Nouvelle réglementation en matière de paiement en ligne

Réglementation européenne oblige, à partir du 15 mai prochain, les achats en ligne, par carte bancaire bénéficieront d’une protection renforcée avec pas moins de 3 codes.

Si la sécurité devrait y trouver son compte, pas sûr que cela contribue à simplifier la vie des consommateurs.

C’est aussi un coup dur pour les banques françaises qui avaient demandé à déroger aux normes dites « DSP2 » pour Directive sur les Services de Paiement entrée en vigueur en 2018. Côté banques, le discours était que la fraude restait marginale (!) et qu’il valait mieux éviter de compliquer des process de paiement qui ne peuvent qu’aboutir à des abandons de paiement.

La sécurité certes, mais pas au prix du « business », un peu comme en matière sanitaire en quelque sorte…

Plusieurs systèmes de validation vont cohabiter

Pour ne rien simplifier, on s’oriente vers 3 systèmes de validation assez différents.

Dans le premier système, on se contente de rajouter un code supplémentaire. Après le code « CVV » (pour Cardholder Verification Value), celui inscrit en clair sur votre carte, vous serez amené à donner un autre code, celui vous permettant d’accéder à l’espace client de votre banque, ce qui générera à son tour l’envoi d’un code unique, le troisième, qui lui, sera à reporter sur le site marchand où vous souhaitez passer transaction.

A l’usage, c’est le système le plus simple car vous n’avez pas à « sortir » du site à l’origine de votre transaction.

Dans le deuxième système, adopté par une majorité de banques, il faudra pour obtenir le dernier code passer par une application maison en charge de générer le code en question. Les noms commerciaux varient mais il s’agit toujours du même principe, que ce soit Sécuripass au Crédit Agricole, Certicode Plus à la Banque Postale ou Secur’pass à la Caisse d’Epargne. Des applicatifs que les consommateurs sont priés de télécharger sur leurs portables.

Une solution assez contestable, les spécialistes de la sécurité informatique étant réservés globalement sur les applications bancaires installées sur mobile. En effet, il apparait que les (téléphones) portables bénéficient d’une fausse impression de sécurité entrainant une moindre sécurisation des systèmes d’exploitation desdits portables. Pas vraiment faux si on considère qu’a contrario, les ordinateurs bénéficient « nativement » de protection intégrée et parfois même de bon niveau.

Autre inconvénient, les portables n’étant pas vraiment « multitâches », il y a également le risque de perdre en cours de route la transaction qu’on était sur le point de finaliser. Et là, les taux d’abandon risquent d’exploser.

Troisième inconvénient, la tentation pour les banques de généraliser se système à tous ceux qui voudraient simplement accéder à leurs comptes. Un pas d’ores et déjà franchi par le Crédit Agricole.

Le troisième système de sécurisation risque de rester anecdotique dans la mesure où il suppose l’utilisation d’un lecteur spécifique qui sera « bien entendu » facturé.

C’est la voie choisie par le Crédit Mutuel avec son lecteur « Digipass » facturé 29 €. Payer pour payer, les banques n’oublient pas les vieilles recettes !

La BNP, selon nos informations, pourrait pousser à l’usage d’un système similaire.

Un système aussi peu pratique que possible qui, outre son coût, semble réservé à ceux qui ne veulent pas d’application bancaire sur leurs portables.

Une réforme à géométrie variable

Dernière source de confusion, la date d’application de ce nouveau système et ses modalités de mise en œuvre.

Les grands commerçants en ligne n’ayant manifesté qu’un enthousiasme limité à ce nouveau système, la Banque de France a autorisé un déploiement « par morceau » avec certaines exceptions.

Depuis le 15 mars, sont concernées par ce système toutes les transactions supérieures à 250 € avec généralisation au 30 juin 2021.

Encore qu’il y aura des exceptions, que ce soit pour les paiements de moins de 30 €, les paiements à un « bénéficiaire de confiance », les paiements récurrents, sur lesquels on observe pourtant un nombre significatif de fraudes, ou les commerçants ayant un faible taux de fraude. Entre autres.

Et à quand un « Que sais-je ? » sur le paiement en ligne ?