Paiement bancaire : 3 questions majeures suite au report de la DSP2

Jusqu’à présent, c’est le procédé 3D-Secure qui faisait foi sur le territoire français. Depuis le 14 septembre 2019, le DSP2 durcit l’authentification.

Si le fameux SMS de confirmation de commande continuera à faire foi jusqu’en 2022 en France, la directive sur les services de paiement de 2^e génération permet un renforcement sécuritaire des transactions bancaires. Cela par l’intermédiaire d’un framework.

« Le DSP2 a pour objectif global de réduire la fraude grâce à un framework global. Il n’y avait pas de framework dans le système précédent. Il s’agissait d’un protocole technique en 3 dimensions (3D Secure) », précise notre interlocuteur.

Comment améliorer cette authentification ? En passant tout simplement d’une authentification à un facteur (confirmation SMS) à une authentification à deux facteurs. « L’authentification forte du client est obligatoire dans la DPS2 », confie Bernard Montel.

Il existe 3 types de facteurs :

• Le facteur connaissance… « Ce que je connais ». C’est-à-dire un code secret, une réponse personnelle (date de naissance…).

• Le facteur possession… « Ce que je possède ». Autrement dit, mon smartphone, ma carte bancaire ou encore ma tablette…

• Et enfin le facteur inhérence… « Ce que je suis ». Cela se résume à une donnée biométrique (empreinte digitale ou rétinienne, reconnaissance faciale ou vocale, etc).

Il s’agit d’un « aspect multicanaux » permis par le framework. « Un deuxième canal doit valider le premier canal », ajoute le directeur technique de RSA.

Dans les faits, l’utilisateur devra ainsi valider 2 facteurs sur 3 pour permettre l’autorisation du paiement. Comme le fait déjà Apple pour son sans contact via smartphone, obligeant à présenter une empreinte digitale… En plus de son smartphone.

À noter qu’il existe cependant certaines dérogations à cette double authentification. Les paiements en ligne de moins de 30 euros échapperont par exemple à la règle.

On aurait pu croire que cette nouvelle directive ne concernerait finalement que les seuls établissements bancaires ou autres e-commerces… La DSP2 concerne en réalité l’ensemble de la société.

D’un côté, les e-commerces, les banques, les banques en ligne… Tous sont désormais dans l’obligation de se mettre en conformité avec cette directive. Faute de quoi il ne leur sera plus possible de proposer leurs services en ligne.

De l’autre côté, les utilisateurs de services de paiement en ligne… Ils devront pour leur part changer leurs habitudes.  Un exemple parlant plus qu’une théorie, à compter de 2022, le SMS de confirmation sera totalement abandonné. « Le DSP2 va nécessiter un changement de comportement », prévient Bernard Montel.

L’intéressé ne manque pourtant pas de rappeler que le SMS, qui est loin d’être totalement sécurisé « pour des raisons techniques », est de loin l’authentificateur « le plus réputé en France » à l’heure actuelle. Dans moins de trois ans, il ne sera pourtant plus utilisable…

Cela ne signifiera pas pour autant la fin de 3D Secure. Une version 2^e génération – sobrement intitulée… « 3D Secure 2 » – est ainsi en cours d’élaboration depuis de nombreux mois.

Une authentification biométrique, sur le modèle d’Apple, fera notamment son apparition. Il sera également possible, à défaut de biométrie, d’une authentification via une connexion à son application bancaire… Comme le fait notamment d’ores et déjà BNP Paribas depuis plusieurs mois avec son système de « clé digitale ».