authentification forte

L'authentification forte vise à renforcer la sécurité des paiements en ligne et l’accès à un compte par Internet en vérifiant que vous êtes bien à l’origine du paiement ou de la connexion à votre espace client à l’aide d’au moins deux des trois éléments suivants :

• une information que vous êtes seul(e) à connaître : mot de passe, code secret, question secrète, etc.
• l’utilisation d’un appareil qui n’appartient qu’à vous : téléphone portable, carte à puce, montre connectée, etc.
• une caractéristique personnelle : reconnaissance faciale, vocale, empreinte digitale.

Selon les recommandations de l’Observatoire de la sécurité des moyens de Paiement du 16 mai 2023, le paiement au moyen d’une authentification forte permet à votre banque de vérifier que vous êtes bien à l’origine du paiement. L’authentification forte ne signifie pas que vous avez autorisé l’opération et ne justifie pas à elle seule un non remboursement. Pour statuer, votre banque doit analyser un ensemble plus large de critères.

Pour valider un achat en ligne, pour vous connecter à votre compte ou pour valider un virement, votre banque vous demande une authentification forte. Il s’agit d’un mode de sécurisation des transactions, obligatoire depuis mai 2021.

Plus d'informations sur l'authentification forte

Si vous constatez qu’un virement SEPA a été fait depuis l’espace client de votre banque et que vous n’en êtes pas à l’origine, prévenez sans délai votre banque.
 
Dans tous les cas, les virements SEPA non autorisés doivent être signalées dans un délai de 13 mois après le débit.
 
Changez immédiatement le mot de passe d’accès à votre espace client.
 
Vérifiez tous les bénéficiaires de virements qui sont enregistrés ainsi que les éventuelles transactions dont les exécutions sont programmées à plus tard. Informez votre banque en cas d’ajout ou de programmation qui ne serait pas de votre initiative.
 
Votre banque doit rembourser immédiatement le montant de l’opération non autorisée et remettre votre compte dans l’état où il se serait trouvé si l’opération litigieuse n’avait pas eu lieu (remboursement des frais générés par la transaction frauduleuse). Il n’est pas nécessaire d’avoir souscrit une assurance spécifique pour bénéficier de cette disposition légale.
 
En cas de désaccord, la banque doit démontrer que vous avez été particulièrement négligent dans la conservation de vos données bancaires ou que vous avez agi frauduleusement. Ce n’est que si elle apporte cette preuve qu’elle pourra refuser de vous rembourser.
 
Par ailleurs, un dispositif d'authentification forte a été mis en place progressivement par les établissements bancaires depuis septembre 2019.
 
Si votre banque (ou votre prestataire de services de paiement) n’a pas vérifié l’opération au moyen d’une authentification forte, vous n’aurez à supporter aucune conséquence financière si une opération que vous n’avez pas autorisée a été débitée sur votre compte.
 
À noter :
Si l’authentification forte a pour objectif de renforcer la sécurité des paiements en ligne et l’accès à un compte par Internet, la CNIL a néanmoins rappelé, dans une publication du 1^er décembre 2021 sur l’authentification forte (ou multifacteur), que ce dispositif n'est pas infaillible car il reste vulnérable à certaines attaques sophistiquées telles que le hameçonnage en temps réel.

La DSP2 et le règlement délégué relatif à l’authentification forte prévoient que l’utilisateur doit procéder à une authentification forte au moins tous les 90 jours pour que l’agrégateur puisse accéder à ses données de comptes de paiement. En France, pour la clientèle de particuliers, de nombreux établissements accordent aux agrégateurs de comptes ce délai de 90 jours et n’imposent pas d’authentification plus fréquente. 

Ainsi, au-delà de 90 jours, si vous n’avez pas renouvelé votre authentification, le prestataire ne peut plus accéder à vos données de comptes.

En outre, à tout moment, vous pouvez résilier le service auprès du prestataire. Ce dernier est alors tenu par la réglementation de ne plus accéder à vos données de comptes.

Enfin, en cas de suspicion d’accès non autorisé, l’utilisateur peut demander à son établissement teneur de compte de révoquer les droits du prestataire.

La réglementation n’impose pas aux établissements de proposer plusieurs dispositifs d’authentification forte. Toutefois, les établissements de la Place française se sont engagés, dans le cadre de l’Observatoire de la sécurité des moyens de paiement (OSMP), à proposer plusieurs dispositifs, en particulier pour les publics ne disposant pas de smartphones et ne pouvant donc installer les solutions mobiles des banques françaises permettant une authentification forte. Les solutions alternatives qui pourraient être proposées sont les suivantes :

• Le maintien du code envoyé par SMS ou par serveur vocal associé à un code personnel. Dans ce cas de figure, le consommateur valide la transaction sur Internet en saisissant dans deux champs distincts :

1. le code reçu par SMS ou par serveur vocal interactif
2. un code personnel statique qui lui a été communiqué par sa banque (par exemple, le code d’accès à sa banque en ligne).
   
