3D Secure v2 2026 : SCA, biométrie et fonctionnement

Chaque paiement en ligne par carte en France déclenche désormais un contrôle silencieux, orchestré par 3D Secure v2, la brique technique qui met en oeuvre l’authentification forte imposée par la deuxième directive européenne sur les services de paiement. Comprendre ce protocole, ses exemptions et vos recours change concrètement votre expérience d’achat et votre niveau de protection contre la fraude.

3D Secure v2, la brique technique de l’authentification forte

3D Secure est un protocole de sécurisation des paiements par carte à distance porté conjointement par les réseaux Visa, Mastercard, American Express, JCB et UnionPay. Sa version 2, standardisée par le consortium EMVCo à partir de 2016 et déployée en Europe entre 2019 et 2021, remplace définitivement la première génération dite 3DS v1. Cette bascule n’est pas une simple mise à jour cosmétique, elle répond à une obligation réglementaire précise, l’authentification forte du client, en anglais Strong Customer Authentication ou SCA, imposée par la directive européenne 2015 slash 2366 dite DSP2 transposée en droit français par l’ordonnance du 9 août 2017.

Le principe technique repose sur un dialogue entre le domaine de la banque du porteur, celui de la banque du commerçant et l’infrastructure du commerçant. La version 2 transmet des données contextuelles qui aident la banque émettrice à évaluer le risque et à décider si une authentification active est requise ou si une exemption peut s’appliquer. 3D Secure concerne les paiements par carte à distance ; les virements SEPA instantanés et l’accès aux comptes relèvent d’autres mécanismes de la DSP2.

La Banque de France publie le rapport annuel de l’Observatoire de la sécurité des moyens de paiement. Les taux varient selon le type de carte, le canal et le périmètre mesuré ; cette page n’attribue donc plus à 2025 des pourcentages qui ne figuraient pas dans la source citée.

Deux facteurs sur trois, ce que la DSP2 impose vraiment

L’authentification forte au sens de la DSP2 n’est pas un vague renforcement de sécurité. Elle est définie de manière très précise par le règlement délégué 2018 slash 389 comme la combinaison de deux facteurs indépendants parmi trois catégories, ce que vous savez, ce que vous possédez et ce que vous êtes. Ce que vous savez recouvre un code secret, un mot de passe ou la réponse à une question de sécurité. Ce que vous possédez désigne un appareil enrôlé auprès de la banque, typiquement le smartphone sur lequel l’application bancaire est installée. Ce que vous êtes désigne une caractéristique biométrique, empreinte digitale, reconnaissance faciale ou reconnaissance vocale.

L’indépendance des facteurs est technique : la compromission de l’un ne doit pas compromettre l’autre. Un simple code SMS n’est pas, à lui seul, une authentification forte complète. Les banques utilisent notamment un appareil enrôlé associé à un code ou à une biométrie, et doivent proposer une solution conforme adaptée à leurs clients.

Les exigences s’appliquent aux prestataires concernés, qu’ils proposent une banque en ligne ou un service mobile. Les exemptions prévues par les textes ne signifient pas que chaque transaction doit afficher un écran de validation.

Biométrie et application bancaire, comment ça marche en pratique

Sur le plan de l’expérience utilisateur, la mise en oeuvre la plus courante en France passe par l’application bancaire du porteur. Lorsque vous validez un achat sur un site marchand, une notification push arrive dans l’application, vous ouvre une page qui rappelle le nom du commerçant, le montant et parfois la date de livraison, puis vous demande de valider par biométrie ou par un code confidentiel. La biométrie s’appuie sur le système d’exploitation du téléphone, Face ID ou Touch ID sur iOS, empreinte ou reconnaissance faciale sur Android, ce qui garantit que la donnée biométrique elle-même ne quitte jamais le terminal.

Ce point est central pour la vie privée. La banque ne reçoit qu’un jeton signé par le système d’exploitation confirmant que l’utilisateur a bien passé un contrôle biométrique valide, jamais l’empreinte ou le gabarit facial. Cette architecture, encadrée par la CNIL et par le règlement européen sur la protection des données, met la banque à l’abri d’une éventuelle atteinte à son système d’information, puisque les gabarits biométriques ne sont ni transmis ni stockés en dehors du téléphone.

