Qu'est-ce que Authentification forte du client ?
Aussi : SCA
Exigence PSD2 selon laquelle les paiements électroniques initiés par le client dans l'EEE et au Royaume-Uni doivent être authentifiés avec deux des éléments suivants : connaissance, possession, inhérence.
L'authentification forte du client, ou SCA, est une exigence réglementaire en vertu de la deuxième directive sur les services de paiement (PSD2) de l'UE et maintenue dans le droit britannique. Elle est conçue pour rendre les paiements électroniques plus sécurisés et réduire la fraude.
La réglementation exige que pour les paiements électroniques initiés par le client au sein de l'Espace économique européen (EEE) et du Royaume-Uni, l'authentification soit effectuée en utilisant au moins deux des trois facteurs indépendants possibles.
Ces facteurs sont classés comme suit : Connaissance (quelque chose que seul l'utilisateur connaît, comme un mot de passe ou un code PIN), Possession (quelque chose que seul l'utilisateur possède, comme son téléphone portable ou un jeton matériel) et Inhérence (quelque chose que l'utilisateur est,
comme une empreinte digitale ou la reconnaissance faciale).
La principale solution technique utilisée pour répondre aux exigences SCA pour les paiements par carte est 3D Secure 2.
Les émetteurs sont responsables de l'exécution de l'authentification et refuseront les demandes d'autorisation pour les transactions qui relèvent du mandat SCA mais qui n'ont pas été correctement authentifiées. Cependant, la législation inclut plusieurs exemptions importantes pour éviter d'ajouter des frictions inutiles à tous les paiements.
Celles-ci incluent les transactions inférieures à 30 € (jusqu'à une limite cumulative), les paiements récurrents après la configuration initiale, les paiements à un bénéficiaire de confiance mis sur liste blanche par le client et certains paiements d'entreprise.
L'exemption la plus significative est peut-être celle des transactions à faible risque évaluées via l'analyse des risques de transaction (TRA), qui permet aux fournisseurs de services de paiement ayant de faibles taux de fraude de contourner la SCA sur les paiements éligibles jusqu'à 500 €.
Une nuance souvent manquée est que la TRA est un privilège accordé aux acquéreurs en fonction de leurs performances en matière de fraude, et non un droit, créant une différence concurrentielle entre les fournisseurs.
Exemple concret
Un acheteur en Allemagne achète une lampe pour 120 € sur un site de commerce électronique français. Comme il s'agit d'une transaction initiée par le client entre deux parties au sein de l'EEE, elle relève du mandat SCA.
Au moment du paiement, le commerçant déclenche 3D Secure 2. L'acheteur reçoit une notification push sur son application bancaire (facteur de possession).
Il ouvre l'application et confirme le paiement à l'aide de son empreinte digitale (facteur d'inhérence). Ayant fourni avec succès deux facteurs, la transaction est authentifiée et approuvée.
Dans un scénario différent, si le même client effectuait un achat de 25 €, le commerçant pourrait demander une exemption de faible valeur. L'émetteur déciderait alors d'honorer l'exemption ou de demander quand même un défi SCA en fonction de sa propre évaluation des risques.
Notes des réseaux
La SCA est une exigence légale imposée aux prestataires de services de paiement, et non une règle créée par les systèmes de cartes eux-mêmes. Cependant, les systèmes sont essentiels à sa mise en œuvre.
Visa et Mastercard ont tous deux intégré la conformité SCA dans leurs règles de traitement de base et fournissent le protocole 3D Secure 2 comme mécanisme principal pour que les commerçants et les émetteurs se conforment.
Ils offrent des fonctionnalités permettant aux commerçants de signaler les transactions pour des exemptions spécifiques, telles que les transactions de faible valeur ou les transactions initiées par le commerçant (MIT).
Bien que la réglementation elle-même soit uniforme, la rigueur avec laquelle les émetteurs européens individuels l'appliquent, en particulier leur volonté d'accepter les demandes d'exemption, peut varier. Cela fait de la gestion de la SCA une question d'orchestration minutieuse plutôt qu'une simple implémentation unique.
Pourquoi c'est important pour les marchands
Pour les commerçants vendant à des clients dans l'EEE et au Royaume-Uni, la non-conformité à la SCA entraîne des paiements refusés et des pertes de revenus. Le principal défi est d'équilibrer cette exigence légale avec une expérience client fluide.
Une utilisation excessive de l'authentification crée des frictions et un abandon de panier, tandis que l'absence d'authentification entraîne des refus catégoriques. L'utilisation stratégique des exemptions est donc essentielle au succès commercial.
L'orchestration des paiements de Cardflo aide les commerçants à naviguer dans cette complexité en signalant correctement les transactions pour les exemptions disponibles.
De plus, le routage intelligent de Cardflo peut diriger les transactions vers les acquéreurs qui ont obtenu une exemption TRA, augmentant la probabilité que les transactions à faible risque soient traitées sans un défi SCA perturbateur, augmentant ainsi les taux d'approbation.
Foire aux questions
Comment les commerçants demandent-ils des exemptions SCA pour réduire les frictions ?
