3DS2, PSD2 et l’authentification renforcée
La première version du 3D Secure demandait un mot de passe presque à chaque paiement, ouvrait des fenêtres pop-up et mal fonctionnait sur mobile. Beaucoup d’acheteurs abandonnaient. La version actuelle, 3DS2, a été conçue pour corriger cela.
Ce qui change avec le 3DS2
- Décision basée sur les données. La banque reçoit beaucoup plus d’informations (appareil, historique, montant, adresse) et évalue le risque en millisecondes.
- Deux parcours possibles. Risque faible : approbation sans action de l’acheteur (frictionless). Situation atypique : vérification demandée (challenge).
- Vérification moderne. Le challenge se règle dans l’app bancaire, par empreinte, reconnaissance faciale ou SMS, sans quitter la page de paiement.
Pourquoi c’est obligatoire en Europe
La directive européenne PSD2 impose l’authentification renforcée du client (SCA) pour les paiements en ligne. L’acheteur doit confirmer son identité avec deux de ces trois facteurs :
- Ce qu’il sait : un PIN ou un mot de passe.
- Ce qu’il possède : son mobile ou sa carte.
- Ce qu’il est : empreinte ou visage.
Le 3D Secure est l’outil pour respecter cette obligation sur les paiements par carte. Si un paiement soumis à la SCA ne passe pas par le 3DS, la banque de l’acheteur peut le refuser.
Quand l’authentification n’est pas requise
La réglementation prévoit des exemptions pour ne pas bloquer les paiements à faible risque. Les plus courantes :
| Exemption | En quoi consiste-t-elle |
|---|---|
| Faible montant | Paiements inférieurs à 30 €, avec plafonds cumulés de montant et de nombre d’opérations |
| Faible risque (TRA) | La passerelle analyse le risque et demande l’exemption si celui-ci est faible |
| Paiements récurrents | Échéances fixes chez le même commerçant : le premier est authentifié, les suivants peuvent ne pas l’être |
| Initiés par le commerçant (MIT) | Prélèvements sur carte enregistrée lancés par le commerçant selon l’accord avec le client |
| Commerçant de confiance | L’acheteur ajoute le commerçant à une liste blanche chez sa banque |
| Hors périmètre | Cartes émises hors Espace économique européen et paiements MOTO (courrier / téléphone) |
Nuance importante : demander une exemption ne la garantit pas. La banque émettrice a toujours le dernier mot et peut exiger l’authentification.
Ce que votre activité y gagne
- Moins de rétrofacturations pour fraude — et ce n’est pas vous qui payez. Lorsqu’un paiement est authentifié en 3DS, la responsabilité en cas de rétrofacturation pour fraude (« je n’ai pas fait cet achat ») passe du commerçant à la banque émettrice : le liability shift. La banque ne peut pas vous imputer le montant.
- Moins de refus. Avec la PSD2, de nombreuses banques rejettent les paiements européens non authentifiés. Activer le 3DS évite de perdre des ventes légitimes pour un « non » automatique.
- Plus de confiance côté acheteur. Voir la vérification de sa propre banque rassure, surtout pour un premier achat ou un montant élevé.
- Une expérience presque invisible. Avec le 3DS2, la plupart des opérations à faible risque sont approuvées sans action de l’acheteur. La friction est réservée aux paiements qui en ont vraiment besoin.
- Moins de charge interne. Chaque rétrofacturation évitée, ce sont des heures de moins à rassembler des preuves et gérer des litiges.
Attention : le liability shift couvre la fraude. Il ne couvre pas les litiges pour d’autres motifs (« produit non reçu », « service non conforme », double débit). Des conditions claires et des justificatifs par vente restent essentiels.
Questions fréquentes
Le 3D Secure fait-il perdre des ventes ?
Avec l’ancienne version, parfois oui. Avec le 3DS2, la plupart des paiements passent sans friction et le challenge se règle en secondes sur mobile. Aujourd’hui, vous risquez plus de perdre une vente sans 3DS (refus bancaire) qu’avec.
Dois-je faire quelque chose côté technique ?
Non. L’authentification est gérée par la passerelle. Votre site, lien de paiement ou TPE virtuel affiche la vérification uniquement quand la banque la demande.
Si l’acheteur échoue à la vérification ?
Le paiement n’est pas finalisé et rien n’est débité. L’acheteur peut réessayer ou utiliser une autre carte.
S’applique-t-il à toutes les cartes ?
Aux principales marques : Visa, Mastercard, American Express et autres schémas compatibles. Hors Europe ce n’est pas obligatoire, mais cela reste une protection utile.
Et Apple Pay ou Google Pay ?
Ces moyens incluent déjà leur propre authentification (empreinte, visage ou PIN), ce qui satisfait la SCA sans étape supplémentaire.
Un paiement authentifié peut-il quand même être contesté ?
Oui — mais si le motif est la fraude, la responsabilité incombe à la banque émettrice. Pour d’autres motifs (produit non reçu, service non rendu), le litige suit le processus habituel.
3D Secure chez Avirato Payments
Chez Avirato Payments, le 3D Secure 2 est intégré à tous les encaissements en ligne : site, liens de paiement et TPE virtuel. Rien à configurer de votre côté.
- Authentification lorsque c’est nécessaire. Notre plateforme transmet à la banque les données pour que la majorité des opérations soient approuvées sans friction.
- Exemptions gérées pour vous. Nous demandons les exemptions applicables (faible montant, faible risque, récurrent) pour limiter les étapes côté client.
- Protection contre les rétrofacturations pour fraude. Les paiements authentifiés bénéficient du liability shift vers la banque émettrice.
- Accompagnement concret. En cas de litige, notre équipe vous aide à préparer votre réponse.
Vous voulez savoir comment le 3D Secure impacte vos encaissements ou revoir votre configuration ? Écrivez-nous, nous en parlerons avec vous.