Le principal moteur de ces évolutions réglementaires, c’est la lutte contre la fraude. 

Pour y répondre, les autorités françaises imposent désormais des règles plus strictes, avec un objectif clair : renforcer la transparence et le consentement lors de l’enregistrement d’une carte bancaire et généraliser l’authentification forte.

La fin des transactions "Direct to Authorization" (DTA)

L'un des changements majeurs est la fin des transactions dites "Direct to Authorization" (DTA).

Direct to Authorization (DTA) :

• C'est un processus par lequel une transaction de paiement par carte est envoyée directement pour autorisation à la banque émettrice de la carte, sans passer par une étape d'authentification du titulaire de la carte (comme le 3DS).

• En d'autres termes, la transaction est autorisée ou refusée uniquement sur la base des informations de la carte et du compte, sans vérification supplémentaire de l'identité du titulaire.

• Historiquement, les DTA étaient parfois utilisées pour réduire la friction et améliorer les taux de conversion, car elles simplifient le processus de paiement pour le client.

• Cependant, les DTA sont considérées comme moins sécurisées que les transactions authentifiées (par exemple, avec 3DS), car elles sont plus vulnérables à la fraude.

Auparavant, certaines transactions DTA étaient autorisées par VISA et Mastercard en Europe, bien que refusées par les règles de Cartes Bancaires (CB). Dans les faits, les banques émettrices autorisaient ces transactions DTA si elles ne présentaient pas de risques particuliers, quel que soit le schéma de paiement.

Les DTA étaient souvent utilisées par des PSP internationaux pour des clients n'ayant pas d'obligation de 3DS sur tous les territoires. Elles permettaient d'éviter l'étape du 3DS, qui peut ajouter de la friction et potentiellement impacter le taux d'acceptation (taux de succès moyen d'une transaction authentifiée : 86 % vs. 96 % en DTA).

Cependant, les transactions DTA présentaient un taux de fraude 3 à 4 fois plus élevé. Cette disparité dans l'application des règles entre les schémas internationaux et le réseau CB créait une inégalité et une désorganisation.

Désormais, les scénarios d’exception ont été fortement réduits : la grande majorité des transactions doit passer par une authentification forte,

La généralisation du 3DS

En Europe, toutes les transactions où le consommateur est présent font désormais appel au serveur 3DS, même si l'authentification forte ne s'applique pas systématiquement (mode frictionless). Avec les nouvelles règles, les exceptions sont réduites à un minimum.

Concrètement, ces nouvelles obligations signifient que :

• Toutes les transactions doivent passer par 3DS : Cela inclut les transactions qui étaient auparavant exemptées, comme les transactions MOTO (Mail Order/Telephone Order), et même les transactions de faible valeur (moins de 30 euros).

• Les transactions MIT sont encadrées : Les transactions MIT (abonnements, etc.) devront avoir une référence de chaînage qui justifie l'application du 3DS lors de la transaction initiale.

• Les transactions MOTO sont surveillées : Les transactions MOTO seront surveillées de près, et les exemptions accordées jusqu'à présent feront désormais l'objet d'une évaluation au cas par cas par l'OSMP (Observatoire de la Sécurité des Moyens de Paiement).

• Les transactions de faible valeur sont concernées : elles doivent passer par le protocole 3DSv2, qui prévoit une exemption spécifique appelée LVP (Low Value Payment). Cette exemption permet, sous conditions, de ne pas appliquer l’authentification forte, mais cela ne signifie pas qu’aucune authentification n’a lieu.

En résumé, le renforcement de ces règles visent à :

• Protéger les consommateurs contre les utilisations abusives de leur carte.

• Préserver les marchands contre les contestations injustifiées en fournissant une preuve de consentement et d'authentification forte.

• Assainir l’écosystème des paiements en ligne en réduisant la fraude, grâce à une sécurité renforcée et harmonisée.