Authentification forte : quel bilan pour l’écosystème financier ?

Alors qu’un premier texte de la troisième directive européenne sur les services de paiement (DSP3) vient d’être dévoilé par la Commission européenne, un bilan de la seconde directive s’impose. En parallèle du volet sur l’open banking, la DSP2, entrée en vigueur le 14 septembre 2019 en France, a exigé que les paiements en ligne passent par une authentification forte (SCA). Un chantier titanesque pour les acteurs de la chaîne du paiement et les commerçants. 

Enrôler les clients sur une solution SCA

Pour authentifier fortement les paiements en ligne, les banques ont dû élaborer des solutions d’authentification à deux facteurs (2FA), se basant sur au moins deux de ces méthodes : connaissance (comme un mot de passe ou code PIN), possession (comme un smartphone ou token) et caractéristique personnelle (facteurs biométriques comme l’empreinte digitale, par exemple). La plupart des établissements bancaires ont choisi une solution alliant la possession du smartphone et, après un premier enrôlement, la connexion à l’application bancaire sécurisée (par biométrie, la plupart du temps, ou bien avec le code d’accès). 

Les établissements financiers ayant pris du retard, l’ACPR et la Banque de France leur avaient accordé un délai supplémentaire, tout en établissant des indicateurs de suivi de la mise en conformité. Objectif : 80 % des clients enrôlés d’ici décembre 2020 et la totalité d’ici fin 2021. “L’objectif a été atteint : nous avions 100 % des clients actifs sur Internet équipés en janvier 2022”, se félicite aujourd’hui Julien Lasalle, adjoint à la direction des études et de la surveillance des paiements de la Banque de France. Plus précisément, la Banque de France dénombrait “plus de 60 % d’équipement fin 2020”. Elle a ensuite observé une phase de déploiement de solutions alternatives en 2021, pour les clients ne disposant pas de smartphone récent ou pour des particuliers n’utilisant par l’application mobile – ou même n’ayant pas d’accès de banque en ligne. 

Dans ce cas de figure, le SMS OTP (one-time password), qui consiste à rediriger vers une page de la banque et à y entrer un code temporaire reçu par SMS pour s’authentifier, n’est pas assez sécurisé pour constituer l’une des méthodes d‘authentification forte au sens de la DSP2. Les banques ont donc développé le “SMS OTP renforcé”. Le SMS, permettant de vérifier la possession du téléphone, est doublé du mot de passe d’accès à l’espace bancaire en ligne ou d’un mot de passe dédié aux achats sur Internet, qui font office de second facteur. 

Aujourd’hui, “un peu plus de 70 % des particuliers utilisent l’application bancaire sécurisée pour authentifier leurs achats et plus de 25 % le SMS OTP renforcé”, décrit Julien Lasalle. Chez BNP Paribas, la proportion monte même à 85 % d’authentification via la solution mobile (clé digitale), dévoile Catherine Boidin, responsable des moyens de paiement du particulier. Au Crédit Agricole, 2,8 millions de clients (sur les 24 millions que compte le groupe) accèdent au site web responsive via mobile car ils ne veulent pas télécharger l’application, et passent donc par Securicode, la solution SMS OTP renforcée, commente de son côté Guy Poyen, directeur marketing et digital clients au Crédit Agricole d’Ile-de-France. En termes de volumes de transactions, la proportion avoisine les 80 % pour Securipass (solution avec l’application mobile) et 20 % pour Securicode.

Alternatives pour les populations moins connectées

Enfin, “3 % des particuliers utilisent un dispositif de type boîtier connecté ou lecteur de cartes. C’est marginal, mais adapté pour des populations très sédentaires ou âgées”, conclut Julien Lassalle. En guise d’alternative au SMS OTP renforcé, Worldline a aussi développé une solution d’enrôlement d’un navigateur par l’utilisateur, reconnu comme un facteur de possession et complété du mot de passe de l’espace de banque en ligne, “pour équiper les populations qui n’ont pas de smartphone avec un parcours 100 % web, explique Claire Deprez-Pipon, chef de produit authentification chez Worldline. Cette option a été déployée par deux banques en France et une autre en Angleterre. Un projet est en cours avec un autre établissement dans l’Hexagone”.

L’enrôlement est donc un succès. Au Crédit Agricole, “nous sommes passés de 2,6 millions de clients n’étant pas enrôlés à 350 000 aujourd’hui, souligne Guy Poyen. Ce sont des clients qui ont uniquement une carte, mais pas d’espace en ligne ni de numéro de téléphone portable”. Pour les populations n’ayant pas du tout accès au portail en ligne de la banque, Worldline propose d’ailleurs aux établissements un portail d’enrôlement à la solution d’authentification forte pour les populations “non digitalisées”. “C’est le cas des porteurs de cartes d’affaires ou de cartes de distributeurs”, évoque la cheffe de produit. 

