Qu’est-ce que 3D Secure ? Guide de l’authentification 3DS à destination des commerçants

Points clés

• Découvrez comment 3DS authentifie les titulaires de carte en ligne et contribue à la conformité aux exigences SCA de la DSP2.
• Comprenez les parcours fluide et avec challenge, les exemptions et les règles de transfert de responsabilité.
• Découvrez comment activer, optimiser et dépanner 3DS en tant que commerçant.

Tout paiement par carte en ligne comporte un risque inhérent, car le client n’est pas physiquement présent devant vous pour confirmer qu’il est bien à l’origine de l’achat. Si une transaction s’avère frauduleuse, quelqu’un doit en supporter la perte et, par défaut, il s’agit du commerçant. Mais l’authentification 3D Secure modifie la répartition de cette responsabilité.

3DS est un protocole d’authentification qui vérifie l’identité du titulaire de la carte auprès de son émetteur avant l’autorisation d’une transaction sans présentation de la carte. Pour les commerçants de l’EEE et du Royaume-Uni, 3DS permet de répondre aux exigences d’authentification forte du client prévues par la DSP2. Ailleurs, il permet de transférer la responsabilité du commerçant et contribue à préserver les taux d’acceptation.

Cet article présente tout ce que vous devez savoir sur le fonctionnement de 3DS en pratique, les cas dans lesquels les exemptions à la SCA permettent d’éviter un challenge, ce que couvre réellement le transfert de responsabilité et la manière d’activer 3DS en tant que commerçant.
 

3DS est régi par EMVCo, détenu et exploité conjointement par les principaux réseaux de cartes (Visa, Mastercard, American Express, Discover, JCB et UnionPay). Chacun de ces réseaux exploite sa propre version de 3DS, tout en utilisant le même protocole EMV 3DS sous-jacent.

Concrètement, 3DS peut par exemple intervenir lorsqu’un client finalise un achat en ligne et que sa banque lui envoie un mot de passe à usage unique (OTP) pour terminer la transaction. Le client n’étant pas physiquement présent devant le commerçant, cette authentification supplémentaire ajoute une couche de sécurité afin de vérifier l’identité du titulaire de la carte.

Il est important de rappeler que 3D Secure sert à l’authentification et fonctionne conjointement avec les mécanismes de détection de la fraude et d’évaluation des risques pour offrir une sécurité maximale. Une transaction 3DS peut malgré tout être signalée comme frauduleuse ou refusée par l’émetteur, mais lorsqu’il est correctement mis en œuvre, 3DS permet de transférer la responsabilité en cas de problème.

Comment fonctionne l’authentification 3DS ?

3DS intervient après que le client a saisi ses informations de paiement, mais avant que l’émetteur n’autorise la transaction. Son fonctionnement dépend toutefois du niveau de risque. Voici comment se déroule concrètement un parcours 3DS2 :
 

• Le client finalise son achat en saisissant les données de sa carte sur la page de paiement en ligne du commerçant.
• Avant que quoi que ce soit ne soit visible côté client, le prestataire de paiement du commerçant transmet les données de la transaction à l’émetteur afin qu’il évalue le risque. Ces données peuvent inclure l’empreinte numérique de l’appareil, l’adresse de facturation, le montant de la transaction, le comportement d’achat, entre autres. L’émetteur utilise l’ensemble de ces informations pour évaluer le niveau de risque de la transaction.
• En fonction de cette évaluation, l’émetteur approuve silencieusement l’authentification et autorise la transaction (parcours fluide), ou demande au client de vérifier son identité (parcours avec challenge).
• Si un challenge est requis, le client effectue une étape d’authentification supplémentaire, par exemple une vérification biométrique via son application bancaire, une notification push ou un OTP envoyé par SMS.
• Après l’authentification, la transaction suit le processus d’autorisation de paiement habituel et est soit acceptée, soit refusée.

 
Flux 3DS sans friction vs flux avec challenge

Les transactions 3DS peuvent varier d’un client à l’autre. Certaines sont approuvées en arrière-plan, tandis que d’autres nécessitent une étape de vérification supplémentaire.

Dans un parcours fluide, l’émetteur approuve l’authentification uniquement sur la base des données de risque. Le client ne reçoit aucune demande supplémentaire et la transaction s’effectue comme si 3DS n’était pas intervenu. Il s’agit du parcours privilégié pour les transactions à faible risque.

Dans un parcours avec challenge, l’émetteur a besoin de preuves supplémentaires pour vérifier que le client est bien la personne qu’il prétend être. Le client est invité à s’authentifier et, une fois le challenge 3DS réussi, la transaction se poursuit. De manière générale, conformément aux exigences SCA de la DSP2, un challenge est requis lorsqu’une transaction ne remplit pas les conditions nécessaires pour bénéficier d’une exemption à la SCA (présentées ci-dessous).

