DSP2 – Le futur de la sécurité du paiement
DSP2 – La deuxième Directive sur les Services de Paiement est un document ayant été validé par le Parlement européen en 2015, pour être appliqué concrètement le 13 janvier 2018. Faisant suite à sa première version, elle a pour objectif de moderniser les standards de sécurité du paiement afin de faire face aux nouvelles menaces apparues ces dernières années. L’ère digitale dans laquelle nous évoluons a fait apparaître une multitude de nouveaux moyens d’effectuer des transactions, notamment de manière numérique. La DSP2 veut encadrer au mieux ces nouvelles formes de paiement en proposant un cadre réglementaire rigoureux et adapté.
Source : Dalenys
Ouverture des flux financiers
Un des principes les plus révolutionnaires de la DSP2 est ce que l’on appelle l’Open Banking, dont nous parlions plus en détails dans un article précédent. Les flux financiers des particuliers et entreprises étaient historiquement traités par les banques traditionnelles. L’Open Banking permet de briser ce « monopole » en ouvrant ces flux à des acteurs différents et nouveaux.
Parmi ces acteurs, on retrouve :
- Les Prestataires d’Initiation de Paiement (PISP): des intermédiaires donnant la possibilité aux utilisateurs d’effectuer des actions financières sans dépendre des réseaux Mastercard et Visa. Un ordre de virement peut ainsi être émis via ces PSIP intermédiaires.
- Les Prestataires de Services d’Informations sur les Comptes (AISP) : les PSIC permettent à leurs utilisateurs d’avoir accès à un outil de gestion regroupant l’ensemble de leurs comptes bancaires. Ils pourront donc avoir accès à une vue globale de leurs finances, sans devoir vérifier leurs comptes individuellement. Cet outil est particulièrement utile pour les personnes ayant des comptes bancaires chez différentes banques.
- Les néo-banques : un nouvel acteur financier qui vise directement à concurrencer les banques classiques. Ces banques mobiles et digitales ne possèdent pas d’agences physiques, mais proposent une souscription entièrement en ligne et facile d’accès.
De nombreuses Fintechs sont donc apparues à la suite de l’ouverture des flux financiers, envieuses de proposer leur vision du paiement. Nous parlions d’ailleurs précédemment de la manière dont les Fintech révolutionnent les transferts d’argent à l’international.
La DSP2 a donc permis une multiplication impressionnante du nombre d’acteurs financiers et par extension des services qu’ils proposent. Le défi suivant est de s’assurer que toutes ces transactions nouvelles soient sécurisées, notamment en modernisant le cadre réglementaire y étant attaché.
La DSP2 : un rempart pour les paiements dématérialisés
Comme évoqué en introduction, le champ d’action ciblé en priorité par la DSP2 est celui des paiements digitaux et dématérialisés. Même si les espèces ont encore une place importante dans le total des transactions en Europe, force est de constater la prolifération de moyens de paiements digitaux nouveaux.
La DSP2 est le pilier des nouvelles formes de sécurisation des paiements digitaux et dématérialisés. Elle introduit un principe fondamental : l’Authentification Forte. Cette authentification renforcée remplace un autre outil de protection appelé le 3D Secure. Le 3D Secure a été introduit par la première version de la Directive sur les Services de Paiement, et a globalement bien rempli son rôle.
Il consistait à l’envoi d’un code sécurisé faisant suite à une transaction en ligne effectuée par un utilisateur. Après avoir validé son panier et rentré ses informations bancaires, le client était redirigé sur une page sécurisée de sa banque. C’est sur cette page qu’il devait ensuite indiquer le code qui lui aura être envoyé (généralement sur son téléphone mobile, parfois via mail).
Source : La Banque Postale
Le 3D Secure était donc un bon premier rempart à la fraude sur les paiements en ligne, mais il commence à se faire dépasser par les nouvelles formes de fraude. L’Authentification Forte est donc le successeur légitime du 3D Secure. Elle consiste à devoir remplir 2 des 3 facteurs ci-dessous pour valider une transaction :
- Un élément biométrique de l’utilisateur : un scan de ses empreintes digitales, une reconnaissance faciale ou vocale…
- Un support de l’utilisateur : généralement son smartphone, mais peut aussi être une carte bancaire et tout autre appareil lui appartenant.
- Une information confidentielle : un code secret connu uniquement de l’utilisateur, des questions secrètes…
La transition du 3D Secure à l’Authentification Forte est d’ailleurs favorisée par la digitalisation des services financiers. Les banques traditionnelles disposent aujourd’hui d’applications mobiles complètes, accueillant de plus en plus de technologies. Pour beaucoup d’entre elles, la possibilité de s’identifier via des éléments biométriques est déjà disponible. Le fait de devoir valider un paiement via la biométrie ne sera donc pas un problème, la technologie étant déjà intégrée dans ces applications bancaires mobiles.
Concrètement, le client va valider son panier sur un site web marchand. Au lieu d’être redirigé sur une page sécurisée comme c’était le cas pour le 3D Secure, il lui sera demandé d’ouvrir son application mobile. Un des premiers critères de l’Authentification Forte est déjà rempli : le support. Une fois sur son application mobile, une demande va apparaitre demandant à l’utilisateur de s’identifier via un élément biométrique. Deux des facteurs ayant été remplis, la transaction sera ainsi validée.
La DSP2 est donc un document complexe et dense. Nous n’avons fait que présenter les aspects les plus importants de cette directive, qui régira la sécurité des paiements digitaux dans les années à venir. Influencée par les avancées technologiques que sont la biométrie et la domination du smartphone, elle continuera de s’adapter pour faire face aux nouvelles menaces pesant sur le monde du paiement.