Migration 3D Secure 2.0

Outre l’obligation d’authentification forte, la DSP2 a exigé une bascule de la responsabilité dans la lutte contre la fraude. Alors que, jusqu’ici, le commerçant décidait de déclencher ou non une authentification forte selon ses propres critères, il revient avec la nouvelle directive européenne à la banque émettrice de s’en charger. Le commerçant peut solliciter une exemption en fournissant des données pour la justifier (adresse de livraison, connaissance du client…). La banque peut accepter, et dans ce cas, le commerçant en porte la responsabilité, ou forcer une authentification forte.

Résultat : tous les acteurs de la chaîne ont dû migrer vers de nouvelles infrastructures 3D Secure 2.0, qui prévoient l’envoi d’informations sur la transaction par le commerçant à la banque, pour lui donner la possibilité de requérir une authentification ou en exempter la transaction (pour des montants faibles ou des niveaux de risque faibles). 

À partir d’octobre 2020, la Banque de France a demandé aux banques de rejeter les transactions non authentifiées de plus de 2 000 euros, avec un mécanisme de “soft decline” pour celles passant encore par l’ancienne infrastructure. La banque envoie un message au commerçant pour lui signifier que la transaction est rejetée, en l’invitant à refaire une tentative via 3DS avec authentification forte. Seuls les secteurs de l’hôtellerie et du voyage ont reçu des délais supplémentaires, en sortie de période Covid qui les avait beaucoup touchés. “Les commerçants ont appris à gérer ces messages et à regénérer automatiquement des transactions en 3D Secure”, raconte Julien Lasalle, de la Banque de France. Le seuil a été abaissé à 1 000 euros en janvier 2021, 500 mi-février de la même année puis 250 euros le 15 mars, et 100 euros le 15 avril. Le seuil a enfin été abaissé au premier euro le 15 mai 2021. À chaque fois, les établissements avaient un mois pour se mettre en conformité. 

Selon l’adjoint à la direction des paiements, “tout le monde a joué le jeu. Les banques n’ont pas dégradé le niveau d’acceptation et de gestion du risque et n’ont pas demandé plus d’authentification forte qu’avant”. Il faut dire que les schemes leur ont imposé des KPI sur le taux de “frictionless” et le taux de succès, glisse Claire Deprez-Pipon, de Worldline. 

La quasi-totalité des transactions passent aujourd’hui par le système 3D Secure, mais certaines transitent encore par l’ancienne infrastructure. Notamment pour les réseaux internationaux, mais aussi parce que les commerçants peuvent demander des exemptions en dehors du protocole 3D Secure, de manière plus rapide et moins coûteuse, lorsqu’ils pensent que celles-ci seront acceptées. Le “soft decline” existe donc encore dans ce cas de figure, sur des volumes plus marginaux que pendant la transition. 

3 acteurs au cœur de la transaction

Concrètement, plusieurs acteurs interviennent au moment du paiement sur la chaîne 3D Secure : d’abord, le marchand (ou plutôt sa plateforme de paiement), avec le 3DS serveur, qui initie la requête d’authentification et dialogue avec le second acteur, le “directory server” du scheme (Visa, Mastercard, CB, Amex…), au milieu. Celui-ci s’adresse ensuite, côté banque, à l’Access Control Server 3DS, ou ACS, qui réceptionne les requêtes d’authentification des marchands, analyse le risque de la transaction et décide d’une authentification forte ou d’une exemption, puis accepte ou non le paiement. Cette brique est gérée par Worldline pour la quasi-totalité des grandes banques françaises (BPCE, BNP Paribas, Crédit Mutuel Arkéa, Société Générale…). 

50 % des transactions concernées sont exemptées

La Banque de France dresse un constat satisfaisant de la migration : “en avril 2022, on est arrivé à une situation satisfaisante : toutes les transactions émises par des e-commerçants français faisaient l’objet d’une authentification forte ou d’une exemption”, commente Julien Lasalle. Toutes, à l’exception tout de même des paiements par abonnements et des paiements fractionnés, qui n’entrent pas dans le périmètre de la DSP2, et qui représentent un quart des paiements sur Internet. “Ensuite, environ 35 % des transactions sont authentifiées fortement (versus environ 33 % d’authentification par SMS OTP avant la DSP2) et 35 % exemptées”, poursuit-il. Restent environ 5 % de paiements réalisés en dehors de l’Union européenne et sans authentification forte, car le commerçant du pays de destination ne supporte pas le 3D Secure. Pour les transactions passant par 3D Secure, BNP Paribas assure en accepter la moitié en “frictionless” (exemptions) et Claire Deprez-Pipon, de Worldline, évoque quant à elle une moyenne de 40 % de “frictionless” (sans authentification forte) sur tous les ACS en Europe.

