Authentification forte : Focus commerçants
L’authentification forte est un principe mis en avant par la Deuxième Directive sur les Services de Paiement (DSP2), visant à renforcer la sécurité des paiements notamment dans la cadre de l’e-commerce. Elle a évolué et a arboré plusieurs formes depuis sa création comme nous l’avions abordé précédemment.
Le 3D Secure en était la pièce maîtresse, mais les nouvelles formes de paiement ont poussé les autorités dédiées à réfléchir sur des moyens encore plus sécurisés.
Source : OGAM
Perspectives d’application de l’authentification forte pour les commerçants
L’authentification forte peut prendre plusieurs formes, à condition de respecter ce qui la compose. Deux des trois critères suivants doivent être respectés pour que l’on considère une authentification comme « forte » :
- Une information confidentielle connue uniquement du porteur de carte (mot de passe, code secret…)
- L’utilisation d’un appareil personnel (carte bancaire, smartphone…)
- La vérification d’une caractéristique personnelle par la biométrie (empreinte digitale, reconnaissance faciale/vocale…)
Cette procédure vise à remplacer le 3D Secure, qui même s’il apporte une protection au paiement, ne suffit plus aujourd’hui. La biométrie se fait de plus en plus entendre dans le monde du paiement, et devient petit à petit le standard de la sécurisation des paiements, en ligne comme en magasin.
En physique, la biométrie fait son apparition à travers les nouvelles cartes bancaires biométriques qui commencent à être mises à disposition aux clients des banques les proposant. Cette carte biométrique ressemble en beaucoup de points à une carte classique, à la différence qu’elle comporte un capteur d’empreinte digitale. Ce capteur va en principe remplacer votre code secret : lors d’un achat en magasin, vous pourrez placer votre carte biométrique devant le TPE du commerçant en maintenant votre pouce sur le capteur. Cette manipulation validera le paiement et l’authentification sera considérée comme forte par la combinaison d’au moins deux des facteurs cités plus haut (appareil personnel et vérification d’une caractéristique propre).
La distribution de cartes bancaires biométriques est encore faible en France et en Europe, il faudra donc attendre des exemples concrets d’applications pour jauger l’intérêt des consommateurs vis-à-vis de ce nouveau type de carte. Mais là où l’authentification forte peut avoir un impact encore plus important est bien le monde du e-commerce, en recherche d’une véritable sécurité depuis son avènement.
Sécuriser les paiements en ligne
Le vrai défi de cette authentification est bien d’adresser les problèmes, notamment sécuritaires, liés aux paiements en ligne.
Même si de nombreux moyens de payer en ligne existent de nos jours, une grande majorité de ces paiements est réalisée via carte bancaire. Comme dit précédemment, le 3D Secure faisait office de seul rempart à la fraude lors d’achats en ligne. Même s’il a globalement bien rempli son rôle, la DSP2 exige une refonte plus sécuritaire de ce système.
C’est là qu’intervient l’authentification forte. Au moment de payer votre achat en ligne, le site commerçant vous demandera vos informations bancaires classiques (cryptogramme, numéro de carte…). Au lieu d’utiliser le 3D Secure, le client se verra envoyer par sa banque une demande d’authentification forte. Généralement, cette demande vous dirige sur votre application mobile bancaire dédiée. Le client devra s’identifier, via un code secret ou via la biométrie, et confirmera de fait son authentification.
Cette méthode va à terme devenir la norme et remplacer les anciennes mesures comme le 3D Secure. Les applications mobiles bancaires évoluent et se mettent à jour, intégrant de plus en plus de technologies. Une fois la barrière technologique passée, surtout concernant l’équipement des smartphones en capteurs biométriques, il ne fait aucun doute que la grande majorité des authentifications de paiement se feront sur votre application bancaire et via un élément biométrique.
Il faut toutefois noter que tous les paiements en ligne ne requerront pas d’authentification forte pour être validés :
- Les paiements de moins de 30€ pourront être confirmés sans authentification forte
- Certains paiements récurrents (abonnements) ne vous demanderont pas à chaque mois de vous réauthentifier
- Un paiement chez un commerçant que vous avez désigné comme « bénéficiaire de confiance » ne requerra pas d’authentification forte
Nous assistons bien à un changement de la procédure de sécurisation du paiement, sécurisation qui passera probablement par les éléments biométriques cités précédemment. Même si tous les smartphones ne sont pas dotés de la technologie de reconnaissance d’empreinte ou même faciale, la biométrie reste l’option actuelle la plus sécurisée. Voler une carte bancaire est une chose, falsifier les données biométriques des porteurs en est une autre. La biométrie se basant sur des éléments propres à chacun, les erreurs d’identification sont très rares. Des acteurs comme Idemia proposent des concepts innovants d’appareils et de terminaux biométriques, laissant entrevoir des applications multiples de la biométrie dans le cadre de l’authentification.
Rappelons que l’authentification forte est officiellement appliquée depuis le 15 mai 2021, après avoir été progressivement testée depuis le 1er octobre 2020, à l’origine pour des transactions supérieures à 2 000€. Aujourd’hui, toutes les transactions en ligne supérieures à 30 euros y sont donc soumises.