La relation entre 3DS et la SCA

En vertu de la DSP2, un client doit prouver son identité au moyen d’au moins deux des trois facteurs suivants : quelque chose qu’il connaît, quelque chose qu’il possède et quelque chose qui le caractérise. Cette obligation est encadrée par les exigences SCA et mise en œuvre par le protocole 3DS.

Auparavant, 3DS était utilisé comme outil facultatif de prévention de la fraude. Avec l’entrée en vigueur de la DSP2, 3DS2 est devenu l’un des moyens les plus pratiques pour les commerçants de satisfaire aux exigences SCA applicables aux transactions CNP dans l’EEE et au Royaume-Uni.

Ainsi, lorsqu’un émetteur demande un challenge via 3DS, il applique les exigences SCA. Lorsqu’une transaction suit un parcours fluide, l’émetteur a déterminé soit qu’elle présente un risque suffisamment faible pour bénéficier d’une exemption à la SCA, soit qu’elle se situe entièrement hors du champ d’application de la SCA.

Contourner 3DS grâce aux exemptions à la SCA

La SCA n’est pas obligatoire pour toutes les transactions et la DSP2 prévoit des exemptions permettant aux transactions à faible risque d’être traitées sans challenge. Les commerçants et les acquéreurs peuvent signaler les transactions à faible risque lors de la demande d’autorisation, mais la décision finale revient à l’émetteur.

Les principales exemptions à la SCA permettant d’éviter 3DS sont les suivantes :

• Analyse du risque de transaction (TRA) – Le taux de fraude de l’acquéreur ou de l’émetteur est suffisamment faible pour permettre l’application d’une TRA en fonction du montant de la transaction. Le seuil dépend du taux de fraude mais, en règle générale, la TRA ne s’applique pas aux transactions supérieures à 500 €.
• Paiement de faible montant (LVP) – Les transactions inférieures à 30 € peuvent être exemptées de SCA, mais uniquement dans la limite de 5 transactions exemptées consécutives ou d’un montant cumulé de 100 €, après quoi la SCA est de nouveau requise.
• Transaction initiée par le commerçant (MIT) – Il s’agit notamment des renouvellements d’abonnement, des paiements récurrents et d’autres transactions pour lesquelles le client n’est pas présent au moment du débit. La transaction initiale doit faire l’objet d’une SCA, mais les MIT récurrentes sont souvent exemptées.
• Bénéficiaire de confiance – Le client peut ajouter des commerçants à une liste de bénéficiaires de confiance auprès de sa banque afin que les transactions futures puissent être exemptées de SCA.
• Paiements d’entreprise sécurisés – Certaines transactions B2B effectuées avec des cartes d’entreprise dédiées peuvent être exemptées.

Transfert de responsabilité en cas de fraude avec 3DS

L’une des principales raisons pour lesquelles les commerçants utilisent 3DS, même lorsque la SCA n’est pas nécessairement obligatoire, est le transfert de responsabilité. Lorsqu’une authentification 3DS réussit et que la transaction est ensuite contestée pour fraude, la responsabilité liée au chargeback passe du commerçant à l’émetteur.

Sans 3DS, les chargebacks liés à la fraude relèvent de la responsabilité du commerçant. Celui-ci doit donc supporter le coût des biens, les frais de chargeback ainsi que les éventuelles pénalités imposées par le réseau si son taux de fraude devient trop élevé. Avec 3DS, en revanche, l’émetteur authentifie le titulaire de la carte et assume donc la responsabilité des pertes éventuelles.

Cela vaut également pour les parcours fluides, dans lesquels aucun challenge n’est présenté. Tant que la transaction est authentifiée via 3DS et que l’émetteur renvoie une authentification réussie, la responsabilité est transférée du commerçant, qu’un challenge ait été visible ou non.

Il est toutefois important de rappeler que ce transfert de responsabilité ne couvre que les litiges liés à la fraude. Les chargebacks pour non-réception, produit non conforme à la description, traitement en double ou erreur d’autorisation restent sous la responsabilité du commerçant, indépendamment de 3DS.

Par ailleurs, si vous demandez une exemption et que l’émetteur renvoie un refus temporaire, mais que vous ne soumettez pas à nouveau la transaction via 3DS, la transaction initiale n’est pas considérée comme authentifiée. En tant que commerçant, vous restez donc responsable de tout litige ultérieur lié à une fraude.