Taux d’échec de 16 % toutes méthodes confondues

Question brûlante pour les e-commerçants : quel est le taux de succès des transactions avec authentification forte ? La mise en conformité avait en effet suscité l’inquiétude du secteur – et les taux d’échec ont en effet grimpé au début de la migration. “La migration a été douloureuse, avec des taux de transformation qui ont parfois dérapé. Mais le régulateur a été compréhensif et les taux de transformation sont relativement bons aujourd’hui, hormis pour les transactions internationales ou les utilisateurs européens achetant sur des sites français’, se félicite Bertrand Pineau, délégué général du think tank sur le commerce et la distribution Mercatel. 

“Aujourd’hui, on considère que l’on est revenus à un taux d’efficacité à peu près similaire à celui d’avant la DSP2”, assure quant à elle Claire Deprez-Pipon, de Worldline. Au total, “la solution par mobile a le taux d’échec le plus bas, à peine supérieur à l’authentification par SMS OTP utilisée auparavant, de l’ordre de 12 à 13 %”, assure de son côté Julien Lasalle. Sachant que lorsque la biométrie échoue, la banque demande un code de banque en ligne, et cela peut être comptabilisé comme un échec, alors que la transaction est finalisée avec succès.” Le taux d’échec du SMS OTP renforcé, lui, était de “plus de 20 % au second semestre 2022”. Jusqu’à fin 2021, des utilisateurs ont été enrôlés d’office sur cette solution, donc “le taux d’échec a connu des pics à chaque phase d’enrôlement forcé, avec un point culminant à 32 % au début et une tendance baissière ensuite, car les utilisateurs se sont habitués à ces solutions et sont de mieux en mieux accompagnés”, poursuit-il. 

Enfin, la solution sur boîtier, concernant des porteurs moins à l’aise sur Internet et une base de transactions plus réduites, enregistre un taux d’échec de 40 % environ. “C’est beaucoup, mais cela concerne une masse très marginale de flux, et il se peut aussi qu’il y ait eu de premières tentatives échouées suivies de réussites, lorsque le client se trompe une fois”, défend le représentant de la Banque de France.

Au bout du compte, le taux d’échec s’élève donc à 16 %, soit un “un peu supérieur à celui d’avant, avec le SMS OTP, où les commerçants avaient l’habitude d’être entre 12 et 13 %. C’est dû à la complexité des solutions, mais aussi en partie au fait que l’on stoppe un peu plus de fraudes, qui tombent en échec”.

Chez BNP Paribas, par exemple, Ludovic Graff, responsable des risques monétiques, évoque “un ou deux points de réussite de plus des transactions de paiement qu’avant la DSP2, avec le SMS OTP, où l’on avoisinait les 90 à 91 % de réussite.” La raison : “les transactions frictionless sans authentification représentent plus de la moitié des transactions”. Le taux de succès est en effet de l’ordre de 88 % pour la clé digitale et 75 % pour le SMS renforcé. 

Du côté des commerçants, le PSP Lyra, par exemple, évoque 17,3 % d’échecs d’authentification en 3DS sur ses transactions, contre 20 % avant le 3DS. Mais son président souligne de nombreux couacs. “Globalement, le 3DS 2 est une souffrance, avec des serveurs d’authentification en panne régulièrement, tout comme les serveurs des schemes, assure Alain Lacour. Et en dehors de l’Europe, on peut ajouter le problème lié au 3DS Method, qui ralentit tout le processus d’authentification et d’autorisation” [la banque télécharge sur le poste client un script javascript pour récupérer des informations sur son poste de travail, Ndlr]. Chez BNP Paribas, Ludovic Graff reconnaît aussi des problèmes : “avec la DSP2, une nouvelle complexité a été introduite et des problèmes différents peuvent intervenir. C’est pour cela que nous étudions les taux de réussite sur chacun des canaux, et il y a parfois des problèmes chez les commerçants, et parfois aussi chez nous au niveau du serveur d’authentification”.

Redirection problématique sur mobile

Tous les acteurs s’accordent en tout cas sur le constat de lourds problèmes concernant les parcours de paiement sur mobile. Selon les parcours, la redirection de l’ACS, après confirmation du paiement, au commerçant, pose en effet problème et impacte le taux d’échec. “Les parcours sur les navigateurs enregistrent de très bons taux de succès proches de 90 %, encore plus avec la biométrie, se félicite Claire Deprez-Pipon, de Worldline. Mais pour les flux mobile-to-mobile, avec un achat sur une application mobile d’un marchand, les taux de succès sont moins élevés. Après avoir été basculés sur leur application bancaire pour s’authentifier, les utilisateurs ont du mal à revenir sur l’application initiale du marchand, étape nécessaire pour finaliser la transaction”. 

