3D Secure : comment ça marche et à quoi ça sert?

Le 3D Secure est un protocole d'authentification qui vérifie l'identité du porteur de carte avant d'autoriser un paiement en ligne. Son rôle : s'assurer que la personne qui paie est bien le titulaire de la carte, pas un fraudeur qui a récupéré le numéro. Créé par Visa (sous le nom "Verified by Visa") et adopté par Mastercard ("Mastercard SecureCode") puis par CB, il est aujourd'hui le standard technique de l'authentification forte imposée par la directive européenne DSP2.

En France, le taux de fraude sur les paiements par carte s'établit à 0,053 %, son plus bas niveau historique, pour la troisième année consécutive (Observatoire de la sécurité des moyens de paiement, Banque de France, 2024). Le 3D Secure y contribue directement.

Ce guide explique comment fonctionne le 3D Secure, ce qu'impose la réglementation (DSP2, SCA), et ce que cela change concrètement pour les e-commerçants (transfert de responsabilité, exemptions, impact sur la conversion).

Le 3D Secure, c'est quoi ?

Le 3D Secure (Three-Domain Secure) est un protocole d'authentification pour les paiements par carte en ligne. Il intervient entre le moment où le client saisit ses données de carte et le moment où la transaction est autorisée.

"Three-Domain" fait référence aux trois acteurs impliqués dans chaque transaction :

• Le domaine acquéreur : la banque du commerçant (celle qui reçoit le paiement).

• Le domaine émetteur : la banque du client (celle qui a émis la carte).

• Le domaine d'interopérabilité : le réseau de cartes (Visa, Mastercard, CB) qui assure la communication entre les deux.

Le protocole a été déployé en France en 2008 dans sa version initiale (3DS1). Depuis octobre 2022, seule la version 3DS2 (EMV 3DS) est active.

Ne pas confondre : le 3D Secure n'est pas un moyen de paiement. C'est une couche d'authentification qui se superpose au paiement par carte en ligne. Le client paie toujours par carte, mais sa banque vérifie son identité avant d'autoriser la transaction.

Comment fonctionne l'authentification 3D Secure ?

L'authentification 3D Secure fonctionne en 4 étapes : le client saisit ses données de carte, la banque émettrice évalue le risque de la transaction, elle décide d'un parcours sans friction ou avec vérification (challenge), puis la transaction est autorisée ou refusée.

Le parcours en détail.

1. Le client saisit ses données de carte sur la page de paiement du commerçant (numéro, date, cryptogramme).

2. La banque émettrice évalue le risque de la transaction en analysant plusieurs dizaines de points de données : montant, historique d'achat, terminal utilisé, géolocalisation, comportement de navigation. Cette évaluation se fait en quelques secondes.

3. Selon le niveau de risque, deux scénarios :

• Frictionless (sans friction) : le risque est jugé faible. La transaction est authentifiée automatiquement, sans intervention du client. Il ne voit rien, le paiement est validé directement.

• Challenge (défi) : le risque est jugé élevé ou une exemption ne s'applique pas. La banque demande au client de prouver son identité par un deuxième facteur : notification sur l'application bancaire, code SMS, biométrie (empreinte, reconnaissance faciale).

4. La transaction est autorisée ou refusée.

L'authentification forte (SCA, Strong Customer Authentication) imposée par la DSP2 repose sur deux des trois facteurs suivants :

• Connaissance : un mot de passe, un code PIN

• Possession : le téléphone du client, l'application bancaire

• Inhérence : empreinte digitale, reconnaissance faciale

Le 3DS2 (EMV 3DS) est la mise en œuvre technique de cette authentification forte pour les paiements par carte en ligne.

3D Secure et paiement par carte bancaire sur internet

Le 3D Secure intervient après la saisie des données de carte et avant l'autorisation du paiement. C'est l'étape qui vérifie que la personne qui paie est bien le titulaire de la carte.

Quand un client achète sur un site e-commerce, le parcours est le suivant :

• Il ajoute un produit au panier et accède au checkout

• Il saisit ses données de carte (numéro, date, cryptogramme)

• Le 3D Secure intervient ici : la banque évalue le risque et décide entre frictionless et challenge

• Si l'authentification réussit, la banque autorise le paiement

• Le commerçant reçoit la confirmation

Sans 3D Secure, l'étape 3 n'existe pas. La transaction est autorisée sur la seule base du numéro de carte, sans vérification de l'identité du porteur. C'est ce qui rendait les paiements en ligne vulnérables à la fraude par usurpation de numéro de carte, qui représente encore 72 % de la fraude carte en France (Observatoire, 2023).