3D Secure selon les scénarios commerçants

En tant que commerçant, il est important de comprendre quand et pourquoi 3DS intervient, car l’authentification ne fonctionne pas de la même manière pour tous les types de transactions. Voici quelques scénarios courants et le comportement attendu de 3DS :

• Transactions CNP ponctuelles – Il s’agit du scénario standard : le client saisit les données de sa carte et 3DS déclenche soit un parcours fluide, soit un parcours avec challenge.
• Paiements récurrents et abonnements – La première transaction est authentifiée avec 3DS et la SCA. Les renouvellements ultérieurs sont traités comme des MIT et ne nécessitent pas 3DS tant que le mandat initial reste valide.
• Paiements tokenisés – Lorsqu’un client paie avec un portefeuille numérique comme Apple Pay ou Google Pay, la SCA est effectuée au niveau de l’appareil grâce à la biométrie. 3DS n’est donc généralement pas déclenché une nouvelle fois lors du paiement.
• Transactions transfrontalières – 3DS continue de s’appliquer si l’émetteur ou l’acquéreur se trouve dans l’EEE ou au Royaume-Uni. En dehors de ce périmètre, 3DS est facultatif, mais reste déterminant pour le transfert de responsabilité en cas de fraude.

Activer 3D Secure en tant que commerçant

Les commerçants peuvent activer 3DS par l’intermédiaire de leur prestataire de services de paiement (PSP) ou de leur acquéreur. Le processus se déroule généralement comme suit :

• Vérifiez que votre PSP prend en charge EMV 3DS2. Ce point est essentiel, car de nombreux émetteurs ne prennent plus en charge 3DS1.
• Activez 3DS au niveau du compte ou du processeur. La plupart des PSP modernes, comme Planet, activent 3DS par défaut pour les transactions provenant de l’EEE et du Royaume-Uni.
• Transmettez autant de données que possible dans la demande d’authentification afin de favoriser les parcours fluides. Pensez notamment à l’empreinte numérique de l’appareil, l’adresse de facturation, l’adresse e-mail, les informations de livraison et l’historique d’achat du client. Plus l’émetteur dispose d’informations, plus il est susceptible d’approuver la transaction via un parcours fluide.
• Configurez la logique d’exemption. En tant que commerçant, vous pouvez décider de demander des exemptions TRA, LVP ou MIT et définir la manière de gérer les refus temporaires.

• Avant de déployer 3DS en production, testez le parcours dans un environnement sandbox. La plupart des PSP permettent d’effectuer quelques transactions de test avec des cartes dédiées, aussi bien en mode challenge qu’en mode fluide.

   

3DS n’est qu’un élément du dispositif de lutte contre la fraude CNP. Les outils de détection de la fraude de votre PSP, les signaux de risque des réseaux et vos propres règles de gestion des risques fonctionnent en parallèle.

Pourquoi 3DS échoue-t-il et que faire ?

3DS peut échouer à plusieurs étapes du parcours, pour différentes raisons. Parmi les plus courantes :
 

• OTP incorrect – Le client saisit un code incorrect. Il peut généralement réessayer.
• OTP non reçu – Le numéro de téléphone du client peut être obsolète ou l’envoi du SMS peut être retardé. Passer à une authentification dans l’application permet généralement de résoudre ce type d’échec 3DS.
  Expiration du délai d’authentification – Le client n’a pas effectué le challenge 3DS dans le délai imparti, entraînant l’échec de l’authentification.
• ACS de l’émetteur indisponible – Dans de rares cas, le serveur de contrôle d’accès (Access Control Server) de l’émetteur est indisponible. Le commerçant peut uniquement réessayer.
• Carte non inscrite à 3DS – Ce cas est également moins fréquent, mais peut se produire avec certains émetteurs de niche.
• Refus temporaire (SCA requise) – L’émetteur a rejeté la demande d’exemption et exige un challenge 3DS. Soumettez à nouveau la transaction avec 3DS.
• Refus définitif lors de l’autorisation – L’émetteur a refusé la transaction au stade de l’autorisation et non de l’authentification. Il s’agit d’une décision liée à la fraude ou au risque et, pour des raisons de sécurité, la transaction ne doit pas être soumise à nouveau.

Pour les échecs 3DS côté commerçant, il est recommandé d’enregistrer le code de résultat afin de déterminer si le problème concerne l’authentification ou l’autorisation, puis de réessayer lorsque cela est approprié.

Quelles sont les nouveautés d’EMV 3DS 2.3 ?

3DS 2.3 a été publié par EMVCo en octobre 2021 et son déploiement se poursuit. Il n’est pas obligatoire dans le cadre de la DSP2, mais il est fortement recommandé aux commerçants de rester à jour concernant l’évolution des technologies et des fonctionnalités d’authentification, à la fois pour des raisons de sécurité et pour améliorer l’expérience de paiement des clients.