Pour les clients qui n’utilisent pas de smartphone récent ou refusent d’installer l’application bancaire, un dispositif alternatif dit boîtier lecteur de carte à usage unique existe encore chez la plupart des banques traditionnelles. Le boîtier lit la puce de la carte physique et affiche un code à usage unique à saisir dans l’ordinateur. Ce schéma coche les cases ce que vous possédez, le boîtier et la carte, et ce que vous savez, le code confidentiel de la carte. Il reste conforme à la SCA mais offre une expérience nettement moins fluide qu’une simple validation biométrique.

Les exemptions à la SCA, ces angles morts qui accélèrent le paiement

La DSP2 prévoit une série d’exemptions à l’authentification forte, listées limitativement par le règlement délégué 2018 slash 389. Elles ne suppriment pas la sécurité, elles la modulent au risque réel. La première catégorie concerne les paiements récurrents dont le montant est constant, comme les abonnements presse, streaming ou fitness. Une SCA a lieu à la première transaction, les suivantes passent en tâche de fond tant que le marchand ne change pas et que le montant reste identique.

La deuxième exemption vise les paiements de faible montant, moins de 30 euros à l’unité, dans la limite cumulée de cinq opérations consécutives ou de 100 euros de dépenses sans SCA. Au delà, une authentification forte est réimposée. La troisième exemption vise les commerçants ajoutés par le porteur à une liste blanche depuis son espace bancaire, typiquement Amazon, la SNCF ou le site marchand de son quotidien. La quatrième exemption, la plus subtile, vise les paiements dits à faible risque évalués en temps réel par un moteur de scoring interne de la banque, mécanisme dit Transaction Risk Analysis. Plus la banque garde son taux de fraude bas, plus elle est autorisée à multiplier ce type d’exemptions, jusqu’à un plafond dépendant de son taux de fraude référentiel.

Les paiements exécutés depuis un terminal de paiement électronique en boutique, en présence physique de la carte, ne relèvent pas de 3D Secure v2 mais des règles historiques du réseau SEPA et de la puce EMV, avec le code confidentiel comme facteur d’authentification. Le paiement sans contact reste plafonné à 50 euros par transaction sans SCA en France, avec obligation périodique d’un contrôle du code confidentiel après cinq transactions consécutives ou 150 euros cumulés. La page dédiée du ministère de l’Économie détaille l’articulation entre paiement mobile, sans contact et 3D Secure v2.

Fraude, contestation et remboursement, vos droits quand la SCA échoue

Le régime de responsabilité en cas de fraude à la carte est fixé par les articles L133-18 à L133-24 du Code monétaire et financier. Une opération non autorisée doit en principe être remboursée immédiatement et au plus tard à la fin du premier jour ouvrable suivant, sauf soupçon de fraude du payeur communiqué à la Banque de France. Le délai maximal de contestation est généralement de treize mois, mais il faut signaler l’opération sans attendre. Le traitement d’une réclamation ou d’une médiation ne doit pas être confondu avec ce délai légal de recrédit.

Si une opération contestée a été réalisée sans authentification forte alors qu’elle était requise, le régime légal protège fortement le payeur. Lorsque la banque invoque une fraude ou une négligence grave, elle doit en apporter les éléments ; le seul enregistrement de l’utilisation de l’instrument ne suffit pas nécessairement. La qualification d’une négligence grave, y compris après un phishing bancaire, dépend des faits et de la jurisprudence : elle ne peut pas être exclue par une formule générale.

Les virements suivent un régime et des contrôles distincts. Pour une carte, la fiche Service-Public.fr sur la fraude à la carte bancaire détaille le signalement, l’opposition et la demande de remboursement. Contactez la banque sans attendre et conservez les preuves de la contestation.

Ce qui bouge en 2026 : distinguer les textes applicables des projets

Au 23 août 2026, la révision européenne de la DSP2 a fait l’objet d’un accord politique provisoire entre le Parlement et le Conseil en novembre 2025, puis d’une approbation du compromis par la commission ECON en mai 2026. La chronologie publiée par la Commission européenne continue néanmoins de présenter la DSP3 et le PSR comme le chantier de révision de la DSP2. Cette page ne leur attribue donc pas des droits déjà applicables ni un calendrier national non publié.

La vérification du nom du bénéficiaire pour les virements en euros relève du règlement distinct sur les paiements instantanés. Pour les prestataires de la zone euro, une phase importante est entrée en application le 9 octobre 2025. Elle ne doit pas être présentée comme une nouveauté générale d’octobre 2026 ni comme une fonction de 3D Secure, qui concerne les paiements par carte à distance.

