La généralisation des paiements en ligne s’accompagne d’une attention croissante portée à la sécurité des transactions. En Europe, la directive sur les services de paiement, connue sous le nom de DSP2 (ou PSD2 en anglais), a profondément modifié la manière dont les banques protègent les opérations effectuées sur Internet. Cet article fait le point sur ce cadre réglementaire et sur ses conséquences concrètes pour les particuliers comme pour les commerçants.
Qu’est-ce que la directive PSD2 ?
La PSD2 (Payment Services Directive 2) est une directive européenne adoptée en 2015 et entrée en application le 13 janvier 2018. Elle succède à une première directive sur les services de paiement et vise plusieurs objectifs : renforcer la sécurité des paiements, favoriser l’innovation et la concurrence dans le secteur financier, et mieux protéger les consommateurs.
Cette directive concerne l’ensemble des prestataires de services de paiement de l’Union européenne : banques traditionnelles, néobanques, établissements de paiement et nouveaux acteurs spécialisés. En France, sa transposition a été assurée par voie d’ordonnance et son application est supervisée par les autorités de régulation du secteur bancaire.
Les principaux apports de la réglementation
La PSD2 introduit plusieurs nouveautés structurantes. La plus visible pour le grand public est l’authentification forte du client, qui encadre la validation des opérations sensibles. La directive ouvre également l’accès aux comptes bancaires à des tiers agréés, ce que l’on appelle l’open banking. Enfin, elle clarifie les règles de responsabilité en cas d’opération non autorisée.
L’authentification forte du client (SCA)
L’élément central de la PSD2 en matière de sécurité est l’authentification forte du client, souvent désignée par son sigle anglais SCA (Strong Customer Authentication). Les exigences techniques associées sont devenues pleinement applicables à partir du 14 septembre 2019, avec une période de mise en conformité progressive accordée dans plusieurs pays.
Le principe repose sur la combinaison d’au moins deux facteurs d’authentification indépendants, appartenant à des catégories distinctes :
- La connaissance : un élément que seul l’utilisateur connaît, comme un mot de passe ou un code confidentiel.
- La possession : un élément que seul l’utilisateur détient, comme un smartphone ou une carte bancaire.
- L’inhérence : une caractéristique propre à l’utilisateur, comme une empreinte digitale ou la reconnaissance faciale.
La combinaison de deux facteurs issus de catégories différentes vise à rendre l’usurpation beaucoup plus difficile. Si un mot de passe est compromis, un fraudeur ne peut en principe pas valider une opération sans disposer également du second facteur.
Comment cela se traduit au quotidien ?
Concrètement, l’authentification forte se manifeste lors de la connexion à l’espace bancaire en ligne et lors de la validation de certains paiements par carte sur Internet. De nombreuses banques ont remplacé l’ancien code reçu par SMS par une validation directement intégrée à leur application mobile.
L’utilisateur reçoit alors une notification, ouvre son application et confirme l’opération à l’aide d’un code personnel ou de son empreinte. Ce dispositif d’authentification mobile est généralement présenté comme plus robuste que le SMS, le code étant lié à l’appareil enregistré.
Les exemptions prévues
La réglementation prévoit des situations dans lesquelles l’authentification forte peut ne pas être systématiquement déclenchée, afin de ne pas alourdir excessivement l’expérience de paiement. C’est notamment le cas de certains paiements de faible montant, des opérations récurrentes vers un bénéficiaire déjà enregistré, ou de transactions considérées comme présentant un faible risque selon l’analyse réalisée par le prestataire. Ces exemptions restent encadrées et leur application relève de la responsabilité de chaque établissement.
L’open banking et le partage de données
La PSD2 a également ouvert la voie à l’open banking. Avec l’accord explicite du titulaire du compte, des prestataires tiers agréés peuvent accéder à certaines informations bancaires ou initier des paiements. On distingue principalement deux types de services.
