Depuis la directive européenne sur les services de paiement, un achat en ligne exige deux facteurs indépendants et un code lié au montant. Voici le mécanisme, les exemptions légales et ce que son absence change pour vous.
L’authentification forte impose deux éléments issus de catégories différentes : quelque chose que vous savez, quelque chose que vous détenez, quelque chose que vous êtes. Pour un paiement à distance, le code produit doit en outre être lié au montant et au bénéficiaire, ce qui explique que la notification affiche ces deux informations. 3-D Secure n’est que le protocole technique qui transporte ce contrôle pour les cartes, et il protège d’abord le commerçant. Quand la banque n’exige pas l’authentification forte alors qu’elle le doit, la loi lui interdit d’invoquer votre négligence.
Panier validé, 89 €, la page se fige sur « vérification en cours ». Le téléphone ne sonne pas. Au bout de deux minutes, le site affiche « authentification échouée, veuillez réessayer ». Vous recommencez, le paiement passe, et le lendemain deux débits identiques apparaissent sur le compte.
Entre le bouton « payer » et le débit, une négociation invisible s’est déroulée entre le commerçant, sa banque, le réseau de cartes et la vôtre. Elle obéit à une règle européenne précise, dont la plupart des utilisateurs ne connaissent que le symptôme : la notification à valider.
Savoir ce que cette règle exige a une utilité très concrète. Elle explique pourquoi certains paiements ne demandent rien, pourquoi d’autres échouent au pire moment, et surtout ce que son absence vous rapporte en cas de fraude.
La directive européenne sur les services de paiement, transposée dans le code monétaire et financier, impose une authentification forte dans trois situations : l’accès à un compte de paiement en ligne, l’initiation d’une opération de paiement électronique, et toute action à distance susceptible de comporter un risque de fraude.
Une authentification est dite forte quand elle repose sur au moins deux éléments appartenant à des catégories différentes :
Le mot décisif est indépendance. Les deux éléments doivent être choisis de telle sorte que la compromission de l’un ne compromette pas l’autre. Deux mots de passe ne font donc pas une authentification forte, et un code reçu par SMS accompagné d’une date de naissance non plus : la date de naissance n’est pas un secret, elle figure sur des dizaines de formulaires. Ce couplage, courant au début de la mise en œuvre, a été abandonné pour cette raison. Le même raisonnement structure le choix d’un second facteur pour un compte ordinaire.
Pour un paiement à distance, la réglementation ajoute une exigence que peu de gens identifient comme telle : le lien dynamique. Le code d’authentification produit doit être rattaché au montant exact de l’opération et à l’identité du bénéficiaire. Si l’un des deux change, le code devient invalide.
C’est pour cela que la notification de votre application affiche « 89,00 € chez tel marchand » et non « confirmez-vous cette opération ? ». Cet affichage n’est pas une commodité d’interface, c’est une obligation réglementaire, et il constitue votre meilleur outil de vérification en temps réel.
La loi exige un résultat, pas une technologie. Pour les paiements par carte sur internet, ce résultat est obtenu par un protocole interbancaire nommé 3-D Secure. Le nom vient de ses trois domaines : celui de la banque du commerçant, celui de la banque du porteur, et le domaine d’interopérabilité géré par le réseau de cartes.
La deuxième version du protocole, généralisée depuis le début des années 2020, transmet à votre banque une centaine de données de contexte au moment du paiement : type d’appareil, historique avec ce marchand, montant, adresse de livraison, heure. Votre banque décide alors si elle exige une validation ou si elle laisse passer sans rien demander. Ce second cas s’appelle un parcours sans friction, et il représente une part importante des paiements en ligne.
Un point est régulièrement mal compris : 3-D Secure protège d’abord le commerçant. Lorsqu’il l’utilise, la charge financière d’une opération frauduleuse se déplace vers la banque émettrice. Un commerçant qui s’en dispense supporte lui-même la perte. Cette répartition se joue entre professionnels et ne modifie pas vos droits, qui relèvent du régime légal de remboursement des opérations non autorisées.
