Qu'est-ce que l'authentification forte du client ?
L'authentification forte du client (SCA) est une exigence prévue par la directive européenne révisée sur les services de paiement (DSP2) et ses normes techniques de réglementation (RTS). Elle s'applique à la plupart des paiements électroniques initiés par un payeur au sein de l'Espace économique européen, y compris les paiements par carte et les virements de compte à compte. L'objectif est de confirmer que la personne qui autorise un paiement est bien le titulaire du compte, afin de réduire la fraude sur les transactions à distance et sans présentation de carte.
La règle des deux facteurs
La SCA impose une authentification reposant sur au moins deux éléments indépendants parmi trois catégories : quelque chose que le client sait (un code PIN ou un mot de passe), quelque chose que le client possède (un téléphone, une carte ou un jeton matériel), et quelque chose que le client est (une empreinte digitale ou une reconnaissance faciale). Un paiement qui repose sur un seul de ces facteurs, comme le seul numéro de carte et sa date d'expiration, ne satisfait pas aux exigences de la SCA. En pratique, la SCA est généralement mise en œuvre via des parcours 3-D Secure, des applications bancaires ou des codes à usage unique associés à un appareil enregistré.
Les exemptions que les marchands peuvent demander
Les normes techniques de la DSP2 prévoient également des exemptions permettant à un paiement de se passer de cette étape d'authentification supplémentaire lorsque le risque est jugé suffisamment faible. Un marchand n'accorde pas lui-même ces exemptions : la demande est adressée à l'émetteur de la carte ou au prestataire de services de paiement, qui décide de l'appliquer ou non. Les principales catégories sont les suivantes :
- Paiements de faible montant : transactions à distance inférieures à un seuil défini, avec des limites sur le nombre de paiements de faible montant ou le cumul des dépenses pouvant échapper au contrôle avant qu'une nouvelle SCA ne soit exigée.
- Analyse du risque de la transaction (TRA) : les acquéreurs et émetteurs dont le taux de fraude est inférieur aux niveaux de référence fixés par les RTS peuvent appliquer une exemption jusqu'à certains montants de transaction, évalués en temps réel pour chaque paiement.
- Paiements récurrents : la SCA est requise pour le premier paiement d'une série de prélèvements récurrents à montant fixe ; les paiements suivants de la même série peuvent être exemptés.
- Bénéficiaires de confiance (liste blanche de marchands) : une fois qu'un client a ajouté un marchand à la liste de confiance de sa banque via une étape de SCA, les paiements ultérieurs vers ce marchand peuvent se passer d'une nouvelle authentification.
- Paiements d'entreprise : les transactions effectuées via des processus ou protocoles de paiement professionnels dédiés, non accessibles aux consommateurs, peuvent bénéficier d'une exemption.
Toute exemption peut néanmoins être écartée. L'émetteur peut toujours exiger une authentification complète si ses propres contrôles de risque signalent le paiement ; demander une exemption ne garantit donc pas qu'une transaction passera sans vérification supplémentaire.
La place de la SCA dans le parcours de paiement
Comme c'est l'émetteur qui a le dernier mot sur les exemptions, la manière dont une demande de paiement est construite a de l'importance. La page de paiement hébergée d'omwio transmet les données de transaction dont un émetteur ou un prestataire a besoin pour évaluer une exemption, et son routage des prestataires permet de diriger une transaction vers un prestataire qui prend en charge les parcours de SCA et d'exemption pertinents pour ce moyen de paiement et ce corridor. Le panneau marchand donne aux marchands une visibilité sur la manière dont chaque transaction a été authentifiée, tandis que le panneau gestionnaire permet aux équipes des opérations de paiement d'examiner les résultats d'authentification pour l'ensemble des marchands et des prestataires.
Ce que les marchands doivent garder à l'esprit
La SCA et ses exemptions relèvent d'un cadre technique et réglementaire fixé par la DSP2 et les RTS, et non d'une plateforme en particulier. Avant de s'appuyer sur une exemption pour un parcours donné, les marchands doivent vérifier auprès de leur acquéreur ou de leur PSP quelles exemptions celui-ci prend en charge et dans quelles conditions, car les émetteurs et les réseaux appliquent les mêmes règles avec une certaine marge d'appréciation. Cet article explique le mécanisme ; il ne constitue pas une garantie quant au comportement d'une transaction, d'un émetteur ou d'un prestataire donné.
