CVV d'une carte bancaire

Trois chiffres au dos d'une carte, qu'on saisit machinalement à chaque achat en ligne et qu'on oublie aussitôt. Le CVV est l'un des rouages les plus discrets et les plus ciblés de la sécurité des paiements. Comprendre ce qu'il protège — et surtout ce qu'il ne protège pas — évite bien des erreurs, aussi bien pour un particulier que pour une entreprise dont plusieurs collaborateurs manient des cartes au quotidien.

Qu'est-ce que le CVV ?

Le CVV (Card Verification Value) est un code de sécurité à trois chiffres figurant au dos d'une carte bancaire, utilisé pour authentifier les paiements effectués à distance, notamment en ligne.

Il ne doit jamais être communiqué en dehors d'une transaction légitime, car il constitue une donnée sensible fréquemment ciblée par les tentatives de fraude.

Sa logique est simple : prouver, lors d'un achat à distance, que celui qui paie a la carte physiquement en main. Le numéro de carte et la date d'expiration peuvent être connus ou devinés ; le CVV, lui, n'est imprimé nulle part ailleurs et ne figure ni sur les tickets, ni sur les relevés, ni dans la puce lue par un terminal. Le fournir, c'est attester d'une présence physique de la carte au moment de l'achat.

C'est pourquoi il n'est demandé que pour les paiements où la carte n'est pas insérée dans un terminal — achats en ligne, par téléphone, par correspondance. En magasin, la puce et le code personnel jouent ce rôle, et le CVV n'est pas requis.

Ce qu'il sécurise, et ce qu'il ne couvre pas

Le CVV comble une faille précise, mais il ne fait pas tout, et sa force est aussi sa limite.

Sa force : il rend inutilisable un numéro de carte volé sans la carte elle-même. Une base de numéros piratée ne suffit pas à payer si le CVV manque, ce qui explique pourquoi il est si recherché par les fraudeurs — c'est la pièce qui transforme une donnée volée en moyen de paiement.

Sa limite : une fois communiqué, il ne protège plus. Si un fraudeur obtient le numéro, la date et le CVV — par hameçonnage, par un faux site, par un logiciel espion —, il dispose de tout ce qu'il faut pour un paiement à distance. Le code ne se régénère pas à chaque achat ; c'est une donnée fixe, et sa sécurité repose entièrement sur le fait qu'elle reste secrète.

Cette fragilité explique pourquoi d'autres couches de sécurité sont venues s'ajouter : l'authentification forte, qui demande une validation supplémentaire au moment du paiement, ne remplace pas le CVV mais compense son principal défaut — le fait qu'une fois connu, il ouvre la porte.

Questions fréquentes

Un commerçant peut-il conserver mon CVV ?

Les règles de sécurité des paiements l'interdisent : le CVV ne doit jamais être stocké après la transaction, contrairement au numéro de carte qui peut l'être sous conditions. Un site qui propose d'« enregistrer » votre carte conserve le numéro, pas le CVV, qui vous sera redemandé.

Pourquoi me le redemande-t-on à chaque fois ?

Justement parce qu'il ne doit pas être conservé. Le ressaisir à chaque paiement est le signe que le marchand respecte la règle. Un site qui ne le redemanderait jamais devrait au contraire éveiller la méfiance.

Que faire si je l'ai communiqué par erreur ?

Contacter sa banque sans attendre pour signaler le risque et, selon le cas, faire opposition. Un CVV divulgué équivaut à une carte compromise pour les paiements à distance : la rapidité de réaction limite les dégâts.

Faut-il le masquer sur sa carte ?

Certains le recouvrent ou le mémorisent avant de l'effacer. C'est une précaution défendable contre un vol physique de la carte, mais la menace principale reste numérique : un CVV se vole surtout en le saisissant sur un faux site, pas en lisant le dos de la carte.

Les bons réflexes dans une entreprise

Quand plusieurs personnes utilisent des cartes professionnelles, le risque se multiplie, et quelques principes simples réduisent l'exposition.

Le premier est de ne jamais communiquer un CVV par un canal non sécurisé : ni par e-mail, ni par message, ni par téléphone à un interlocuteur qui appelle. Une demande de CVV « pour vérification » est un signal de fraude presque certain, en particulier dans les tentatives de faux fournisseur ou de faux conseiller bancaire.

Le deuxième est de réserver la saisie aux sites de confiance, en vérifiant l'adresse et en se méfiant des liens reçus. La plupart des fraudes au CVV passent par un faux site imitant un vrai.

Le troisième est de pouvoir réagir vite : savoir qui, dans l'entreprise, contacte la banque en cas de doute, et disposer de cartes dont les plafonds et l'usage sont maîtrisés limite l'ampleur d'un incident. Une carte compromise fait moins de dégâts si son usage est encadré.

CVV, code personnel, authentification : ne pas confondre les sécurités

La confusion entre les différents dispositifs de sécurité d'une carte conduit à surestimer sa protection. Trois mécanismes coexistent, avec des rôles distincts.

Le code personnel protège les paiements et retraits où la carte est physiquement présente : il n'est jamais demandé en ligne, et une demande de code personnel sur internet est frauduleuse par définition. Le CVV protège les paiements à distance, en attestant la possession de la carte. L'authentification forte ajoute une validation au moment de l'achat en ligne, souvent via l'application bancaire, pour vérifier que c'est bien le titulaire qui paie.

Chacun couvre un angle que les autres laissent ouvert. Aucun ne dispense de vigilance : le CVV protège contre l'usage d'un numéro volé, mais pas contre sa propre divulgation. La sécurité tient à la combinaison de ces couches et, surtout, à la prudence de celui qui manie la carte.

CVV et Qileo

La sécurité d'une carte tient autant à la façon dont on la protège qu'à la capacité de repérer vite un usage anormal — deux points où le suivi de la trésorerie compte.

Qileo permet des cartes dont les plafonds sont paramétrables et attribue des droits par membre de l'équipe : chaque collaborateur dispose du niveau d'accès et de dépense adapté, ce qui limite l'ampleur d'une carte compromise. La vue unique de la trésorerie disponible, tous comptes confondus, et la catégorisation des opérations au fil de l'eau rendent une opération inhabituelle repérable rapidement, avant qu'elle ne se répète. Les justificatifs rattachés aux opérations aident à distinguer un paiement légitime d'un débit contesté. Autant de conditions pour réagir vite, ce qui, en matière de fraude à la carte, fait la différence.