   La cinématique de paiement est donc globalement inchangée, moyennant l’ajout d’un champ de saisie supplémentaire sur la page de validation, ce qui constitue une solution de continuité.

• L’utilisation d’un dispositif physique mis à disposition par la banque, en particulier pour la clientèle « sédentaire » qui effectue ses achats en ligne systématiquement depuis son domicile. Dans ce cas de figure, la banque a équipé le consommateur d’un dispositif lui permettant de s’authentifier de manière sécurisée, et qui peut prendre différentes formes : générateur de codes doté d’un clavier de saisie, clef USB, lecteur de QR code, etc. Dans ce cas, la banque doit veiller à apporter à son client tout le support et l’assistance nécessaires à la bonne prise en main de ce dispositif.

La sécurité des paiements effectués en ligne (site internet ou application mobile proposée par un commerçant) a été renforcée par le déploiement de l’authentification forte, c’est-à-dire d’une authentification à double facteur.

Désormais, un paiement en ligne doit être validé, par exemple, par :

-    la saisie d’un mot de passe ou d’un facteur biométrique (empreinte digitale, reconnaissance faciale…) sur le téléphone ou tablette du porteur de la carte, sur lequel l’application bancaire a préalablement été installée ;
-    la saisie d’un mot de passe, préalablement choisi par le porteur de la carte ou défini par l’établissement financier lui-même, et d’un code à usage unique reçu par le porteur sur le numéro de téléphone qu’il a communiqué à son établissement financier. 

Certaines exemptions à l’authentification forte existent néanmoins, notamment dans le cas des achats de faible montant.

De plus, les protocoles techniques utilisés pour l’échange des données de paiement, comme par exemple le numéro de carte, permettent de garantir la confidentialité de ces données sensibles.

Cependant, pour tout achat en ligne, le porteur de la carte doit s’assurer de la fiabilité du site de e-commerce : par exemple, un site proposant des produits à des prix défiant toute concurrence peut être un site frauduleux, destiné à intercepter vos données de paiement en vue d’une fraude.
 

La règlementation européenne, dite DSP2 (deuxième directive européenne sur les services de paiement), prévoit que les paiements par carte sur Internet doivent désormais faire l’objet d’une authentification forte du payeur de façon quasi systématique.

Jusqu’à présent, les professionnels qui acceptent des paiements par carte en ligne pouvaient recourir à un paiement sécurisé en choisissant d’activer le protocole 3D-Secure : ce mode d’activation à la main du bénéficiaire n’est plus autorisé par la loi. Ils doivent désormais, sauf exemption, recourir systématiquement à une authentification forte via 3D-Secure, et ce à chaque paiement accepté sur Internet.
Les exemptions concernent quatre cas de figure : 

• bénéficiaire de confiance ;
• opérations récurrentes, d’un montant et d’une périodicité fixes ;
• opération de faible valeur unitaire (moins de 30 euros) ;
• opération à risque limité : c’est-à-dire lorsque les paramètres de la transaction correspondent aux habitudes de paiement du porteur (achat depuis son terminal habituel, adresse de livraison connue, nature de l’achat, montant, etc.).

 Le choix d’accorder ou non une exemption revient, in fine, à la banque émettrice de la carte de paiement.

Dès que vous vous apercevez de la perte, du vol ou du détournement de votre carte, vous devez en informer sans tarder votre banque et mettre la carte en opposition afin de faire procéder à son blocage.

En cas de perte ou de vol, vous supportez, avant le blocage de votre carte, les conséquences financières liées à son utilisation dans la limite d'un plafond qui ne peut dépasser 50 euros.

Cette franchise ne sera pas appliquée lorsque :

• L’opération en cause a été effectuée sans authentification forte (sans frappe de votre code confidentiel pour un paiement chez le commerçant, sans authentification forte pour un paiement en ligne) ;
• la perte ou le vol ne pouvait pas être détecté(e) avant le paiement ;
• votre préjudice financier résulte d’une faute ou d’une négligence de votre banque ou de son prestataire.

En cas de détournement de votre carte, c’est-à-dire en cas de fraude ou en cas de contrefaçon (votre carte bancaire est toujours physiquement en votre possession), votre responsabilité n'est pas engagée. Vous devez néanmoins signaler sans délai la ou les opérations non autorisées à votre agence bancaire.

Votre banque devra vous rembourser immédiatement le montant de l’opération non autorisée et remettre votre compte dans l’état où il se serait trouvé si l’opération litigieuse n’avait pas eu lieu. Il n’est pas nécessaire d’avoir souscrit une assurance spécifique pour bénéficier de cette disposition légale.

Pour refuser de vous rembourser, votre banque ou établissement de paiement doit démontrer que vous avez été particulièrement négligent dans la conservation de vos données bancaires.

En cas de désaccord, la charge de la preuve appartient à la banque.