Sécurité bancaire en ligne et DSP2 : ce qu’il faut savoir

Depuis l’entrée en application de la deuxième directive sur les services de paiement (DSP2, ou PSD2 en anglais), la sécurité des paiements en ligne en Europe a connu une transformation majeure. Cette réglementation européenne vise à renforcer la protection des consommateurs, à favoriser l’innovation dans les services financiers et à harmoniser les règles du jeu pour l’ensemble des acteurs bancaires. Comprendre ses mécanismes est devenu essentiel pour quiconque effectue des opérations bancaires sur Internet.

Qu’est-ce que la DSP2 ?

La directive (UE) 2015/2366, plus connue sous le nom de DSP2, a été adoptée par le Parlement européen et le Conseil le 25 novembre 2015. Elle remplace la première directive sur les services de paiement (DSP1) de 2007 et est entrée en vigueur le 13 janvier 2018. Toutefois, les dispositions techniques relatives à l’authentification forte du client et à la communication sécurisée se sont appliquées à partir du 14 septembre 2019.

Cette directive poursuit plusieurs objectifs : renforcer la sécurité des paiements électroniques, ouvrir le marché bancaire à de nouveaux acteurs, améliorer la protection des consommateurs et adapter le cadre juridique aux innovations technologiques apparues depuis la première directive.

Les principaux apports de la DSP2

La DSP2 introduit plusieurs nouveautés fondamentales :

• L’authentification forte du client (SCA, Strong Customer Authentication) pour la majorité des paiements en ligne.
• L’accès des prestataires tiers aux comptes bancaires, sous certaines conditions, via une interface dédiée (API).
• L’encadrement de deux nouveaux types de services : l’initiation de paiement (PISP) et l’information sur les comptes (AISP).
• Une réduction du seuil de responsabilité du payeur en cas d’opération non autorisée (50 euros maximum dans la plupart des cas).

L’authentification forte : un pilier de la sécurité

L’authentification forte du client est sans doute la disposition la plus visible de la DSP2 pour les utilisateurs. Elle repose sur la combinaison d’au moins deux facteurs indépendants, issus de trois catégories distinctes :

• Quelque chose que l’utilisateur sait : un mot de passe, un code PIN, une question secrète.
• Quelque chose que l’utilisateur possède : un téléphone, une carte à puce, un dispositif générateur de codes.
• Quelque chose que l’utilisateur est : une empreinte digitale, une reconnaissance faciale, une signature vocale.

Cette combinaison rend considérablement plus difficile l’usurpation d’identité, puisqu’un fraudeur doit obtenir au moins deux facteurs distincts pour effectuer une opération frauduleuse.

Quand l’authentification forte est-elle obligatoire ?

L’authentification forte s’applique notamment lors de l’accès au compte de paiement en ligne, lors de l’initiation d’une opération de paiement électronique et lors de toute action exécutée à distance susceptible de présenter un risque de fraude. Certaines exemptions existent, encadrées par les normes techniques de réglementation (RTS) élaborées par l’Autorité bancaire européenne (ABE) :

• Les paiements de faible montant (en général inférieurs à 30 euros, avec un cumul plafonné).
• Les paiements récurrents au même bénéficiaire pour le même montant.
• Les bénéficiaires de confiance ajoutés à une liste blanche par le payeur.
• Les opérations considérées comme à faible risque selon une analyse en temps réel.

L’open banking : nouveaux acteurs, nouvelles responsabilités

La DSP2 a ouvert la voie à l’open banking, c’est-à-dire au partage sécurisé des données bancaires avec des tiers autorisés. Concrètement, un utilisateur peut, sous son consentement explicite, autoriser un prestataire à accéder à ses informations de compte ou à initier des paiements depuis ce compte.

Les prestataires de services d’information sur les comptes (AISP)

Les AISP (Account Information Service Providers) agrègent les informations issues de plusieurs comptes bancaires détenus auprès d’établissements différents. Ils offrent une vision consolidée des finances de l’utilisateur, utile pour la gestion budgétaire, la comptabilité ou les outils d’aide à la décision financière.

