SCA, 3D Secure et DSP2 : ce que la réglementation européenne change pour votre checkout
Depuis la DSP2 (Directive européenne 2015/2366), l'authentification forte du payeur — SCA, pour Strong Customer Authentication — est obligatoire pour la plupart des paiements en ligne au sein de l'Union européenne. C'est ce qui déclenche le fameux « écran de la banque » que voit votre client au moment du paiement.
Ce que la DSP2 exige réellement
Deux facteurs d'authentification parmi trois : quelque chose que vous savez (mot de passe/code PIN), quelque chose que vous possédez (téléphone, carte), quelque chose que vous êtes (biométrie). Le protocole technique le plus courant est 3D Secure version 2 (3DS2).
3DS2 côté client : frictionless vs challenge
Dans 70 à 90% des cas, le 3DS2 est frictionless : la banque valide automatiquement sur la base de dizaines de signaux (device connu, IP habituelle, historique) sans afficher d'écran. Le client ne voit rien. Dans les autres cas, un challenge s'affiche : code SMS, notification bancaire, biométrie.
Le transfert de responsabilité
C'est le point le plus important pour votre business. Une transaction authentifiée en 3DS2 déplace la responsabilité de la fraude vers la banque du porteur. Concrètement, si le client conteste plus tard « je n'ai pas fait ce paiement », la banque ne peut plus retourner le chargeback contre vous.
L'arbitrage conversion / sécurité
Historiquement, les commerçants ont peur du 3DS parce qu'un challenge fait chuter la conversion. C'était vrai en 3DS1. En 3DS2 frictionless, l'impact est marginal (1 à 3% de baisse), et le gain en réduction de chargebacks est très largement supérieur. C'est pourquoi Aventopay applique la SCA par défaut sans configuration : dans 99% des cas, c'est le bon choix.
Cas particuliers
Cartes hors UE : la SCA n'est pas obligatoire, mais souvent souhaitable. Paiements récurrents (MIT) : après le premier paiement authentifié, les suivants peuvent être effectués sans SCA. Échec 3DS : la transaction est refusée, un nouveau paiement doit être initié.