comptes d’une même personne au sein d’un même établissement bancaire ;
- les paiements vers des commerçants déclarés comme « de confiance » par le client auprès de sa banque ;
- etc.
