Décryptage
Conformité et sécurité3D Secure 2 et authentification forte pour les marchands à haut risque
Ce que font réellement le 3DS2 et l'authentification forte, comment fonctionne le transfert de responsabilité, quelles exemptions s'appliquent et comment un marchand à haut risque doit organiser son routage.
- Par le desk d'underwriting d'OpenGate
- Mis à jour
- 14 min de lecture
Le 3D Secure 2 (3DS2) est la deuxième version du protocole d’authentification des paiements par carte, conçue par EMVCo pour que les banques et les marchands échangent beaucoup plus de données pendant un paiement. L’authentification forte (SCA) est l’obligation légale européenne, issue de la DSP2 (PSD2), d’authentifier les paiements électroniques avec au moins deux facteurs indépendants. Ensemble, ils déterminent qui paie lorsqu’une transaction est contestée.
Dans ce guide
Ce que le 3D Secure 2 a changé
Le 3DS2 est la deuxième génération du protocole qu’EMVCo a conçu pour permettre à la banque émettrice de confirmer que la personne qui paie est bien le porteur de la carte. La version 2 échange plus d’une centaine de données pendant un paiement : informations sur l’appareil, historique du compte chez le marchand, adresse de livraison, détail de l’achat. Le moteur de risque de l’émetteur analyse ces données en temps réel et tranche entre deux issues. Soit le paiement passe sans friction (frictionless), sans aucune étape supplémentaire pour le client, soit l’émetteur soumet le porteur à un challenge, le plus souvent un code ou une validation biométrique dans son application bancaire.
La première version du protocole reposait sur une page de redirection peu ergonomique qui faisait chuter les conversions. La version 2.2 fonctionne dans les applications et les navigateurs, et c’est le marchand qui choisit quelles transactions demandent un challenge et lesquelles demandent une exemption. Pour un marchand à haut risque, tout l’intérêt est là. L’authentification cesse d’être un oui ou un non appliqué à tout le trafic : elle devient une décision de routage, prise transaction par transaction, par segment et par marché.
La version 2.2 a aussi introduit les indicateurs d’exemption qui rendent ce routage possible. La demande du marchand est transmise dans le message d’authentification, le moteur de risque de l’émetteur l’accepte ou passe outre, et le résultat revient avec l’autorisation. C’est cet échange qui permet à une même page de paiement d’offrir un parcours différent selon le client, et c’est sur cette couche que le marchand à haut risque intervient.
Ce qu’exige l’authentification forte (SCA) de la DSP2
L’authentification forte du client (SCA) est la couche juridique, inscrite dans la réglementation européenne des paiements par la DSP2. Quand un client européen paie, le paiement doit être authentifié par au moins deux facteurs indépendants parmi trois : ce que le client connaît (un mot de passe, un code PIN), ce qu’il possède (sa carte, un appareil enregistré) et ce qu’il est (une empreinte digitale, la reconnaissance faciale). Les deux facteurs retenus doivent relever de catégories différentes.
La SCA s’applique aux paiements par carte initiés par le client dans l’Espace économique européen (EEE). La première transaction d’une série récurrente est authentifiée ; les paiements programmés suivants sont considérés comme initiés par le marchand et ne repassent pas par le challenge. La réglementation est européenne, mais le protocole est mondial, et hors d’Europe aussi, les émetteurs soumettent de plus en plus souvent les transactions à haut risque à un challenge. Le Royaume-Uni a conservé sa propre version des règles depuis le Brexit, résumée sur la page compte marchand Royaume-Uni. La Suisse n’a pas repris la DSP2, mais ses émetteurs appliquent tout de même le 3D Secure, comme l’explique notre page Suisse. La page Europe détaille les exemptions pour tout le bloc, et à Singapour, l’association des banques rend le marchand qui n’utilise pas le 3D Secure responsable de la fraude à la carte, comme l’explique la page Singapour. Au Brésil, nous n’avons trouvé aucune loi ni règle de la Banco Central qui l’impose, mais les règles du secteur des cartes (ABECS) rendent un marchand à l’indice de fraude maximal éligible à l’authentification forte sur toutes ses transactions par carte en ligne ; en Turquie, le guide du BKM met à la charge du marchand les litiges pour fraude en vente à distance, sauf si le 3D Secure a été utilisé. Si vous vendez à des clients européens, la SCA n’a rien de facultatif. L’acquéreur et les réseaux l’attendent, et l’ignorer met votre dossier en danger.