Les prestataires de services d’initiation de paiement (PISP)

Les PISP (Payment Initiation Service Providers) permettent à un utilisateur d’initier un paiement directement depuis son compte bancaire, sans passer par un schéma de carte traditionnel. Cette alternative est particulièrement utilisée dans le commerce en ligne, où elle peut réduire les frais pour les commerçants.

Le rôle des banques et la supervision

Les banques (appelées prestataires gestionnaires de compte) doivent mettre à disposition des AISP et PISP une interface de communication dédiée, généralement sous la forme d’une API. Ces tiers doivent eux-mêmes être agréés par une autorité compétente. En France, c’est l’Autorité de contrôle prudentiel et de résolution (ACPR) qui délivre ces agréments.

Protection du consommateur et responsabilité

La DSP2 renforce significativement la protection des utilisateurs. En cas d’opération de paiement non autorisée, la responsabilité du payeur est limitée à 50 euros maximum, sauf en cas de fraude ou de négligence grave de sa part. La directive précédente fixait ce plafond à 150 euros.

Par ailleurs, le payeur doit être remboursé immédiatement par sa banque en cas d’opération non autorisée, sous réserve qu’il l’ait signalée sans tarder après en avoir pris connaissance. Le délai légal de contestation est généralement de 13 mois à compter du débit.

Cas de la négligence grave

La notion de négligence grave reste appréciée au cas par cas par les tribunaux. Communiquer ses codes confidentiels par téléphone ou par e-mail à un tiers, par exemple en réponse à une tentative de phishing, peut être qualifié de négligence et engager la responsabilité du payeur au-delà de la franchise légale.

Bonnes pratiques pour les utilisateurs

Au-delà du cadre réglementaire, la vigilance individuelle reste un élément déterminant de la sécurité. Plusieurs habitudes contribuent à réduire les risques :

• Vérifier l’URL avant de saisir des identifiants bancaires : s’assurer que la connexion est sécurisée (HTTPS) et que le domaine correspond bien à celui de la banque.
• Ne jamais communiquer ses codes par téléphone, SMS ou e-mail. Aucune banque ne demande ce type d’information par ces canaux.
• Activer les notifications de transactions pour repérer rapidement toute opération suspecte.
• Mettre à jour régulièrement le système d’exploitation et les applications bancaires.
• Utiliser des mots de passe robustes et différents pour chaque service, idéalement avec un gestionnaire de mots de passe.
• Se méfier des liens reçus par messagerie, même s’ils semblent provenir d’expéditeurs connus.

Reconnaître une tentative de fraude

Les techniques de fraude évoluent constamment. Le phishing (hameçonnage), le smishing (par SMS) ou le vishing (par appel téléphonique) reposent souvent sur un sentiment d’urgence ou une fausse alerte de sécurité. Une demande inhabituelle, une orthographe approximative ou une pression à agir rapidement doivent éveiller la méfiance.

Limites et critiques de la DSP2

Si la DSP2 a indéniablement renforcé le cadre de sécurité, son application a soulevé certaines difficultés. Les taux d’abandon lors de paiements en ligne ont augmenté lors du déploiement de l’authentification forte, certains commerçants ayant constaté des frictions accrues dans le parcours d’achat. L’harmonisation technique entre les différentes banques européennes a également pris du temps, certaines API n’étant pas toujours stables ou complètes au début.

Une révision est en cours sous forme de DSP3 et d’un règlement complémentaire (PSR), proposés par la Commission européenne en juin 2023. Ces textes visent à clarifier certaines dispositions, à renforcer encore la lutte contre la fraude et à améliorer le fonctionnement de l’open banking.

Conclusion

La DSP2 a profondément modifié l’écosystème des paiements en Europe. En imposant l’authentification forte, en ouvrant l’accès aux comptes à de nouveaux prestataires et en renforçant la protection des consommateurs, elle a établi un socle de sécurité plus solide. Toutefois, aucune réglementation ne peut se substituer entièrement à la vigilance individuelle. Comprendre les mécanismes en jeu et adopter de bonnes pratiques au quotidien restent les meilleurs alliés d’une expérience bancaire en ligne sûre.