3DS2, DSP2 et SCA : le cadre réglementaire

Le 3D Secure est encadré par la directive européenne DSP2, qui impose l'authentification forte (SCA) pour les paiements électroniques en Europe. Le 3DS2 (EMV 3DS) est le standard technique en vigueur. La prochaine évolution, la DSP3 et le règlement PSR, est attendue pour 2027.

3DS1 : fermé depuis octobre 2022. La première version du protocole reposait sur un code SMS à 6 chiffres. Elle générait de la friction (pop-up, redirection, SMS non reçu) et un taux d'abandon élevé. Les réseaux de cartes ont cessé de la supporter en octobre 2022.

3DS2 (EMV 3DS) : le standard actuel. La version 2, spécifiée par EMVCo, transmet beaucoup plus de données à la banque émettrice (adresse IP, type d'appareil, historique d'achat), ce qui permet une évaluation du risque plus fine et un taux de frictionless plus élevé. Moins de friction pour le client, autant de sécurité pour le commerçant. Les versions actives sont la 2.2 et la 2.3.

DSP2 (Directive sur les services de paiement 2) : entrée en application en 2019 en Europe, elle impose l'authentification forte du client (SCA) pour les paiements électroniques. Le 3DS2 est la mise en œuvre technique standard de cette obligation pour les paiements par carte.

DSP3 et PSR : la prochaine étape. Un accord politique provisoire a été conclu en novembre 2025 entre le Parlement européen et le Conseil de l'UE sur la troisième directive (DSP3) et un nouveau règlement directement applicable (PSR). Publication attendue au Journal officiel au premier semestre 2026, entrée en vigueur anticipée en 2027 après une période de transition de 21 mois. Le PSR renforcera les exigences en matière de prévention de la fraude et d'authentification.

Les avantages et limites du 3D Secure

Avantages

Le 3D Secure protège les paiements en ligne de trois manières : il réduit la fraude par carte sur internet, il est obligatoire en Europe dans le cadre de la DSP2 pour renforcer la sécurité, et il utilise des moyens d'authentification accessibles (application bancaire, biométrie, SMS) que le client a déjà sur son téléphone.

Baisse de la fraude. Les chiffres de l'Observatoire le confirment : le taux de fraude sur les paiements internet nationaux en France est de 0,08 %, contre 0,28 % dans l'Espace économique européen (EEE) et 0,82 % à l'international hors EEE (Observatoire, S1 2024). La différence entre les transactions intra-EEE (soumises au SCA) et hors EEE (non soumises) prouve directement l'efficacité de l'authentification forte.

Conformité réglementaire. Le 3DS2 est le moyen standard de se conformer à l'obligation SCA de la DSP2. Ne pas l'activer expose le commerçant à des refus de transaction par les banques émettrices.

Confiance des acheteurs. L'authentification par l'application bancaire ou la biométrie est devenue familière pour les consommateurs. Elle rassure plutôt qu'elle ne freine, à condition d'être fluide.

Limites

Friction et abandons. Un challenge mal géré (SMS non reçu, application bancaire qui ne répond pas, redirection cassée) provoque un abandon. Le taux d'abandon lié à l'authentification varie selon les implémentations.

Faux positifs. Des transactions légitimes sont refusées parce que la banque émettrice juge le risque trop élevé à tort. C'est un coût invisible pour le commerçant : la vente est perdue sans que le client comprenne pourquoi.

Échecs techniques. Timeout côté émetteur, incompatibilité navigateur, erreur de routage. Ces échecs ne sont pas de la fraude, mais ils tuent la conversion.

Le 3D Secure côté e-commerçant

Au-delà de la conformité, le 3D Secure a trois effets concrets sur votre activité.

Le transfert de responsabilité (liability shift)

C'est le mécanisme le plus important à comprendre pour un e-commerçant. Quand une transaction est authentifiée en 3DS et qu'elle s'avère frauduleuse, la responsabilité financière bascule vers la banque émettrice (la banque du client). C'est elle qui supporte le chargeback, pas vous.

Sans authentification 3DS, c'est l'inverse : le commerçant supporte le chargeback. La fraude est débitée de son compte, et il perd à la fois la marchandise et le montant de la transaction.

Le liability shift est le vrai driver de décision : activer le 3DS, ce n'est pas seulement respecter la loi, c'est transférer le risque financier de la fraude vers la banque émettrice. Pour un e-commerçant qui subit des chargebacks réguliers, ce mécanisme peut représenter des milliers d'euros économisés par mois.