Une transaction, étape par étape
Un premier dépôt de 200 EUR effectué par un nouveau joueur arrive sur la passerelle. Le message 3DS2 du marchand transmet l’empreinte de l’appareil, l’ancienneté du compte et une demande de challenge, car sur ce site les premiers dépôts forment un segment très exposé à la fraude. L’émetteur lit le message, évalue l’appareil au regard de l’historique du porteur et déclenche un challenge. Le joueur valide dans son application bancaire, la transaction est authentifiée et l’autorisation est accordée. Si ce dépôt est contesté plus tard comme non autorisé, c’est l’émetteur qui paie, et non le marchand.
La même transaction, venant d’un joueur fidèle qui paie ce marchand tous les mois depuis un an, suit le chemin inverse. La passerelle demande un parcours sans friction au titre de l’analyse de risque de la transaction. Le moteur de l’émetteur voit l’historique, juge le risque faible et autorise sans aucune étape pour le joueur. Deux transactions, même montant, routage différent : l’écart s’explique par les données du message et le score de l’émetteur. Toute la discipline du routage tient dans cet exemple.
Comment fonctionne le transfert de responsabilité
Le transfert de responsabilité (liability shift) est le mécanisme qui donne tout son intérêt à l’authentification. Quand une transaction passe par le 3D Secure (3DS) et que l’émetteur authentifie le porteur, c’est l’émetteur qui supporte la responsabilité si cette transaction est ensuite contestée pour fraude. Quand une transaction ne passe pas par l’authentification et fait l’objet d’un litige pour fraude, c’est vous qui la supportez. Le transfert couvre les codes de motif de fraude, ceux où le porteur affirme n’avoir jamais autorisé le paiement, y compris une bonne partie de ce que les marchands appellent la fraude amicale (friendly fraud). Il ne couvre pas les litiges commerciaux, ceux où le porteur affirme que le produit n’est jamais arrivé ou n’était pas conforme à la description. Ceux-là se défendent toujours avec des preuves, et notre guide pour réduire le ratio de chargebacks explique comment les constituer.
Les marchands à haut risque sont plus concernés que la moyenne, pour deux raisons. D’abord, les litiges pour motif de fraude pèsent plus lourd dans leurs volumes : le transfert protège donc un chiffre d’affaires bien réel. Ensuite, les acquéreurs exigent souvent des tentatives d’authentification sur les catégories de marchands à haut risque et en font une condition du compte. Renoncer à l’authentification pour éviter la friction peut mettre en danger le compte lui-même, et pas seulement la transaction. Une limite s’applique aux États-Unis : selon l’édition d’avril 2026 des règles de Visa, une transaction authentifiée n’est pas protégée contre la condition de litige de Visa pour fraude en vente à distance (carte non présente) lorsque le marchand est enregistré sous un MCC (code de catégorie de marchand) de contenus pour adultes, de jeux d’argent, de transferts d’argent et mandats, de crypto et quasi-espèces, ou de chargement de cartes à valeur stockée. Demandez à votre acquéreur quel MCC vous est attribué avant de compter sur le transfert.
La distinction compte, car une grande partie des litiges du haut risque sont des litiges commerciaux. Un abonnement à des nutraceutiques dont la résiliation ne fonctionne pas correctement génère des litiges pour produit non conforme, et aucune authentification n’en transfère la responsabilité. Le transfert protège la part de vos litiges liée à la fraude. La part commerciale repose toujours sur les preuves, les conditions générales et la politique de remboursement : c’est là que le reste de l’outillage de gestion des litiges trouve son utilité.
