Vous validez un achat, mais aucun code SMS ne s’affiche et votre application bancaire ne vous demande rien. Cette absence de confirmation visible ne signifie pas automatiquement que le paiement en ligne a échappé au 3D Secure.
La banque peut évaluer le risque en arrière-plan, appliquer une exemption prévue par la réglementation ou laisser le paiement sans authentification forte. Pour comprendre ce que signifie réellement cette certification d’achat, il faut distinguer les parcours possibles.
À retenir :
- Validation invisible parfois compatible avec une authentification sécurisée
- Exemptions réglementaires distinctes d’une absence complète de protection
- Responsabilités variables selon le parcours et les acteurs du paiement
- Fiabilité du marchand à vérifier au-delà de l’écran bancaire
3D Secure : pourquoi l’application bancaire ne demande pas toujours une validation
Ces différents parcours expliquent pourquoi l’absence de notification ne suffit pas à juger la sécurité bancaire. Le 3D Secure permet à la banque d’évaluer l’opération, parfois sans interrompre l’achat par une demande visible.
Authentification forte et parcours sans écran de confirmation
Avec 3D Secure, la banque émettrice, le commerçant et l’acheteur participent à la vérification. Selon la directive européenne DSP2, l’authentification forte repose généralement sur plusieurs éléments indépendants permettant de confirmer l’identité du client.
Lors d’un parcours dit « frictionless », des informations sur l’appareil et la transaction sont analysées en arrière-plan. La banque peut autoriser le paiement sans code SMS, mais cela ne prouve pas, à lui seul, que chaque opération a suivi le même mécanisme d’authentification.
Exemptions DSP2 : petits montants, abonnements et bénéficiaires
La réglementation prévoit aussi des exemptions, dont l’application dépend des conditions de l’opération et de la décision des prestataires. Selon le règlement délégué européen relatif aux exigences d’authentification, certains paiements peuvent ainsi éviter une vérification supplémentaire.
Un abonnement à montant fixe peut ne nécessiter une authentification forte qu’à sa création, tandis qu’un bénéficiaire enregistré peut profiter d’un traitement simplifié. Pour une opération de faible montant, la banque peut également appliquer une exemption si les critères réglementaires sont réunis.
Les exemples ci-dessous montrent pourquoi une validation de transaction discrète peut correspondre à des situations différentes, avec des protections qui ne sont pas identiques.
Parcours possibles lors d’un paiement :
Scénario
Étape visible
Lecture prudente
Défi 3D Secure
Code ou validation bancaire
Contrôle demandé au client
Parcours frictionless
Aucune demande affichée
Évaluation réalisée en arrière-plan
Exemption réglementaire
Généralement aucune
Traitement soumis à des critères spécifiques
Site sans contrôle identifiable
Aucune demande
Contexte à vérifier avant l’achat
Le tableau distingue l’écran que voit l’acheteur du traitement réalisé par les acteurs du paiement. Pour évaluer les conséquences d’une fraude, il faut ensuite regarder qui a autorisé l’opération et dans quel cadre.