Julien Lasalle confirme : “au début, le m-commerce, et surtout depuis les applications des marchands, était le parent pauvre en termes de succès de l’authentification, avec des taux d’échec qui dépassaient les 40 % sur l’application quelle que soit la solution d’authentification ou la banque”. Chez Lyra, “25 % des échecs sont liés à l’impossibilité de la banque, en fin d’authentification, de revenir vers le navigateur du payeur, renchérit Alain Lacour. Et parmi ces échecs, 80 % sont des transactions sur mobile. Les acheteurs ne savent pas que l’authentification sur leur application bancaire ne vaut pas autorisation et le retour navigateur ne fonctionne pas sur de nombreux téléphones, car comme les gens ne suppriment pas les tâches passives, il n’est plus en capacité de le faire”.

Communication et travaux techniques

Pour améliorer les taux de succès, “les acteurs de la chaîne ont réalisé un travail pour améliorer les parcours et les messages afin que cela soit plus explicite et que l’utilisateur comprenne ce qu’il doit faire”, assure Julien Lasalle. Chez Worldline, Claire Deprez-Pipon confirme qu’un “travail d’éducation a été nécessaire pour que les utilisateurs comprennent ces nouvelles méthodes”. Du côté des commerçants, chez Mercatel, Bertrand Pineau salue l’évolution : “l’acculturation des consommateurs progresse. Désormais, l’authentification forte rassure même les utilisateurs”.

Outre l’amélioration de la communication auprès des clients, des solutions techniques ont été apportées avec la montée de version vers le 3D Secure version 2.2. “Cette version intègre de façon native les appels app-to-app vers les applications bancaires et le retour sur le parcours marchand.  Mais le passage d’une banque en 2.2 ne suffit pas pour que les fonctionnalités 2.2 telles que la redirection app-to-app ou encore l’exemption bénéficiaires de confiance [option qui permet de se souvenir d’un marchand pour ne plus avoir à réaliser d’authentification forte sur ce site, pas encore déployée en France car pas compatible avec la DSP2, Ndlr] soient immédiatement disponibles pour ses porteurs. Il est nécessaire que l’ensemble des acteurs de la chaîne du paiement (banque acquéreur, prestataire d’acceptation, commerçant) soit également en 3DS 2.2”, tempère Julien Lasalle. “Ce n’est parce qu’une banque est en 2.2 qu’elle a déployé les fonctionnalités 2.2”, ajoute par ailleurs la cheffe de projet de Worldline. Côté commerçant, les acteurs du paiement doivent aussi en effet se mettre à jour. Lyra, par exemple, a obtenu la certification du 3DS 2.2. “Cela a amélioré les choses, mais seulement 70 % des émetteurs au monde sont en 2.2”, note Alain Lacour. Selon lui, par ailleurs, “cela améliore le taux de frictionless, mais cela ne règle pas le problème de redirection sur mobile”.

Victoire sur la fraude

“Le taux de fraude sur les transactions exemptées est plus bas que sur celles avec authentification forte, ce qui montre que l’on identifie bien les transactions à faible niveau de risque”, note Julien Lasalle, de la Banque de France. Chez BNP Paribas, Ludovic Graff se félicite en effet de “réussir à mieux cibler les transactions les plus risquées et à les soumettre à authentification”. L’Observatoire de la sécurité sur les moyens de paiement évoque une baisse de la fraude  sur les paiements par carte sur Internet de 30 % entre 2019 et 2022 grâce à la DSP2. 

Au premier semestre 2022, sur les transactions nationales en 3D Secure avec authentification forte, le taux de fraude sur Internet était évalué à 0,108 %, “contre 0,17 % en 2018 et 2019, se félicite Julien Lasalle, et plutôt 0,35 % avant le SMS OTP, dans le début des années 2010. Il a fallu seulement deux ans pour diviser la fraude par deux alors qu’avec le SMS OTP il avait fallu environ 8 ans pour que cela produise le même effet”. Il s’attend à ce que la tendance baissière se poursuive encore. Dans le détail, le taux de fraude s’élevait au premier semestre à 0,115 % pour les paiements 3D Secure exemptés, sans authentification forte, et 0,1338 % pour les autres transactions ne passant pas par 3D Secure (abonnements, paiements fractionnés, paiements exemptés en autorisation directe), qui représentent un quart des transactions totales en valeur.

La DSP3 à l’horizon

Déjà se profilent de nouveaux changements, avec le texte de la DSP3, dont une première version a été dévoilée le 28 juin 2023 par la Commission européenne. “Cette première mouture ouvre la possibilité de réaliser une authentification avec deux facteurs du même type, de possession par exemple. Mais cela semble un retour en arrière s’il s’agit de deux facteurs de connaissance, donc il faudra voir si le texte demeure en l’état…”, conclut Ludovic Graff, de BNP Paribas.