Les exemptions qui comptent
La DSP2 et les règles des réseaux permettent à certains paiements d’éviter le challenge, voire toute authentification, lorsque le faible niveau de risque est démontré. Les commandes par courrier et par téléphone sont en pratique traitées comme hors du champ de la SCA, même si la lecture officielle de cette exclusion est plus étroite que ce que la plupart des marchands imaginent : c’est pourquoi les paiements MOTO (vente par correspondance ou par téléphone) obéissent à des règles et présentent des risques qui leur sont propres. Voici les exemptions qu’un marchand à haut risque utilise réellement :
- Paiements de faible montant. Les achats de moins de 30 EUR peuvent être dispensés d’authentification, sous réserve de plafonds cumulés que l’émetteur suit par carte et selon la méthode de calcul qu’il applique.
- Analyse de risque de la transaction (TRA). L’acquéreur et l’émetteur appliquent un scoring anti-fraude en temps réel à la transaction. Si le score est faible et que les taux de fraude de l’acquéreur restent sous les seuils de référence fixés par la réglementation, le paiement passe sans challenge.
- Bénéficiaires de confiance. Le client peut inscrire votre entreprise sur une liste blanche auprès de sa propre banque. Les paiements ultérieurs vers un marchand de confiance sont dispensés de challenge.
- Paiements récurrents initiés par le marchand (MIT). À strictement parler, ils échappent à la SCA plutôt qu’ils ne bénéficient d’une exemption : l’Autorité bancaire européenne (ABE) considère que les paiements initiés par le bénéficiaire en vertu d’un mandat ne sont pas soumis à la SCA, alors que le mandat lui-même l’est lorsqu’il est mis en place en ligne. Après une première mise en place authentifiée, les échéances d’abonnement programmées ne repassent pas par l’authentification.
Les exemptions pour faible montant et pour bénéficiaire de confiance ont le poids opérationnel le plus faible, car elles dépendent d’un comportement du porteur que vous ne maîtrisez pas. L’exemption qui fait passer un vrai volume pour un marchand à haut risque est l’analyse de risque de la transaction, qui repose sur les taux de fraude de l’acquéreur et donc sur la discipline de l’ensemble de son portefeuille. Un mauvais mois de fraude chez un autre marchand du portefeuille de l’acquéreur peut restreindre l’exemption qui fonctionnait pour vous : la logique de routage doit donc tenir compte du statut de l’acquéreur, et pas seulement du vôtre.
Une exemption n’est qu’une demande. L’émetteur peut refuser n’importe quelle exemption et déclencher quand même un challenge ; dans ce cas, le transfert de responsabilité s’applique normalement. Quand l’exemption demandée est accordée, le paiement passe sans challenge et la responsabilité de la fraude reste généralement de votre côté : demandez donc les exemptions sur le trafic auquel vous faites confiance.
Comment configurer le routage 3DS2
Le routage de l’authentification est un réglage à reprendre à mesure que le trafic évolue. Procédez dans cet ordre :
- Établir une référence. Activez le 3DS2 sur toutes les transactions, acceptez le parcours sans friction là où l’émetteur le permet, et enregistrez trois indicateurs par segment : taux de challenge, taux d’autorisation et chargebacks pour motif de fraude.
- Demander des exemptions sur les segments sûrs. Les achats de faible montant et les paiements récurrents sont les candidats évidents. Demandez l’analyse de risque de la transaction là où votre acquéreur la prend en charge, puis surveillez le taux de fraude, car votre droit à l’exemption suppose de rester sous ces seuils réglementaires.
- Imposer le challenge sur les segments risqués. Nouveaux clients, premiers achats sur un compte, commandes à montant élevé, pays ou appareil incohérents, anomalies de vélocité. Ce sont les transactions où le transfert de responsabilité justifie la friction.
- Traiter les refus temporaires avec méthode. Quand un émetteur renvoie un refus temporaire (soft decline), faites une nouvelle tentative avec authentification ou par une autre voie d’exemption au lieu de perdre le client. Un refus temporaire est souvent, pour l’émetteur, une façon de demander une preuve supplémentaire.
