Qu'est-ce que la Strong Customer Authentication SCA
Qu'est-ce que la Strong Customer Authentication (SCA) ?
La PSD2 est en vigueur depuis le 14 septembre 2019. Il s'agit de l'abréviation de Payment Service Directive 2, la législation européenne en matière de services de paiement. La Strong Customer Authentication (SCA), ou authentification forte du client, fait partie de cette législation. La SCA s'applique à tous les paiements en ligne pour lesquels le vendeur et l'acheteur se trouvent tous deux dans l'Espace économique européen.
Mise à jour : La SCA est obligatoire à partir du 31 décembre 2020. Vous êtes client de Buckaroo ? Vous respectez alors automatiquement les directives à partir de cette date. Aucune action n'est requise de votre part.
Pourquoi la SCA est-elle introduite ?
Cette nouvelle règle vise à protéger les consommateurs européens contre la fraude en ligne, qui cause des millions d'euros de dommages. Le marché européen de l'e-commerce devrait atteindre près de 900 milliards d'euros en 2022.[1] La fraude en ligne augmentera donc elle aussi. La Banque centrale européenne estime qu'à l'heure actuelle, la fraude en ligne par carte de crédit représente 1,3 milliard de dollars par an [2]. Les fraudeurs agissant de manière de plus en plus sophistiquée, il est important que la législation suive le rythme. La Strong Customer Authentication rend les paiements plus sûrs.
Trois niveaux de SCA
La SCA exige une étape d'authentification (supplémentaire) lors des paiements en ligne par carte de crédit. Jusqu'à récemment, le numéro de la carte de crédit et le code CVC suffisaient. Désormais, des méthodes d'authentification supplémentaires doivent être appliquées, afin que le paiement soit sécurisé sur au moins 2 niveaux d'authentification.
Minimisation des risques de rétrofacturation
Les rétrofacturations sont un problème fréquent pour les boutiques en ligne et peuvent entraîner une perte de chiffre d'affaires. Les paiements en cryptomonnaie offrent davantage de tranquillité d'esprit aux boutiques en ligne, car le risque de rétrofacturation est plus faible. Les transactions en cryptomonnaie sont en effet irréversibles : vous n'avez donc pas à vous soucier des rétrofacturations et/ou de la fraude.
La Strong Customer Authentication requiert :
- Quelque chose que vous savez (mot de passe ou code PIN)
- Quelque chose que vous possédez (téléphone ou token matériel)
- Quelque chose que vous êtes (empreinte digitale ou reconnaissance faciale)
Les consommateurs peuvent remplacer le traditionnel mot de passe (quelque chose qu'ils savent) par une empreinte digitale (quelque chose qu'ils sont) via leur smartphone (quelque chose qu'ils possèdent). Cette confirmation en 2 étapes est aussi appelée « Two Factor Authentication » ou « 2FA ».
Les sociétés de cartes de crédit comme VISA et Mastercard disposent déjà de leur propre variante de la 2FA : 3D Secure 1.0. Lors d'un paiement par carte de crédit, les consommateurs sont redirigés vers un environnement où ils doivent saisir un code PIN ou un mot de passe. Cela entraîne souvent une perte de conversion inutile.
C'est pourquoi 3-D Secure 2.0 est introduit dans le cadre de la PSD2. Les consommateurs finalisent par exemple le paiement avec leur empreinte digitale ou par reconnaissance faciale sur leur téléphone. Cette nouvelle variante de 3-D Secure permet donc de passer le contrôle d'authentification plus rapidement et plus facilement. La mise en place d'une étape d'authentification supplémentaire relève de la banque émettrice, c'est-à-dire la banque qui a émis la carte de crédit. En tant que Payment Service Provider, Buckaroo veillera, dans la mesure du possible, à offrir un processus de paiement sans friction. Pour ce faire, Buckaroo vérifie notamment d'abord si 3-D Secure 2.0 est réellement nécessaire, car il existe des exceptions.
Quelles exceptions s'appliquent à la SCA ?
La SCA est obligatoire pour toutes les transactions en ligne, mais il existe des exceptions. Pour les paiements à faible risque, par exemple, le nombre de fois où un client doit être vérifié via la SCA diminue. Buckaroo adaptera son processus de checkout afin que les boutiques en ligne puissent tirer pleinement parti des exceptions, sans freiner la conversion.
Les exceptions les plus pertinentes sont :
- Paiements à faible risque
Sur la base d'une analyse de risque effectuée par le prestataire qui traite le paiement. - Paiements inférieurs à 30 euros
Plus de 5 paiements ou un montant total supérieur à 100 euros ? La SCA doit alors tout de même être appliquée. - Abonnement ou paiements récurrents du même montant à la même organisation ? Seul le premier paiement doit alors répondre aux exigences de la SCA.
- Paiements initiés par le vendeur
Pensez aux abonnements et au prélèvement automatique sur carte de crédit. Seul le premier paiement nécessite la SCA. C'est toutefois la banque du payeur qui décide si la SCA est nécessaire ou non. - Bénéficiaires de confiance que les consommateurs peuvent cocher eux-mêmes après avoir finalisé un paiement. Cette liste de « trusted beneficiaries » est gérée par la banque du consommateur ou par le payment service provider.
- Transactions interrégionales, pour lesquelles l'émetteur ou l'acquéreur se trouve hors de l'UE : elles ne relèvent pas de la réglementation PSD2. Une carte de crédit américaine peut donc constituer une exception.
Comment se déroule le flux de paiement avec la SCA ?
Lorsqu'un consommateur choisit « payer par carte de crédit », Buckaroo vérifie si la SCA doit être appliquée ou non. Cela dépend de la carte de crédit et des exceptions. C'est toutefois à la banque émettrice de décider si l'exception est acceptée. Voici le schéma du flux de paiement (avec ou sans SCA) :
Que devez-vous faire concernant la SCA en tant que boutique en ligne ou vendeur en ligne ?
Les commerçants en ligne n'ont rien à adapter eux-mêmes. Buckaroo veillera à ce que toutes les modifications nécessaires pour respecter la nouvelle directive soient apportées au processus de checkout. Dans la mesure du possible, nous appliquerons des exceptions à la Strong Customer Authentication, afin que le paiement se déroule sans accroc.
[1] https://451research.com/451-research-s-global-unified-commerce-forecast-uncovers-dramatic-shifts-in-consumer-spending-patterns
[2] https://www.ecb.europa.eu/pub/cardfraud/html/ecb.cardfraudreport201809.en.html
*N.B. Le contenu de cet article de blog est basé sur la directive PSD2 officielle.
