Authentification forte : quel bilan pour l’écosystème financier ?

Alors qu’un premier texte de la troisième directive européenne sur les services de paiement (DSP3) vient d’être dévoilé par la Commission européenne, un bilan de la seconde directive s’impose. En parallèle du volet sur l’open banking, la DSP2, entrée en vigueur le 14 septembre 2019 en France, a exigé que les paiements en ligne passent par une authentification forte (SCA). Un chantier titanesque pour les acteurs de la chaîne du paiement et les commerçants. 

Enrôler les clients sur une solution SCA

Pour authentifier fortement les paiements en ligne, les banques ont dû élaborer des solutions d’authentification à deux facteurs (2FA), se basant sur au moins deux de ces méthodes : connaissance (comme un mot de passe ou code PIN), possession (comme un smartphone ou token) et caractéristique personnelle (facteurs biométriques comme l’empreinte digitale, par exemple). La plupart des établissements bancaires ont choisi une solution alliant la possession du smartphone et, après un premier enrôlement, la connexion à l’application bancaire sécurisée (par biométrie, la plupart du temps, ou bien avec le code d’accès). 

Les établissements financiers ayant pris du retard, l’ACPR et la Banque de France leur avaient accordé un délai supplémentaire, tout en établissant des indicateurs de suivi de la mise en conformité. Objectif : 80 % des clients enrôlés d’ici décembre 2020 et la totalité d’ici fin 2021. “L’objectif a été atteint : nous avions 100 % des clients actifs sur Internet équipés en janvier 2022”, se félicite aujourd’hui Julien Lasalle, adjoint à la direction des études et de la surveillance des paiements de la Banque de France. Plus précisément, la Banque de France dénombrait “plus de 60 % d’équipement fin 2020”. Elle a ensuite observé une phase de déploiement de solutions alternatives en 2021, pour les clients ne disposant pas de smartphone récent ou pour des particuliers n’utilisant par l’application mobile – ou même n’ayant pas d’accès de banque en ligne. 

Dans ce cas de figure, le SMS OTP (one-time password), qui consiste à rediriger vers une page de la banque et à y entrer un code temporaire reçu par SMS pour s’authentifier, n’est pas assez sécurisé pour constituer l’une des méthodes d‘authentification forte au sens de la DSP2. Les banques ont donc développé le “SMS OTP renforcé”. Le SMS, permettant de vérifier la possession du téléphone, est doublé du mot de passe d’accès à l’espace bancaire en ligne ou d’un mot de passe dédié aux achats sur Internet, qui font office de second facteur. 

Aujourd’hui, “un peu plus de 70 % des particuliers utilisent l’application bancaire sécurisée pour authentifier leurs achats et plus de 25 % le SMS OTP renforcé”, décrit Julien Lasalle. Chez BNP Paribas, la proportion monte même à 85 % d’authentification via la solution mobile (clé digitale), dévoile Catherine Boidin, responsable des moyens de paiement du particulier. Au Crédit Agricole, 2,8 millions de clients (sur les 24 millions que compte le groupe) accèdent au site web responsive via mobile car ils ne veulent pas télécharger l’application, et passent donc par Securicode, la solution SMS OTP renforcée, commente de son côté Guy Poyen, directeur marketing et digital clients au Crédit Agricole d’Ile-de-France. En termes de volumes de transactions, la proportion avoisine les 80 % pour Securipass (solution avec l’application mobile) et 20 % pour Securicode.

Alternatives pour les populations moins connectées

Enfin, “3 % des particuliers utilisent un dispositif de type boîtier connecté ou lecteur de cartes. C’est marginal, mais adapté pour des populations très sédentaires ou âgées”, conclut Julien Lassalle. En guise d’alternative au SMS OTP renforcé, Worldline a aussi développé une solution d’enrôlement d’un navigateur par l’utilisateur, reconnu comme un facteur de possession et complété du mot de passe de l’espace de banque en ligne, “pour équiper les populations qui n’ont pas de smartphone avec un parcours 100 % web, explique Claire Deprez-Pipon, chef de produit authentification chez Worldline.