- Faire le point chaque mois. Ventilez les taux d’autorisation et les chargebacks par statut d’authentification, puis ajustez les seuils. Un segment qui ne génère plus de fraude passe à une authentification plus légère. Un segment qui commence à générer des litiges passe en challenge.
Arbitrer entre taux d’autorisation et protection
Chaque challenge est une friction, et la friction coûte des conversions. Une part mesurable des clients soumis à un challenge abandonne le paiement, ce qui fait de l’authentification systématique une mauvaise réponse pour une activité saine. L’arbitrage joue aussi dans l’autre sens. Un chargeback pour motif de fraude coûte la vente deux fois : les fonds, les frais, et la pression sur le ratio qui met le compte en danger. Le bon réglage répartit le trafic selon le risque.
La règle pratique : un challenge là où le risque de fraude ou le montant est élevé, un parcours sans friction là où le client est connu, l’achat modeste ou la relation récurrente établie. Si votre verticale concentre les litiges pour fraude, comme les casinos en ligne et les paris sportifs ou le CBD et le chanvre, privilégiez le challenge sur les premiers dépôts et les premiers achats. Si elle concentre les litiges commerciaux, l’authentification ne réglera rien : consacrez plutôt vos efforts aux preuves de livraison et à la politique de remboursement.
La répartition doit suivre la verticale. Pour les paiements iGaming, le risque se trouve dans les premiers dépôts. Pour les paiements CBD, il se trouve dans le renouvellement facturé de l’abonnement. Placez les règles de challenge là où les litiges naissent réellement, et laissez le reste sans friction.
Ce qui se dérègle quand le routage est mal configuré
Les défaillances de routage se manifestent par des symptômes, et chacun renvoie à un réglage :
- Taux de challenge proche de zéro sur les nouveaux clients : les segments risqués ne passent pas en challenge, et la responsabilité de la fraude reste chez vous.
- Taux de challenge proche de 100 % : la passerelle soumet tout au challenge, et la conversion en paie le prix.
- Hausse des refus temporaires des émetteurs : les exemptions que vous demandez ne correspondent pas à ce que l’acquéreur prend en charge, et les émetteurs répondent donc par des demandes de nouvelle tentative.
- Chargebacks pour fraude sur des transactions authentifiées : le transfert de responsabilité n’a jamais été confirmé, ou la transaction relève d’un code de motif que le transfert ne couvre pas.
- Trafic sans friction soudainement soumis au challenge : l’acquéreur a perdu son éligibilité à l’exemption, généralement après une variation de son taux de fraude, et le routage ne s’est pas adapté.
Chaque symptôme se corrige dans les réglages, à condition d’examiner les données d’authentification chaque mois. Les marchands qui voient dans le 3DS2 une simple case de conformité à cocher obtiennent des taux d’autorisation à la hauteur de cet effort. Ceux qui s’en servent comme d’un outil de gestion du risque obtiennent la répartition qu’ils ont conçue.
Ce qu’il faut vérifier dans votre configuration 3DS2
Commencez par vos propres chiffres. Extrayez trois mois de données ventilées par statut d’authentification : taux de challenge, taux d’autorisation et chargebacks pour motif de fraude, pour les nouveaux clients, les clients fidèles et les paiements récurrents. Ajoutez la liste des exemptions que votre acquéreur actuel accepte. Ces chiffres montrent si le routage correspond à votre risque ou s’il joue contre vous.
Si le routage ne peut pas être ajusté là où vous traitez vos paiements aujourd’hui, demandez une offre écrite en décrivant les segments qui vous pénalisent. Le routage 3DS2 d’OpenGate gère les exemptions, et les règles sont paramétrées pour votre verticale à la mise en production. Un underwriter lit votre dossier et vous apporte une réponse humaine sous 1 jour ouvré : une offre, la liste des documents encore manquants ou un non honnête. La demande est gratuite.