La DSP2 a transformé la manière dont nous payons en ligne en imposant l’authentification forte sur la quasi-totalité des transactions. Depuis son entrée en vigueur complète en 2021, cette directive européenne oblige marchands, banques et prestataires de paiement à vérifier l’identité des acheteurs via au moins deux facteurs distincts. Le résultat ? Une baisse spectaculaire de la fraude, mais aussi de nouvelles contraintes pour les e-commerçants. Nous vous proposons un tour d’horizon complet pour comprendre ce qui a changé, ce qui fonctionne et ce qui reste perfectible.
Ce que la DSP2 a réellement changé pour les paiements en ligne
Avant la DSP2, un simple numéro de carte bancaire suffisait pour valider un achat sur internet. Cette époque est révolue. La directive impose désormais une authentification forte (SCA) reposant sur deux des trois éléments suivants : quelque chose que vous connaissez (un mot de passe ou un code PIN), quelque chose que vous possédez (un smartphone ou une carte physique) et quelque chose que vous êtes (empreinte digitale ou reconnaissance faciale).
Concrètement, quand vous achetez en ligne, votre banque vous demande de valider le paiement via son application mobile. Ce mécanisme s’appuie sur le protocole 3D Secure 2, bien plus fluide que l’ancien système par SMS. Pour mieux comprendre les impacts du DSP2 sur l’e-commerce, il faut regarder les chiffres : selon la Banque de France, la fraude sur les paiements par carte sur internet a chuté de 30 % entre 2019 et 2023. Un recul historique directement lié à cette réglementation.
Les exemptions qui permettent de fluidifier le parcours d’achat
L’authentification forte s’applique-t-elle à chaque transaction ? Non, et c’est là que la DSP2 fait preuve de pragmatisme. Plusieurs exemptions existent pour éviter de transformer chaque achat en parcours du combattant.
Les transactions à faible montant
Les paiements inférieurs à 30 € peuvent échapper à la SCA. La limite cumulative se situe à 100 € ou cinq transactions consécutives sans authentification. Passé ce seuil, la vérification redevient obligatoire.
L’analyse de risque en temps réel (TRA)
Les prestataires de paiement dont le taux de fraude reste sous certains seuils peuvent demander des exemptions. Un PSP affichant un taux de fraude inférieur à 0,13 % peut exempter les transactions jusqu’à 100 €. Sous 0,06 %, ce plafond monte à 250 €. Cette mécanique récompense les acteurs les plus vertueux.
Les bénéficiaires de confiance
Vous achetez régulièrement sur le même site ? Votre banque peut vous proposer de l’ajouter à une liste blanche. Les achats suivants seront alors validés sans authentification supplémentaire. Un vrai gain de temps pour les clients fidèles.
L’impact concret sur les taux de conversion des e-commerçants
Parlons du sujet qui fâche. L’authentification forte a provoqué une hausse des abandons de panier lors de son déploiement. Certaines enseignes ont constaté des baisses de conversion de 10 à 25 % dans les premiers mois. La raison ? Des parcours mal optimisés, des applications bancaires défaillantes et des consommateurs déstabilisés par ces nouvelles étapes.
La situation s’est nettement améliorée depuis. Le taux d’échec du 3D Secure 2 tourne aujourd’hui autour de 5 à 8 %, contre 15 à 20 % avec l’ancien protocole par SMS. Les marchands qui ont investi dans l’optimisation de leurs flux de paiement récoltent les fruits de leurs efforts. Comment ? En transmettant un maximum de données à l’émetteur de la carte. Plus le profil de la transaction est complet, plus la banque peut l’authentifier en mode « frictionless », c’est-à-dire sans intervention du client.
Un marchand qui envoie l’adresse de livraison, l’historique d’achat et le type d’appareil utilisé multiplie ses chances d’obtenir une authentification silencieuse. Certains acteurs du e-commerce français affichent aujourd’hui des taux de frictionless supérieurs à 70 %.
Les obligations techniques pour les marchands et les PSP
La DSP2 ne se limite pas à un pop-up de validation sur le téléphone du client. Elle impose un cadre technique précis aux différents acteurs de la chaîne de paiement.
Le protocole 3D Secure 2
Les marchands doivent intégrer le 3DS2 via leur prestataire de paiement. Ce protocole transmet plus de 100 champs de données à la banque émettrice. Adresse IP, type de navigateur, historique de commandes : chaque information aide l’algorithme de la banque à évaluer le risque.
La gestion des soft declines
Quand une banque refuse une transaction non authentifiée, elle renvoie un « soft decline ». Le marchand doit alors relancer automatiquement la transaction avec une demande de SCA. Sans ce mécanisme de rattrapage, des ventes sont perdues inutilement. Nous estimons que la gestion correcte des soft declines peut récupérer entre 3 et 7 % de chiffre d’affaires supplémentaire.
Les API et la communication sécurisée
Les prestataires tiers (TPP) accèdent aux données bancaires via des API standardisées. Les banques ont l’obligation de fournir ces interfaces. Ce volet de la DSP2, souvent oublié, a ouvert la porte à l’open banking et à une concurrence accrue sur les services de paiement.
Les limites et les zones grises qui persistent
La DSP2 n’est pas un texte parfait. Plusieurs points restent source de friction pour les professionnels du paiement.
Le manque d’harmonisation entre pays européens pose problème. Une banque française et une banque allemande n’appliquent pas toujours les mêmes critères d’exemption. Les marchands opérant sur plusieurs marchés doivent jongler avec ces différences.
Les paiements récurrents constituent une autre zone d’ombre. L’authentification forte s’applique à la première transaction d’un abonnement, mais les prélèvements suivants en sont exemptés. Que se passe-t-il si le montant change ? Les pratiques varient d’un établissement à l’autre.
Enfin, la fraude ne disparaît pas. Elle se déplace. Les tentatives de phishing et d’ingénierie sociale ont explosé depuis l’entrée en vigueur de la directive. Les fraudeurs ciblent désormais le maillon humain pour obtenir les codes d’authentification. La Banque de France rapporte une hausse de 78 % des arnaques par manipulation entre 2020 et 2023.
Ce qui arrive avec la DSP3 et le règlement PSR
La Commission européenne a déjà présenté un projet de DSP3 accompagné d’un règlement sur les services de paiement (PSR). Quelles évolutions attendre ?
Le texte prévoit un renforcement de la lutte contre la fraude par manipulation. Les banques pourraient être tenues de rembourser les victimes d’usurpation d’identité, même lorsque celles-ci ont validé la transaction. Un changement majeur qui responsabilise davantage les établissements financiers.
L’open banking devrait aussi gagner en maturité avec des API plus performantes et une meilleure interopérabilité. Le SEPA instant deviendra la norme pour les virements.
La DSP3 est attendue pour 2026 ou 2027. D’ici là, les marchands ont tout intérêt à optimiser leurs flux actuels et à former leurs équipes sur les nouvelles typologies de fraude. La sécurité des paiements reste un chantier permanent — et les acteurs les mieux préparés seront aussi les plus compétitifs.
