Blog

Un cadre réglementaire au service de la confiance

L’authentification forte a été mise en place pour renforcer la sécurité des paiements en Europe. Elle repose sur la combinaison d’au moins deux facteurs d’identification indépendants parmi trois :

→ Connaissance : un mot de passe ou code confidentiel ;

→ Possession : un téléphone, une carte ou un boîtier générateur de code ;

→ Inhérence : une donnée biométrique telle qu’une empreinte digitale ou la reconnaissance faciale.

Cette double vérification garantit que l’opération est bien initiée par le titulaire du compte, limitant ainsi les risques d’usurpation ou de fraude. Pour les établissements de paiement, cela s’est traduit par la mise en place de nouvelles solutions techniques afin de rendre les paiements à la fois sûrs, conformes et simples pour les utilisateurs.

Quand et à qui s’applique l’authentification forte ?

L’authentification forte s’impose dans trois cas de figure :

→ L’accès à l’espace client en ligne, au moins une fois tous les 180 jours ;

→ Les paiements électroniques, en ligne ou en point de vente, selon leur montant et leur fréquence ;

→ Les opérations sensibles, comme l’ajout d’un bénéficiaire ou la modification de coordonnées personnelles.

Des exemptions encadrées existent pour les transactions à faible risque ou récurrentes, afin de préserver une expérience fluide pour l’utilisateur (par exemple, les paiements inférieurs à 30 €, ou les abonnements de montant fixe).

L’obligation concerne l’ensemble des prestataires de services de paiement opérant au sein de l’Union européenne : banques, établissements de paiement, émetteurs de monnaie électronique ou agrégateurs de comptes.

En pratique, l’authentification forte implique tous les acteurs du paiement : les consommateurs qui valident leurs opérations, les commerçants qui acceptent les paiements, et les prestataires qui doivent sécuriser les transactions. Cette évolution permet de renforcer la sécurité et la cohérence des paiements en Europe.

Le regard MPS: sécurité, conformité et fiabilité

Dans le cadre de l'instruction de son dossier d'agrément d'établissement de paiement Mipise Payment Services a beaucoup travaillé sur les modèles de mise en œuvre de la sécurité apportée par l'authentification forte tout en conservant une forte possibilité d'intégration et de continuité dans les parcours clients. Ainsi, les obligations de l'authentification forte ont pu être intégrées dans les parcours des clients existant notamment PSFP. Les principes suivants ont été retenus :

→ Enrôlement à la création du compte avec création du code secret d’authentification forte ;

→ Authentification forte avec utilisation de ce code secret à la première connexion puis tous les 180 jours ;

→ Authentification forte pour certaines opérations jugées sensibles en termes de sécurité : modification des informations personnelles, cash-out etc.

Une réflexion est en cours sur la mise en place de processus alternatifs d’authentification, afin de proposer une mise en œuvre adaptée selon le parcours client.

Par ailleurs, si l’authentification forte renforce sans aucun doute la sécurité des plateformes, celle-ci pose la question de la fluidité de l’expérience client. Comme vu précédemment, des exemptions existent pour certaines opérations (petits montants, récurrence d’opérations).

DSP3 : la nouvelle directive qui prépare l’avenir des paiements

Quatre ans après l’entrée en vigueur de la DSP2, l’Union européenne s’apprête à faire évoluer le cadre réglementaire : la Directive sur les services de paiement 3 (DSP3), accompagnée d’un Règlement sur les services de paiement (PSR). Ces deux textes visent à moderniser la DSP2 pour l’adapter aux nouveaux usages numériques et renforcer la protection contre la fraude.

La Commission européenne concentre ses travaux sur plusieurs axes d’amélioration :

→ Rendre les parcours d’authentification plus simples et plus cohérents entre les différents acteurs, tout en maintenant le niveau de sécurité exigé par la DSP2 ;

→ Clarifier les exemptions à l’authentification forte (Strong Customer Authentication – SCA) afin d’assurer une application harmonisée dans toute l’Union européenne ;

→ Améliorer la supervision et la coopération entre autorités nationales, afin d’assurer un contrôle plus homogène des prestataires, y compris les établissements de paiement et de monnaie électronique.

La DSP3 et le PSR s’inscrivent dans la continuité de la DSP2 : ils visent à renforcer la confiance et la transparence dans les paiements électroniques tout en soutenant l’innovation des fintechs et des acteurs traditionnels. Ces évolutions traduisent la volonté de bâtir, à l’échelle européenne, un environnement de paiement à la fois sûr, fluide et cohérent.

Voici les dates importantes pour la Directive (UE) 2015/2366 (DSP2) (PSD2) et le dispositif d’Authentification forte du client (SCA) en France :

• • La directive PSD2 est entrée en application au niveau européen le 13 janvier 2018.

• • Le règlement délégué européen relatif à l’authentification forte et aux normes de communication (RTS pour la SCA) a été adopté le 27 novembre 2017.

• • Les exigences de la SCA devaient théoriquement s’appliquer dès le 14 septembre 2019.

• • En France, une période de migration a été accordée : la mise en œuvre complète de la SCA pour l’ensemble des transactions était attendue au 31 mars 2021.

Lien vers le site MPS: https://www.mipisepaymentservices.com/fr