3D Secure 2 et SCA sous DSP2 : exemptions, transfert de responsabilité et conversion

Qu'est-ce que 3D Secure 2 et quel est son lien avec la SCA ?

L'authentification forte du client, ou SCA (Strong Customer Authentication), est une obligation légale : selon la DSP2 (PSD2 en anglais), un paiement électronique initié en ligne par le payeur doit être confirmé par deux facteurs indépendants, et le code d'authentification doit être lié de façon dynamique au montant et au bénéficiaire. 3D Secure 2 est la norme technique, maintenue par EMVCo, que les réseaux de cartes utilisent pour y répondre. Le porteur la rencontre sous les marques Visa Secure, Mastercard Identity Check, American Express SafeKey et Cartes Bancaires FAST'R.

La première version de 3D Secure envoyait chaque acheteur vers une page de mot de passe de sa banque. La version 2 échange plus de 100 éléments de données sur l'appareil, la commande et le compte : l'émetteur valide la plupart des paiements sans rien afficher et réserve un challenge, le plus souvent dans l'application bancaire, aux paiements risqués. Elle gère aussi les parcours natifs en application.

Quand la SCA est-elle obligatoire et quels paiements sont hors champ ?

La SCA s'applique aux paiements électroniques initiés par le payeur lorsque l'émetteur et l'acquéreur sont tous deux situés dans l'EEE ; le Royaume-Uni applique les mêmes règles par sa propre version des normes techniques. Pour une boutique en ligne européenne, cela couvre presque tous les premiers paiements par carte, chaque achat ponctuel et toute modification d'un mandat de carte enregistrée.

Plusieurs types de transactions échappent totalement à l'obligation, ce qui est différent d'une exemption : aucune authentification n'est exigée, mais l'émetteur peut refuser. Indiquez-les correctement dans le message d'autorisation, car un indicateur erroné provoque souvent le refus souple « SCA required ».

• Opérations initiées par le commerçant (MIT) : abonnements à montant variable, frais différés et non-présentations, à condition que le mandat ait été mis en place avec SCA
• Paiements par correspondance ou par téléphone (MOTO), pour lesquels les données de carte ne sont pas saisies par l'acheteur en ligne
• Paiements « one-leg-out », lorsque l'émetteur ou l'acquéreur est hors de l'EEE ; la SCA s'applique alors au mieux de ses possibilités
• Paiements initiés par le bénéficiaire à partir d'un mandat de prélèvement, comme le prélèvement SEPA

Quelles exemptions SCA les commerçants peuvent-ils utiliser ?

Les exemptions sont facultatives : l'acquéreur ou l'émetteur peut les appliquer, et l'émetteur a toujours le dernier mot. S'il refuse une exemption, il renvoie un refus souple (code de réponse 1A chez Visa, 65 chez Mastercard) et le paiement doit être retenté avec authentification. Le tableau résume les exemptions du règlement délégué (UE) 2018/389 qui comptent pour la vente en ligne.

L'analyse de risque transactionnelle est la plus utile aux commerçants à faible fraude, car elle couvre des paniers jusqu'à 500 €. Le taux retenu est celui du PSP qui applique l'exemption, calculé sur 90 jours : un acquéreur au portefeuille sain peut la demander pour votre compte.

Comment fonctionnent le parcours sans friction et le parcours avec challenge ?

Le serveur 3DS du commerçant, généralement exploité par le PSP, envoie une demande d'authentification au serveur de contrôle d'accès de l'émetteur, via l'annuaire du réseau de cartes. L'émetteur évalue la demande avec les données de l'appareil, de la commande et du compte, et répond en environ une seconde.

Si le risque est faible, l'acheteur ne voit rien. Sinon, l'émetteur déclenche un challenge : notification push dans l'application bancaire, contrôle biométrique ou code à usage unique. Dans les deux cas, le résultat et un cryptogramme sont transmis à l'autorisation.

1. Collecter les données Le paiement rassemble les données du navigateur ou de l'application, les adresses de facturation et de livraison et l'historique du compte de l'acheteur.
2. Authentifier Le serveur 3DS envoie la demande ; l'émetteur répond sans friction, avec un challenge ou par un rejet.
3. Autoriser Le résultat de l'authentification et le cryptogramme accompagnent la demande d'autorisation transmise à l'émetteur.

Que prévoit l'OSMP en France pour les paiements sans 3D Secure ?

En France, l'Observatoire de la sécurité des moyens de paiement (OSMP), hébergé par la Banque de France, juge le taux de fraude maîtrisé sur les paiements à distance authentifiés par 3D Secure, y compris avec exemption, mais structurellement plus élevé hors 3D Secure, notamment pour les MIT et les MOTO.

Ses recommandations demandent de limiter les MOTO et les MIT aux usages sans alternative, d'exiger un chaînage valide pour les MIT et d'appliquer une limite de vélocité glissante sur 24 heures par carte et par commerçant. Selon son calendrier, la limite des paiements MOTO est de 500 € depuis le 10 juin 2024, et celle des paiements internet sans 3D Secure a été abaissée par paliers jusqu'à quelques euros en 2025.

Qu'est-ce que le transfert de responsabilité 3D Secure ?

Lorsqu'un paiement est authentifié avec succès par 3D Secure, la responsabilité des rétrofacturations pour fraude, comme le code motif Visa 10.4 ou Mastercard 4837, passe du commerçant à l'émetteur. Dans la plupart des cas, c'est aussi vrai lorsque le commerçant a tenté l'authentification mais que l'émetteur n'était pas disponible.

La conversion progresse avec des données complètes dans la demande d'authentification, des indicateurs de transaction corrects, un SDK natif plutôt qu'une vue web, des demandes d'exemption via un acquéreur à faible fraude et une nouvelle tentative immédiate avec authentification après un refus souple. Mesurez séparément les taux sans friction, de réussite des challenges et d'autorisation par pays d'émetteur.

Comment 3D Secure 2 influence-t-il la conversion du paiement ?

Chaque challenge ajoute une étape où l'acheteur peut abandonner ou échouer, surtout lorsque l'application bancaire se trouve sur un autre appareil. L'ABE et la BCE ont indiqué en décembre 2025 que les paiements par carte authentifiés par SCA restent moins exposés à la fraude : l'objectif n'est donc pas d'éviter la SCA, mais de ne challenger que là où c'est utile.

La conversion progresse avec des données complètes dans la demande d'authentification, des indicateurs de transaction corrects, un SDK natif plutôt qu'une vue web dans les applications, des demandes d'exemption via un acquéreur à faible taux de fraude et une nouvelle tentative immédiate avec authentification après un refus souple. Mesurez séparément le taux sans friction, le taux de réussite des challenges et le taux d'autorisation par pays d'émetteur : un taux d'acceptation global masque l'endroit où les acheteurs abandonnent.

Comment ajouter 3D Secure 2 avec OrsunPay ?

OrsunPay est un service technique placé au-dessus des comptes PSP et acquéreur du commerçant. Avec sa page de paiement hébergée, les données de carte et le parcours 3D Secure s'exécutent dans l'interface du PSP : l'authentification, les demandes d'exemption et les règles de responsabilité relèvent donc de votre contrat avec ce PSP. Le routage fondé sur le risque et une intégration RiskCogs figurent sur la feuille de route et ne sont pas disponibles aujourd'hui.