3-D Secure et SCA

Introduction

Lors du traitement des requêtes de paiement en ligne, la protection contre la fraude est essentielle – tant pour vos clients que pour vous.

Pour répondre à ce besoin, l'industrie des paiements a établi la norme d'authentification 3-D Secure (Three Domain Secure). Pour tout traitement d'une requête de paiement par carte, vos clients doivent prouver qu'ils sont les propriétaires légitimes de la carte.

La norme actuelle 3-D Secure oblige vos clients à passer par une authentification forte (SCA). Ainsi, vos clients doivent s'authentifier avec au moins DEUX des trois données suivantes :

• Quelque chose qu'ils connaissent (c'est-à-dire un code PIN ou un mot de passe)
• Quelque chose qu'ils possèdent (c'est-à-dire un lecteur de carte ou un appareil mobile)
• Quelque chose qu'ils sont (c'est-à-dire une reconnaissance vocale ou une empreinte digitale)

Respecter la SCA offre deux grands avantages pour vos clients et vous :

1. Une protection contre la fraude ; si une transaction s'avère être frauduleuse, ni vous ni votre client n'êtes responsables. L'émetteur compensera la perte financière.
2. Une flexibilité et une expérience client améliorée ; dans certains cas, le processus d'authentification forte peut se dérouler en arrière-plan, le rendant imperceptible pour vos clients. Parfois, il est même possible de déroger complètement au 3-D Secure. Lisez notre chapitre dédié pour en savoir plus.

Exemptions et exclusions

Pour améliorer la flexibilité et l'expérience client, l'Union Européenne autorise certaines exclusions ou exemptions à la norme 3-D Secure :

• Exclusions – la norme 3-D Secure ne s'applique pas pour les cas d'usage suivants :

  • Requêtes de paiement par correspondance ou par téléphone (MOTO)
  • Requêtes de paiement pour lesquelles votre acquéreur ou l'émetteur de votre client est situé en dehors de la zone EEE
  • Requêtes de paiement avec cartes prépayées anonymes jusqu'à 150 € (Article 63)

  Notre plateforme détecte ces exclusions automatiquement, vous libérant ainsi de l'obligation de les indiquer dans vos requêtes de paiement.

• Exemptions – Vous pouvez demander à déroger au processus d'authentification forte si votre requête de paiement remplit certaines conditions. Lisez notre chapitre dédié pour en savoir plus.

Flux de transaction 3-D Secure

Pour les paiements par carte, vos clients doivent s'authentifier en tant que propriétaires légitimes de la carte. Un flux de paiement typique se déroule ainsi :

1. Vos clients finalisent une commande dans votre boutique et sélectionnent une méthode de paiement par carte.
2. Vous envoyez une requête CreateHostedCheckout/CreatePayment vers notre plateforme, incluant un ensemble de données obligatoires/recommandées/facultatives pour le 3-D Secure.
3. Notre plateforme vous retourne une réponse avec des instructions pour les prochaines étapes du flux. Selon la méthode d'intégration, des différences s'appliquent :
   • Hosted Checkout Page - La réponse contient une redirectUrl vers notre page de paiement sécurisée. Une fois que vous redirigez votre client vers cette URL et qu'il entre son numéro de carte, notre plateforme couvrira automatiquement toutes les étapes liées au 3-D Secure pour vous.
   • Hosted Tokenization Page / Server-to-server / Intégration mobile/client - La réponse contient un objet merchantAction, vous instruisant de rediriger vos clients vers une URL spécifique. Cette URL est celle de l'émetteur de vos clients.
4. Vos clients fournissent leur numéro de carte de crédit et sont redirigés vers leur émetteur pour l'authentification 3-D Secure.
5. Notre système reçoit le résultat de l'authentification forte de l'émetteur.
6. Nous traitons la transaction et recevons le résultat de l'acquéreur.
7. Nous redirigeons votre client vers votre returnUrl.
8. Vous demandez le résultat de la transaction à notre plateforme via GetPaymentDetails / GetHostedCheckout ou recevez le résultat via webhooks.