Un paiement qui passe sans validation n’est pas nécessairement une négligence de votre banque. Le règlement européen prévoit une liste fermée d’exemptions, chacune bornée par des compteurs.
| Exemption | Plafond par opération | Limite cumulée | Qui décide |
|---|---|---|---|
| Petit montant en ligne | 30 € | 100 € cumulés ou cinq opérations consécutives | La banque du payeur |
| Paiement sans contact en magasin | 50 € | 150 € cumulés ou cinq opérations consécutives | La banque du payeur |
| Bénéficiaire de confiance | Aucun | Sans objet | Vous, par inscription auprès de votre banque |
| Opération récurrente de montant fixe | Aucun | Authentification à la première échéance seulement | Le commerçant et la banque |
| Analyse de risque de l’opération | De 100 à 500 € selon le taux de fraude du prestataire | Suspendue si le taux de fraude dépasse le seuil | La banque du payeur |
| Terminal non surveillé de transport ou de stationnement | Aucun | Sans objet | Le cadre réglementaire |
| Virement entre vos propres comptes dans le même établissement | Aucun | Sans objet | La banque |
L’exemption fondée sur l’analyse de risque mérite une mention particulière : son plafond dépend du taux de fraude constaté chez le prestataire. Plus une banque maîtrise sa fraude, plus elle a le droit de dispenser ses clients de validation. C’est un mécanisme d’incitation, rare dans la réglementation financière, et il explique que deux banques n’imposent pas les mêmes frictions pour un achat identique.
Deux situations sortent du champ plutôt qu’elles n’en sont exemptées : les opérations déclenchées par le commerçant sans intervention du payeur, et les paiements pris par téléphone ou par correspondance. Enfin, quand le commerçant est hors de l’Espace économique européen, l’authentification n’est plus obligatoire, seulement recherchée dans la mesure du possible.
Les échecs ne sont presque jamais des pannes du protocole. Ils viennent du rattachement du facteur de possession à un appareil physique précis.
| Situation | Ce qui casse | Ce qui débloque |
|---|---|---|
| Changement de téléphone | L’enrôlement est lié à l’ancien appareil | Réenrôlement dans l’application, parfois avec code postal ou passage en agence |
| Voyage à l’étranger | SMS non reçu en itinérance, application sans connexion de données | Activer les données, ou utiliser le code hors ligne proposé par certaines applications |
| Téléphone trop ancien | L’application bancaire n’est plus compatible avec le système | Mise à jour, ou changement d’appareil quand le support est terminé |
| Paiement depuis le même téléphone | La bascule entre le navigateur et l’application interrompt la session | Revenir manuellement sur l’onglet du marchand après validation |
| Délai dépassé | La session d’authentification expire au bout de quelques minutes | Reprendre le paiement depuis le panier, sans multiplier les tentatives |
| Notifications désactivées | L’application ne peut plus vous alerter | Rétablir l’autorisation de notification dans les réglages du système |
| Double débit après réessai | Une autorisation a été enregistrée avant l’échec affiché | Contester l’opération en double, qui n’a jamais été autorisée deux fois |
La ligne des notifications se règle en trente secondes et provoque un nombre disproportionné d’appels au service client. La revue de ces autorisations est décrite dans le passage en revue des permissions d’applications. Celle du téléphone trop ancien pose une question plus large, traitée dans la fin de support d’un système : une application bancaire cesse en général d’être maintenue avant que l’appareil ne devienne inutilisable.
Un code envoyé par SMS prouve la détention de la carte SIM, pas celle du téléphone ni l’identité de la personne qui le lit. Trois attaques suffisent à le contourner : le transfert frauduleux de ligne vers une nouvelle carte, la lecture du message sur un écran verrouillé qui affiche les aperçus, et la simple dictée du code à un interlocuteur convaincant.
La bascule des lignes mobiles vers l’eSIM change la nature du risque plutôt que son niveau : l’activation à distance supprime le passage en boutique, ce que détaille le fonctionnement de l’eSIM et de la carte SIM. L’Observatoire de la sécurité des moyens de paiement pousse depuis plusieurs années le remplacement du code par SMS par une validation dans l’application, adossée à un code personnel ou à la biométrie de l’appareil, et mesure des taux d’abandon nettement plus élevés sur le SMS.
La direction technologique est plus nette encore avec les clés d’accès, où la preuve de possession repose sur une clé cryptographique inscrite dans un composant sécurisé, jamais transmise, donc ni interceptable ni dictable. La même logique de preuve non transmissible fonde l’identification par FranceConnect pour les démarches publiques.
Voici le point le plus rentable de cet article. Le code monétaire et financier prévoit que, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière lorsque son prestataire n’a pas exigé une authentification forte alors qu’il le devait.