Les exemptions DSP2 pour réduire la friction

La DSP2 prévoit des cas où l'authentification forte n'est pas obligatoire. Ces exemptions permettent de déclencher un parcours frictionless (sans challenge) pour les transactions à faible risque, ce qui protège la conversion.

TRA (Transaction Risk Analysis). Si le taux de fraude de l'acquéreur est inférieur à un seuil défini, les transactions sous un certain montant peuvent être exemptées. Seuils : 500 EUR si taux de fraude < 0,01 %, 250 EUR si < 0,06 %, 100 EUR si < 0,13 %.

Faible montant. Les transactions inférieures à 30 EUR peuvent être exemptées, dans la limite de 5 transactions consécutives ou 100 EUR cumulés depuis la dernière authentification forte.

Bénéficiaire de confiance. Le client peut ajouter un commerçant à sa liste blanche dans son application bancaire. Les achats suivants sont exemptés d'authentification forte.

Paiements récurrents (MIT). Après une première authentification forte, les paiements initiés par le commerçant (abonnements, prélèvements récurrents) sont exemptés.

L'enjeu pour le marchand : demander les bonnes exemptions au bon moment, via son PSP ou sa passerelle de paiement, pour maximiser le frictionless sans perdre la conformité.

Frictionless vs challenge et taux de conversion

Plus le taux de frictionless est élevé, plus la conversion est protégée. Le levier principal : la qualité et la quantité des données transmises à la banque émettrice dans la requête 3DS2.

Le protocole 3DS2 prévoit plus de 100 champs de données optionnels. Plus vous en renseignez (adresse email, adresse de livraison, historique client, type d'appareil, adresse IP), plus la banque émettrice dispose d'éléments pour évaluer le risque. Un risque faible = frictionless. Un risque indéterminé = challenge.

Concrètement : travaillez avec votre PSP pour vérifier quels champs sont transmis dans vos requêtes 3DS2. Un audit des données transmises peut suffire à améliorer significativement le taux de frictionless.

Voxpay : sécuriser aussi le paiement à distance et assisté

Le 3D Secure couvre les paiements par carte sur internet. Mais une catégorie de paiements à distance en reste exclue : les paiements par téléphone, dits MOTO (Mail Order / Telephone Order). Ces transactions ne passent pas par le protocole 3DS et ne bénéficient ni de l'authentification forte, ni du transfert de responsabilité.

C'est un angle mort de la sécurité des paiements. L'Observatoire de la sécurité des moyens de paiement a d'ailleurs lancé un plan d'action spécifique pour sécuriser les paiements par carte à distance effectués hors protocole 3-D Secure (Observatoire / Banque de France, 2024).

Voxpay s'inscrit dans cette dynamique en proposant, pour le paiement téléphonique, des solutions intégrant une authentification forte comparable à celle déployée en e-commerce. La fintech est engagée aux côtés de Cartes Bancaires CB dans l'expérimentation Moto3DS, qui vise à apporter l'authentification forte aux paiements par téléphone, dans le cadre du référentiel CB. Dès le mois d'octobre, Voxpay participera à un pilote mené dans le cadre des travaux du groupe de travail de l'OSMP, destiné à expérimenter de nouvelles pistes pour sécuriser ces transactions. Pour accompagner cette évolution, une concertation de place se tiendra également le 8 décembre prochain, avec le soutien de la Banque de France : elle réunira la Banque de France, le GIE Cartes Bancaires, des représentants bancaires, des émetteurs et des associations de marchands autour des enjeux et des solutions à mettre en œuvre.

Voxpay Assist sécurise le paiement par téléphone via la technologie DTMF : le client saisit ses coordonnées bancaires sur son clavier, les données sont masquées pour le conseiller, et la transaction est traitée dans un environnement certifié PCI-DSS 4.0.1 niveau 1. C'est la seule solution de paiement par carte par téléphone certifiée PCI-DSS sur le marché. Plus de 75 000 conseillers l'utilisent au quotidien.

Voxpay Link sécurise le paiement à distance par lien de paiement envoyé par SMS, email, WhatsApp ou QR code. Chaque transaction passe par le protocole 3DS2 avec authentification forte. Les pages de paiement sont hébergées en propre par Voxpay, en France, sans prestataire tiers.

Voxpay Selfcare sécurise le paiement à distance par Serveur Vocal Interactif. Le client appelle un numéro de téléphone et règle son achat directement à l'aide de son clavier téléphonique.