La DSP2 vous connaissez ? Entrée en vigueur en janvier 2018, la Directive européenne sur les Services de Paiement 2ème version est obligatoire depuis septembre 2019 et voit arriver ses prochaines versions.
Si la DSP2 est principalement destinée aux banques, il n’empêche que des ajustements sont à prévoir côté e-commerçants. Ils participent en effet aux nouvelles mesures prévoyant une authentification plus forte de l’utilisateur pour les paiements en ligne.
Dans cet article, nous faisons le point sur cette nouvelle directive avant de vous expliquer comment mettre votre boutique en ligne en conformité.
Sommaire :
- Qu’est-ce que la DSP2 ?
- Qui est concerné par la DSP2 ?
- Comment se mettre en conformité avec la DSP2 ?
Qu’est-ce que la DSP2 ?
La DSP2 (ou SCA pour Strong Customer Authentification), remplace la DSP1 établit en 2013. Cette nouvelle directive a pour principal objectif de renforcer la sécurité des paiements en ligne afin de réduire les cas de fraude.
En matière d’authentification de l’utilisateur, nous connaissons tous le 3D Secure. Lors d’un achat en ligne, vous êtes redirigé vers le site de votre établissement bancaire pour saisir un code unique envoyé par SMS.
La DSP2 estime à présent que ce contrôle n’est plus suffisant. Dès septembre 2019, les e-commerçants auront l’obligation de permettre aux banques d’établir une authentification plus forte grâce au 3D Secure.
Parmi les trois facteurs d’authentification possibles, deux seront obligatoires :
- La connaissance : il s’agit d’une information que seul l’utilisateur connaît (un mot de passe, un code PIN, etc).
- La possession : il s’agit d’une information que seul l’utilisateur possède (un mot de passe à usage unique, un téléphone, une clé USB, etc).
- La caractéristique personnelle : il s’agit d’une information ou d’un élément qui caractérise l’utilisateur (une empreinte digitale, une reconnaissance vocale ou faciale par exemple).
Dès septembre 2019, les e-commerçants ont donc l’obligation de permettre aux banques et prestataires de paiement de mettre en place le 3D Secure. Le risque de voir chuter le taux de conversion reste toutefois élevé. Pour palier à cette situation, le 3D Secure 2.0 sera plus flexible et s’adaptera à la situation de chaque utilisateur. Ainsi, selon les informations transmises par le site e-commerce, la banque pourra déclencher ou non la double authentification.
Revolut for Business vous permet de gérer votre compte professionnel et les autorisations de vos collaborateurs en toute sécurité. En plus, 50€ sont offerts pour une ouverture de compte via Codeur.com 😉
Qui est concerné par la DSP2 ?
Grâce à la DSP2, le contrôle est effectué par les établissements bancaires et ce sont donc ces dernières qui seront en cause en cas de fraude.
En tant qu’e-commerçant, votre rôle consiste à faire des recommandations à la banque. Selon votre connaissance de l’acheteur, vous pouvez suggérer ou demander une authentification, ou non. La banque de l’utilisateur reste décisionnaire.
La DSP2 prévoit plusieurs cas d’exemption pour lesquels la double authentification n’est pas obligatoire, notamment lorsque :
- Les paiements concernent des frais de stationnement
- Le site e-commerce se situe dans la white list de l’utilisateur
- Les paiements sont réguliers et de montant égal
- Les paiements n’excèdent pas 30 €, dans la limite de 100 € par jour ou de 5 opérations
- La moyenne des fraudes entre les deux établissements bancaires est faible
Comment se mettre en conformité avec la DSP2 ?
Il ne vous reste plus que quelques semaines pour vous mettre en conformité avec la DSP2. Si vous faites partie des retardataires, pas de panique. Voici comment procéder.
La double authentification est possible grâce au 3D Secure 2.0. Rapprochez-vous donc de votre établissement bancaire ou de votre prestataire de paiement pour savoir s’ils mettent en place la deuxième version du 3D Secure.
La banque propose le 3D Secure 2.0
Si le 3D Secure 2.0 est disponible, il est possible que vous deviez changer votre API, cette dernière pouvant être mise à jour. Pour vous aider dans cette démarche, nous vous conseillons de faire appel à un freelance spécialisé.
Demandez également à votre banque ou prestataire de paiement les informations que vous devrez leur transmettre sur l’utilisateur. Ce peut être :
- L’adresse de livraison
- L’adresse IP
- L’historique des achats antérieurs
- Le navigateur utilisé
- Etc.
Grâce à ces informations, la banque peut juger le risque de fraude. S’il est faible, le paiement se fait automatiquement. Dans le cas contraire, la double authentification est déclenchée.
Attention : Si vous ne communiquez pas les bonnes informations aux banques, ces dernières peuvent exiger systématiquement une double authentification. Cette pratique peut mener à des abandons de panier et réduire considérablement votre taux de conversion.
La banque ne propose pas le 3D Secure 2.0
La grande majorité des établissements bancaires proposent le 3D Secure 2.0. Mais ce ne sera peut-être pas le cas de votre prestataire de paiement, par exemple PayBox.
Dans ce cas de figure, vous devez obligatoirement mettre en place le 3D Secure 1.0, et ce pour tous les paiements. Évidemment cette solution est loin d’être idéale car elle peut là aussi mener à une baisse du taux de conversion.
Pour contourner cette problématique, il peut être envisageable de changer de prestataire de paiement et/ou d’optimiser le parcours d’achat des clients pour limiter les abandons de paniers.
Il ne vous reste plus que quelques semaines pour vous mettre en conformité avec la DSP2.
N’oubliez pas de modifier vos CGV en indiquant que vous partagez des informations avec les établissements bancaires.