Les services d’agrégation de comptes
Les prestataires de services d’information sur les comptes permettent de regrouper, au sein d’une même interface, les soldes et opérations de plusieurs comptes détenus dans différents établissements. Cela facilite la gestion budgétaire pour les utilisateurs disposant de plusieurs banques.
Les services d’initiation de paiement
Les prestataires de services d’initiation de paiement peuvent déclencher un virement depuis le compte de l’utilisateur, après son consentement, sans passer par une carte bancaire. Ce mécanisme est utilisé par certains commerçants en ligne comme alternative au paiement par carte.
Ces accès s’effectuent par l’intermédiaire d’interfaces techniques sécurisées mises à disposition par les banques. Un point important : ces prestataires doivent être agréés et enregistrés auprès d’une autorité compétente. L’utilisateur conserve la maîtrise des autorisations qu’il accorde et peut généralement les révoquer.
Responsabilité et protection en cas de fraude
La PSD2 précise le partage de responsabilité en cas d’opération de paiement non autorisée. En règle générale, lorsqu’une opération frauduleuse est signalée, la directive prévoit un remboursement du payeur par son prestataire, sous réserve des conditions et délais applicables.
La franchise éventuellement laissée à la charge du client a par ailleurs été réduite par rapport au cadre antérieur. Toutefois, cette protection peut être remise en cause si l’établissement démontre une négligence grave de la part de l’utilisateur, par exemple la communication volontaire de ses codes confidentiels à un tiers.
Il reste donc essentiel de signaler toute opération suspecte le plus rapidement possible à sa banque et, le cas échéant, de faire opposition. Les délais de signalement peuvent influer sur les conditions de traitement du dossier.
Les bonnes pratiques pour sécuriser ses paiements en ligne
Le cadre réglementaire constitue un socle de sécurité, mais la vigilance de l’utilisateur demeure déterminante. Plusieurs habitudes simples contribuent à réduire les risques.
Protéger ses identifiants
Il est recommandé d’utiliser des mots de passe distincts et complexes pour chaque service, et de ne jamais les communiquer, que ce soit par téléphone, e-mail ou message. Aucune banque ne demande à ses clients de transmettre l’intégralité de leurs codes par ces canaux.
Se méfier de l’hameçonnage
L’hameçonnage (ou phishing) reste une technique de fraude répandue. Elle consiste à imiter un message officiel pour inciter la victime à saisir ses informations sur un faux site ou à valider une opération frauduleuse. Une fraude fréquente consiste à appeler la victime en se faisant passer pour un conseiller, puis à lui demander de confirmer une notification d’authentification. Il convient de ne jamais valider une demande d’authentification que l’on n’a pas soi-même initiée.
Sécuriser ses appareils
Maintenir à jour le système d’exploitation et les applications, verrouiller son smartphone et éviter les réseaux Wi-Fi publics non protégés pour les opérations sensibles font partie des réflexes utiles. L’application bancaire doit être installée uniquement depuis les magasins d’applications officiels.
Surveiller ses comptes
Consulter régulièrement ses relevés et activer les alertes proposées par sa banque permet de repérer rapidement une opération anormale. Plus une fraude est détectée tôt, plus son traitement peut être engagé dans de bonnes conditions.
Quel bilan pour la sécurité bancaire en ligne ?
La PSD2 a fait évoluer en profondeur la sécurité des paiements en Europe. L’authentification forte est désormais largement répandue, et l’open banking a fait émerger de nouveaux services tout en encadrant strictement l’accès aux données. Les travaux européens se poursuivent par ailleurs, avec des réflexions sur une future évolution du cadre des services de paiement.
Pour le consommateur, l’essentiel est de comprendre que la sécurité repose sur une combinaison de mesures : un cadre réglementaire exigeant, des dispositifs techniques mis en place par les banques, et des comportements prudents au quotidien. En restant attentif aux tentatives de fraude et en utilisant les outils proposés par son établissement, chacun peut contribuer à protéger efficacement ses opérations en ligne.