La portée est considérable. Dans cette hypothèse, la banque ne peut pas invoquer votre négligence grave, même si vous avez commis une imprudence. La discussion s’arrête : elle rembourse la totalité. Vérifier si l’opération contestée a fait l’objet d’une authentification est donc le premier réflexe utile, avant même de raconter les circonstances.
Comment le savoir ? En le demandant par écrit. La banque doit prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée d’une déficience technique. Demandez la trace de l’authentification, sa date, son horodatage et le canal utilisé. Un silence sur ce point dans une lettre de refus est en soi un argument pour le médiateur bancaire.
Symétriquement, une authentification techniquement réussie ne clôt pas le débat. Le même code prévoit que l’utilisation de l’instrument de paiement, telle qu’enregistrée par la banque, ne suffit pas nécessairement à prouver que l’opération a été autorisée par le payeur, ni qu’il a manqué à ses obligations par négligence grave.
Cette précision vise exactement les fraudes actuelles. Quand un escroc obtient l’enrôlement de votre carte dans un portefeuille mobile installé sur son propre téléphone, chaque paiement ultérieur est parfaitement authentifié, et pourtant non autorisé par vous. La journalisation de la banque montre une opération conforme ; la réalité est un vol.
La même ambiguïté vaut pour les virements réalisés sous manipulation, sujet traité dans le virement instantané et la vérification du bénéficiaire. Dans les deux cas, l’argument « l’opération a été authentifiée » décrit un fait technique, il ne qualifie rien juridiquement.
Trois lignes suffisent, et elles sont toutes affichées à l’écran : le montant, le nom du bénéficiaire, la nature de l’opération. Si l’une des trois ne correspond pas à ce que vous êtes en train de faire, la validation se refuse, sans explication à fournir à qui que ce soit. Le lien dynamique existe précisément pour rendre ce contrôle possible.
Et si quelqu’un vous accompagne au téléphone pendant que vous lisez ces trois lignes, la question n’est plus celle du contenu de l’écran mais celle de l’appel. Notre test en huit situations reprend plusieurs de ces demandes de validation, authentiques ou frauduleuses, pour entraîner ce réflexe avant qu’il ne serve.
Parce que la réglementation européenne prévoit des exemptions. Un achat en ligne de moins de 30 €, un paiement sans contact de moins de 50 €, un abonnement de montant fixe déjà authentifié une fois, un marchand que vous avez inscrit comme bénéficiaire de confiance ou une opération jugée à faible risque par l’analyse automatique de votre banque peuvent se passer d’authentification. Ces exemptions sont plafonnées par des compteurs cumulés : après quelques petits paiements consécutifs, la validation redevient obligatoire.
Il reste techniquement admis comme preuve de détention du téléphone, mais il est en retrait rapide. Il s’intercepte par transfert frauduleux de ligne, se lit sur un écran verrouillé et se dicte à un faux conseiller. L’Observatoire de la sécurité des moyens de paiement pousse depuis plusieurs années son remplacement par la validation dans l’application bancaire, avec code personnel ou biométrie. La logique est la même que celle décrite dans la comparaison des facteurs d’authentification.
Le facteur de possession est rattaché à l’appareil enrôlé, pas à votre compte : changer de téléphone casse ce lien. Le réenrôlement se fait depuis l’application, avec une vérification renforcée qui passe selon les banques par un code envoyé par courrier, un appel du conseiller ou un passage en agence. Anticipez avant de céder l’ancien appareil, et gardez-le accessible quelques jours. Une eSIM transférée sur un nouveau téléphone ne suffit pas toujours à rétablir la validation.
Non, elle l’a même provoqué. En rendant la fraude purement technique très difficile, elle a déplacé l’effort des escrocs vers l’obtention de votre geste. Le fraudeur ne cherche plus à contourner la validation, il cherche à vous la faire produire, en commentant votre écran au téléphone. Le déroulé complet figure dans le scénario du faux conseiller bancaire. La parade est procédurale : aucune action bancaire pendant un appel entrant.
C’est possible et légal. L’obligation d’authentification forte s’applique quand la banque du payeur et celle du bénéficiaire sont toutes deux situées dans l’Espace économique européen. Lorsque le commerçant est établi ailleurs, l’authentification est appliquée dans la mesure du possible, sans obligation de résultat. C’est l’une des raisons pour lesquelles la fraude à la carte se concentre sur les paiements transfrontaliers hors zone européenne, malgré leur part réduite dans les volumes.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Démarches administratives, paiements, réseaux sociaux, famille et droits : le numérique à la française.