Authentification forte (SCA)

C'est la notification qu'on reçoit au moment de payer en ligne, celle qu'on valide sans y penser et qui devient soudain irritante quand le téléphone est déchargé ou que l'on change d'appareil. Derrière ce geste devenu réflexe se trouve une obligation réglementaire européenne qui a fait chuter la fraude sur les paiements à distance de façon spectaculaire. Pour une entreprise, l'authentification forte n'est pas seulement une contrainte subie côté payeur : c'est aussi un paramètre qui conditionne les taux d'abandon de panier lorsqu'on vend en ligne, et un dispositif dont les exemptions méritent d'être connues.

Qu'est-ce que l'authentification forte ?

L'authentification forte est une procédure qui exige, pour valider un paiement ou un accès à un compte, au moins deux facteurs indépendants appartenant à des catégories distinctes.

Ces catégories sont au nombre de trois. La connaissance, c'est-à-dire quelque chose que seul l'utilisateur sait : un code, un mot de passe. La possession, quelque chose que seul l'utilisateur détient : un téléphone appairé, une carte, un dispositif dédié. L'inhérence, quelque chose que l'utilisateur est : une empreinte digitale, une reconnaissance faciale.

L'exigence d'indépendance est essentielle : la compromission d'un facteur ne doit pas affaiblir l'autre. Un code reçu par message sur le même téléphone que celui qui exécute le paiement ne satisfait donc plus l'esprit du dispositif, ce qui explique le déplacement progressif vers la validation dans l'application bancaire assortie d'une biométrie.

L'obligation découle de la deuxième directive européenne sur les services de paiement, dite DSP2, et de ses normes techniques d'application.

Quand elle s'applique, et quand elle ne s'applique pas

L'authentification forte est requise lorsqu'un payeur accède à son compte en ligne, initie une opération de paiement électronique, ou effectue toute action à distance susceptible de comporter un risque de fraude.

Des exemptions existent, et elles sont à l'initiative du prestataire, non du client. Les paiements de faible montant peuvent en être dispensés, dans la limite d'un cumul au-delà duquel l'authentification redevient obligatoire. Les paiements récurrents d'un montant identique au même bénéficiaire ne l'exigent qu'à la première occurrence. Un bénéficiaire inscrit sur une liste de confiance par le payeur peut également en être exempté. Enfin, une analyse de risque en temps réel permet, sous conditions strictes de niveau de fraude, de laisser passer une opération jugée peu risquée.

Deux catégories échappent au dispositif pour des raisons structurelles : les opérations initiées par le bénéficiaire, comme les prélèvements, et celles où le payeur n'est pas présent, comme les paiements par courrier ou par téléphone. Ce sont, sans surprise, les canaux où la fraude s'est partiellement reportée.

Le point important pour un commerçant est le suivant : demander une exemption n'est pas sans effet sur la responsabilité. Lorsque le paiement est authentifié fortement, la charge de la fraude bascule vers l'émetteur ; lorsqu'il ne l'est pas, elle reste du côté de celui qui a demandé l'exemption.

Ce que cela change pour une TPE ou un indépendant

Côté payeur, l'authentification forte est une contrainte à organiser plutôt qu'à subir. Trois situations posent problème dans une petite structure.

Le dirigeant est seul à détenir le facteur de possession, et rien ne se paie en son absence. La réponse n'est pas de partager un téléphone, mais d'attribuer à chaque membre de l'équipe ses propres moyens de paiement et ses propres droits.

Le changement de téléphone interrompt la chaîne d'authentification au pire moment. Réappairer l'appareil avant de se séparer de l'ancien évite une journée sans capacité de paiement.

Les paiements automatiques échouent après un renouvellement de carte, l'exemption des paiements récurrents ne survivant pas toujours au changement de numéro. Un point trimestriel sur les abonnements suffit à repérer ces ruptures avant le rejet.

Côté encaissement, si l'activité vend en ligne, l'authentification forte fait partie de l'équation commerciale : un parcours de paiement mal intégré transforme une exigence de sécurité en abandon de panier.

Questions fréquentes

Un code reçu par message suffit-il ?
Il constitue un facteur de possession, mais son usage recule au profit de la validation dans l'application bancaire, jugée plus robuste et moins exposée au détournement de ligne téléphonique.

Peut-on payer en ligne sans smartphone ?
Oui. Les établissements doivent proposer une solution alternative, par dispositif physique ou autre canal, pour ne pas exclure les clients sans smartphone.

Qui supporte la perte en cas de fraude ?
Lorsque l'opération n'a pas fait l'objet d'une authentification forte alors qu'elle aurait dû, le payeur ne peut en principe pas en supporter les conséquences, sauf négligence grave de sa part.

Le paiement sans contact en magasin est-il concerné ?
Oui, par un mécanisme équivalent : au-delà d'un certain montant ou d'un certain cumul d'opérations consécutives, la saisie du code redevient obligatoire.

Authentification forte et lutte contre la fraude au virement

L'authentification forte protège une opération contre son exécution par un tiers. Elle ne protège pas contre une opération exécutée volontairement par le titulaire lui-même, sous l'effet d'une manipulation. C'est toute la différence entre la fraude technique, en net recul, et la fraude par ingénierie sociale, qui progresse.

Le scénario type ne passe par aucune faille : un appel prétendument émis par le service sécurité de la banque, une urgence fabriquée, et le titulaire valide lui-même l'authentification forte d'un virement qu'il croit destiné à protéger ses fonds. Techniquement, tout est régulier.

Deux dispositifs complémentaires réduisent ce risque. La vérification du bénéficiaire, désormais appliquée aux virements en euros, signale avant validation que le nom saisi ne correspond pas au titulaire du compte destinataire. Et, dans une entreprise, la séparation entre la personne qui prépare un paiement et celle qui le valide, qui reste la mesure la plus efficace parce qu'elle introduit un tiers dans un scénario construit pour isoler sa victime.

La règle pratique tient en une phrase : aucun établissement ne demande jamais de valider une authentification forte au téléphone. Une demande de ce type est une fraude, sans exception.

Authentification forte et Qileo

Sur un compte Qileo, l'authentification forte s'applique aux accès comme aux opérations sensibles, avec des droits attribués individuellement plutôt qu'un accès unique partagé dans l'équipe. Chaque membre dispose de ses propres moyens de validation et de ses propres plafonds, ce qui évite la situation où l'absence d'une personne bloque tous les paiements. Les cartes virtuelles plafonnées et les circuits de validation viennent compléter ce cadre, dans la même logique : sécuriser une dépense au moment où elle est engagée plutôt que de la contrôler après coup.