Les commerçants peuvent demander des exemptions via leur passerelle de paiement ou leur acquéreur en signalant des transactions spécifiques dans la demande d'autorisation de paiement.
Les exemptions courantes incluent les transactions de faible valeur inférieures à trente euros et l'analyse des risques de transaction, bien que la décision finale d'honorer une exemption incombe à la banque émettrice.
Que se passe-t-il si une transaction nécessite la SCA mais que 3D Secure n'est pas utilisé ?
Si une transaction relève du champ d'application de la PSD2 et qu'aucune exemption valide n'est appliquée, la banque émettrice est susceptible de renvoyer un code de refus souple.
Le commerçant doit alors redémarrer le flux de paiement en utilisant 3D Secure pour inviter le client à effectuer l'authentification à deux facteurs nécessaire avant que le paiement ne puisse être traité avec succès.
La SCA s'applique-t-elle aux transactions avec des clients en dehors de l'Europe ?
Non, les règles SCA s'appliquent aux transactions où la banque du titulaire de carte (émetteur) et le processeur de paiement du commerçant (acquéreur) sont situés dans l'Espace économique européen (EEE) ou au Royaume-Uni. C'est ce qu'on appelle souvent une transaction à « deux jambes ».
Si un client américain achète auprès d'un commerçant britannique, la SCA ne s'applique pas. Cependant, si un client britannique achète auprès d'un commerçant américain utilisant un acquéreur européen, les règles SCA seraient toujours déclenchées.
Comment la SCA fonctionne-t-elle pour la facturation par abonnement ?
Pour les abonnements et la facturation récurrente, la SCA n'est généralement requise que pour la transaction initiale lorsque le client configure le plan de paiement (une transaction initiée par le client, ou CIT).
Tous les paiements programmés ultérieurs sont considérés comme des transactions initiées par le commerçant (MIT) et sont hors du champ d'application de la SCA, ce qui signifie qu'ils peuvent être traités sans interaction client.
Il est crucial pour le commerçant de signaler correctement les transactions initiales et ultérieures afin que l'émetteur comprenne la série de paiements et ne refuse pas incorrectement les MIT.
Qu'est-ce qu'une exemption d'analyse des risques de transaction (TRA) ?
L'analyse des risques de transaction (TRA) est une exemption SCA importante qui permet à un fournisseur de services de paiement (comme un acquéreur) de demander une exemption pour les transactions qu'il évalue comme étant à faible risque.
Pour être autorisé à le faire, les propres taux de fraude du fournisseur doivent être inférieurs à des seuils spécifiques fixés par la réglementation (par exemple, inférieurs à 13 points de base pour exempter les transactions jusqu'à 100 €).
L'émetteur a le dernier mot et peut toujours exiger une authentification, mais une exemption TRA réussie permet un flux de paiement sans friction, améliorant la conversion. Cette exemption est un différenciateur concurrentiel clé parmi les acquéreurs.
Tous les paiements B2B sont-ils exemptés de la SCA ?
Tous les paiements B2B ne sont pas automatiquement exemptés. La réglementation SCA prévoit une exemption pour les paiements effectués avec des méthodes de « paiement d'entreprise sécurisées », telles que les cartes d'entreprise où l'utilisation est limitée aux employés autorisés à payer une entreprise spécifique.
De nombreuses cartes virtuelles et cartes de loge utilisées dans l'industrie du voyage entrent dans cette catégorie. Cependant, les paiements effectués à l'aide de cartes de crédit ou de débit d'entreprise standard sont généralement soumis aux mêmes règles SCA que les paiements des consommateurs.
Que se passe-t-il si un défi SCA échoue ou si le client l'abandonne ?
Si le client ne parvient pas à relever le défi d'authentification (par exemple, il saisit un mot de passe incorrect ou ferme la fenêtre), l'authentification échoue. La transaction ne sera pas envoyée pour autorisation et le paiement est effectivement abandonné.
Cela a un impact direct sur les taux de conversion. Les commerçants peuvent atténuer cela en s'assurant que leur processus de paiement est clair et aide à guider l'utilisateur, et en utilisant des stratégies de réessai si nécessaire, mais en fin de compte,
une tentative SCA échouée signifie une vente perdue pour cette tentative de paiement spécifique.
See how Authentification forte du client plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Termes associés
Un protocole d'authentification de réseau de cartes qui transfère la responsabilité de la fraude du commerçant à l'émetteur lorsqu'un titulaire de carte est vérifié.
La directive européenne sur les services de paiement 2, qui impose la SCA, ouvre les API bancaires et redéfinit la responsabilité en matière de paiement.
Exemption PSD2 de la SCA pour les acquéreurs à faible fraude sur les transactions inférieures à 500 EUR, calibrée en fonction des taux de fraude du portefeuille mesurés trimestriellement.
Un prélèvement initié par le commerçant sur une information d'identification précédemment stockée, sans que le titulaire de carte ne soit présent.
Guides associés.
Prêt à améliorer votre système de paiement ?
Parlez-nous de votre entreprise. Nous vous mettrons en relation avec les bons partenaires acquéreurs et la bonne voie, généralement en moins d'une semaine.