Un code à quatre chiffres surgit par SMS ou dans l’application bancaire au moment de payer en ligne, parfois pour quelques euros seulement. Cette étape supplémentaire, souvent perçue comme un simple agacement, découle d’une obligation réglementaire européenne plutôt que d’un caprice de la banque.
Une authentification forte imposée par la DSP2
La directive européenne sur les services de paiement, dite DSP2, impose une authentification forte du client pour la majorité des paiements en ligne : au moins deux éléments indépendants parmi un code connu, un appareil possédé comme le téléphone, et une donnée biométrique. C’est cette obligation que traduit, côté technique, le protocole 3-D Secure déployé par les banques et les réseaux de cartes.
Avant cette généralisation, un simple numéro de carte et un cryptogramme suffisaient souvent à valider un paiement effectué avec une carte volée ; la double validation réduit fortement ce risque en ajoutant un facteur que seul le titulaire légitime possède en principe.
Concrètement, la validation prend le plus souvent la forme d’une notification à ouvrir dans l’application bancaire, où une empreinte digitale, un visage ou un code propre à l’application remplace peu à peu le SMS, jugé plus vulnérable à l’interception ou au spoofing du numéro affiché. Les banques poussent cette bascule car un SMS peut être détourné par un appareil compromis, alors qu’une validation dans l’application reste liée au téléphone physique du titulaire légitime.
Des exemptions prévues, et un signal à surveiller
La directive prévoit plusieurs cas d’exemption à cette double validation : les très petits montants, les paiements récurrents déjà validés une première fois, ou les bénéficiaires marqués comme « de confiance » par le titulaire dans son espace bancaire personnel. Ces exceptions expliquent pourquoi certains achats passent sans code alors que d’autres, pour un montant comparable, en réclament un. Un commerçant situé hors de l’Union européenne n’est d’ailleurs pas toujours soumis à la même obligation, ce qui explique pourquoi certains achats à l’étranger passent sans validation renforcée alors qu’un achat national comparable en réclame une systématiquement.
À l’inverse, recevoir une demande de validation 3-D Secure sans avoir engagé le moindre achat doit alerter immédiatement : cela signifie qu’un tiers détient déjà le numéro de carte et tente de finaliser un paiement à distance. Refuser la validation, puis faire opposition sur la carte auprès de sa banque, reste le seul réflexe adapté à ce signal. Cette même vigilance mérite d’accompagner tout achat de matériel connecté payé en ligne, reconditionné ou neuf.