Les principales évolutions de 3DS 2.3 sont les suivantes :
 

• Meilleure prise en charge de l’authentification découplée – Introduite avec 3DS 2.2, l’authentification découplée permet d’effectuer le challenge en dehors du parcours de paiement. Le client peut ainsi s’authentifier ultérieurement dans son application bancaire tout en permettant à la transaction d’aboutir. Cette fonctionnalité est particulièrement utile pour les identifiants de paiement enregistrés et les scénarios de paiements récurrents. 
• Secure Payment Confirmation (SPC) – Cette fonctionnalité permet au navigateur de gérer le challenge 3DS à l’aide d’identifiants FIDO et WebAuthn, réduisant ainsi les frictions grâce aux données biométriques déjà configurées sur l’appareil. 
• Meilleur partage des données – Des éléments de données supplémentaires permettent aux émetteurs d’évaluer le risque avec davantage d’informations, ce qui peut augmenter le taux de parcours fluides. 
• Parcours avec plusieurs cartes – 3DS 2.3 offre une meilleure prise en charge des paiements fractionnés et des scénarios impliquant plusieurs cartes au sein d’un même parcours de paiement. 
• Gestion améliorée des exemptions – Des mécanismes plus explicites permettent aux commerçants de demander des exemptions. 

Compte tenu du déploiement inégal de cette version, il est recommandé de vérifier que votre PSP prend en charge les protocoles 3DS 2.3 actuels plutôt que de supposer qu’ils sont disponibles partout.

L’avenir de l’authentification 3D

Secure L’authentification 3DS évolue actuellement dans deux directions.

La première consiste à réduire les frictions. La proportion de parcours fluides continue d’augmenter, à mesure que les émetteurs améliorent leur évaluation des risques grâce à davantage de données transmises par les commerçants. Les API web telles que Secure Payment Confirmation (SPC) et les parcours biométriques remplaceront progressivement les OTP, l’objectif à terme étant de rendre l’authentification invisible pour toutes les transactions à faible risque.

La seconde concerne l’élargissement du champ d’application. La Commission européenne a publié des propositions relatives à la PSD3 et au règlement sur les services de paiement (PSR) en juin 2023. Celles-ci renforceraient certaines règles relatives aux exemptions à la SCA et étendraient l’authentification à davantage de types de transactions. Ces propositions suivent toujours le processus législatif de l’UE et aucun calendrier définitif n’a été confirmé. 3DS restera le protocole utilisé, mais les règles déterminant les cas dans lesquels il est obligatoire évolueront.

Pour les commerçants, les implications les plus concrètes consistent à s’assurer que leur PSP utilise des versions récentes de 3DS, à transmettre davantage de données dans les demandes d’authentification et à réévaluer régulièrement les exemptions plutôt que de les configurer une fois pour toutes. Cette approche permet de trouver le bon équilibre entre des paiements suffisamment sécurisés pour bénéficier du transfert de responsabilité et une expérience suffisamment fluide pour que les clients légitimes ne ressentent aucune friction.

FAQs

Que signifie 3DS ? 

3DS signifie « Three Domain Secure ». Les trois domaines sont le domaine de l’émetteur, le domaine de l’acquéreur et le domaine d’interopérabilité, c’est-à-dire l’infrastructure du réseau de cartes qui relie l’émetteur et l’acquéreur. 

3DS et SCA désignent-ils la même chose ? 

3DS et SCA sont directement liés, mais ne désignent pas la même chose. La SCA correspond aux exigences réglementaires qui imposent l’authentification des clients, tandis que 3DS est le protocole utilisé pour mettre en œuvre cette authentification. 

3DS entraîne-t-il un transfert de responsabilité ? 

L’un des principaux avantages de 3DS pour les commerçants est le transfert de responsabilité en cas de fraude. Lorsqu’une transaction authentifiée par 3DS est ensuite contestée pour fraude, la responsabilité passe du commerçant à l’émetteur. C’est l’une des principales raisons pour lesquelles les commerçants utilisent 3DS, même lorsque la SCA ne l’exige pas. 

3DS s’applique-t-il à Apple Pay et Google Pay ? 

Lorsqu’un portefeuille numérique est utilisé, la SCA est effectuée à l’aide des données biométriques de l’appareil. Le token du portefeuille est alors considéré comme authentifié et, de ce fait, une nouvelle authentification 3DS n’est généralement pas nécessaire au moment du paiement. 

Toutes les cartes prennent-elles en charge 3DS ? 

La plupart des cartes destinées aux particuliers prennent en charge 3DS. Certaines cartes professionnelles ou prépayées peuvent toutefois présenter une prise en charge variable, généralement en raison de l’émetteur et non du PSP.