En pratique, vérifiez le nom du commerçant, le montant et le contexte avant de valider une authentification. Si une opération est contestée, appuyez-vous sur le droit français actuellement en vigueur et sur la procédure de votre banque, sans attendre une future règle DSP3/PSR.

Questions fréquentes

Qu’est-ce que 3D Secure v2 et pourquoi est-il devenu obligatoire ?

3D Secure v2 est la version courante du protocole de sécurisation des paiements par carte à distance porté par les réseaux Visa et Mastercard depuis 2019 et généralisée en France en 2021 sous la pression de la deuxième directive européenne sur les services de paiement, dite DSP2. Il rend obligatoire l’authentification forte du client, en anglais Strong Customer Authentication ou SCA, sur la quasi-totalité des paiements en ligne réalisés dans l’Espace économique européen. Cette obligation est prévue par l’article L133-44 du Code monétaire et financier et précisée par un règlement délégué européen. Elle protège à la fois le payeur, dont la fraude devient bien plus difficile à réaliser, et le commerçant, qui bénéficie du transfert de responsabilité en cas de fraude avérée sur une transaction authentifiée. Le protocole est donc un pilier réglementaire, pas une option commerciale.

Quelle différence concrète entre 3D Secure v1 et v2 ?

La version 2 transmet davantage de données contextuelles à la banque émettrice et prend mieux en charge les parcours mobiles. Cette analyse peut conduire à une authentification active ou à l’application d’une exemption prévue par les textes. Lorsqu’une validation est nécessaire, la banque choisit le mécanisme conforme proposé au client. Aucun taux générique de baisse d’abandon n’est affirmé ici sans étude et périmètre identifiables.

Comment fonctionne l’authentification biométrique dans 3D Secure v2 ?

L’authentification forte au sens de la DSP2 combine deux facteurs indépendants parmi trois catégories, ce que vous savez, ce que vous possédez et ce que vous êtes. Ce que vous savez recouvre un code secret ou une réponse à une question de sécurité. Ce que vous possédez désigne un appareil enrôlé auprès de la banque, typiquement le smartphone sur lequel l’application bancaire est installée. Ce que vous êtes désigne une caractéristique biométrique, empreinte digitale, reconnaissance faciale ou reconnaissance vocale. Deux catégories différentes doivent être vérifiées simultanément et de manière indépendante pour que l’authentification soit valide. La biométrie stockée localement sur le téléphone via Face ID d’Apple ou l’équivalent Android reste sous le contrôle du fabricant du terminal, pas de la banque, ce qui satisfait les règles européennes tout en préservant la vie privée du porteur.

Peut-on éviter la SCA lors d’un paiement en ligne ?

Oui, la SCA peut être omise dans plusieurs cas listés par le règlement délégué 2018 slash 389. Les paiements récurrents dont le montant est constant après une première SCA, les prélèvements SEPA d’entreprise à entreprise, les paiements de moins de 30 euros dans la limite de cinq transactions consécutives sans SCA ou de 100 euros cumulés, les paiements sur des commerçants ajoutés à une liste blanche par le porteur, et les paiements dits à faible risque évalués en temps réel par la banque via un moteur de scoring. Ce dernier cas fait l’objet d’un pilotage étroit par l’ACPR et par la Banque de France, qui publie chaque année un observatoire de la sécurité des moyens de paiement. En pratique, plus la banque garde son taux de fraude bas, plus elle peut appliquer d’exemptions et donc offrir une expérience utilisateur fluide à ses clients.

Que faire si un paiement 3D Secure a été détourné ou contesté ?

Une opération non autorisée doit en principe être remboursée immédiatement et au plus tard à la fin du premier jour ouvrable suivant, sauf soupçon de fraude du payeur communiqué à la Banque de France. La banque doit étayer un refus ; le seul enregistrement de l’utilisation de l’instrument ne suffit pas nécessairement à prouver l’autorisation ou une négligence grave. Signalez l’opération sans tarder et, en cas de refus, suivez la réclamation interne puis saisissez le médiateur si les conditions de recevabilité sont remplies.

Related articles

• Fraude SEPA instant 2026 : risques, délai de contestation et remboursement banque
• Phishing bancaire 2026 : vishing, smishing, SMS frauduleux, comment réagir
• Virement SEPA instantané 2026 : gratuit, conditions et limites
• Comparatif néobanques 2026 : BoursoBank, Fortuneo, Hello bank