Quand utiliser le paiement sans authentification forte : guide pratique

Le dilemme de la conversion face à la sécurité

Depuis l'entrée en vigueur de la Directive sur les Services de Paiement 2 (DSP2), l'Authentification Forte du Client (SCA - Strong Customer Authentication), souvent matérialisée par le protocole 3D Secure (3DS), est devenue la norme pour les paiements en ligne en Europe.

Si cette mesure a significativement renforcé la sécurité et réduit la fraude, elle a aussi introduit un point de friction majeur dans le parcours d'achat. Des études montrent que jusqu'à 25% des transactions sont abandonnées lors de l'étape 3DS, à cause d'oublis de mot de passe, de problèmes de réception du code SMS ou simplement de l'impatience de l'utilisateur.

Pour les marchands, l'équation est complexe : comment se conformer à la réglementation et se protéger de la fraude sans sacrifier l'expérience utilisateur et, par conséquent, le taux de conversion ? La réponse réside dans une utilisation intelligente et stratégique des exemptions à la SCA. Ce guide pratique vous montrera, étape par étape, comment et quand contourner l'authentification forte de manière sécurisée et réglementaire, en transformant une contrainte en un avantage concurrentiel avec Bridge Pay.

Prérequis : Ce dont vous avez besoin avant de commencer

Avant de plonger dans la configuration des exemptions, assurez-vous de disposer des éléments suivants :

• Un compte marchand Bridge Pay actif : Notre plateforme est nativement conçue pour gérer les flux de paiement complexes et optimiser l'application des exemptions. Si vous n'avez pas encore de compte, c'est le moment idéal pour en créer un.
• Accès à votre tableau de bord Bridge Pay : Vous aurez besoin des droits d'administrateur ou de gestionnaire des paiements pour accéder aux paramètres de risque et de paiement.
• Une compréhension de base de votre profil de risque : Connaissez-vous votre taux de fraude actuel ? Vos paniers moyens ? Ces informations seront cruciales pour définir des règles d'exemption pertinentes et sécurisées. Notre tableau de bord Guardian vous fournit des analyses détaillées sur ce point.

Étapes détaillées pour implémenter les exemptions SCA

Étape 1 : Comprendre le paysage des exemptions

La DSP2 n'est pas une règle binaire ; elle prévoit plusieurs scénarios où la SCA n'est pas obligatoire. Il est crucial de les comprendre pour bâtir votre stratégie. Les principales exemptions sont :

• Transactions de Faible Valeur (LVT) : Pour les paiements inférieurs à 30 €.
• Analyse de Risque de Transaction (TRA) : Si votre prestataire de paiement (PSP) et vous-même maintenez un taux de fraude très bas, vous pouvez demander une exemption pour des transactions jusqu'à 500 €.
• Listes Blanches (Whitelisting) : Les clients peuvent ajouter un marchand à leur « liste de confiance » auprès de leur banque, évitant ainsi la SCA pour les futurs achats.
• Paiements Récurrents à montant fixe : Les abonnements. La SCA n'est requise que pour le premier paiement.
• Paiements Initiés par le Marchand (MIT) : Transactions où le client n'est pas présent (ex: facturation à l'usage), après un accord initial authentifié.

Bridge Pay vous permet de jongler avec ces exemptions grâce à un moteur de règles dynamique. L'objectif n'est pas de toutes les activer, mais de créer une politique intelligente qui maximise la fluidité pour les clients fiables tout en déclenchant la SCA pour les transactions suspectes.

Étape 2 : Activer et configurer le Moteur d'Exemptions Dynamiques de Bridge Pay

La première étape concrète est d'activer le cerveau de votre stratégie. Dans votre tableau de bord Bridge Pay, naviguez vers la section « Paiements > Paramètres de Risque ». Vous y trouverez notre outil Guardian Risk Engine.

La première option est un simple interrupteur : « Activer le Moteur d'Exemptions Dynamiques ». Une fois activé, Bridge Pay analysera chaque transaction entrante et essaiera d'appliquer l'exemption la plus pertinente en fonction des règles que vous allez définir. C'est une approche « demander et voir » : nous présentons la demande d'exemption à la banque du porteur de la carte, qui a le dernier mot pour l'accepter ou la refuser (ce qu'on appelle un « soft decline », que nous gérons automatiquement en représentant la transaction avec 3DS).

[Description d'une capture d'écran : Le tableau de bord Bridge Pay, section Guardian Risk Engine. Un interrupteur intitulé « Activer le Moteur d'Exemptions Dynamiques » est basculé sur la position ON. Juste en dessous, plusieurs sous-sections apparaissent : « Exemptions de faible valeur », « Analyse de Risque de Transaction (TRA) », etc.]

Étape 3 : Configurer l'exemption pour Transactions de Faible Valeur (LVT)

C'est l'exemption la plus simple et la plus efficace pour les marchands avec un panier moyen bas (e-books, services de streaming, etc.).

Dans la sous-section « Exemptions de faible valeur », activez l'option. La règle est simple : toute transaction inférieure à 30 € peut être exemptée de SCA. Cependant, la DSP2 impose des limites pour éviter les abus :

• La SCA sera requise si le client a effectué 5 transactions consécutives sans SCA depuis sa dernière authentification.
• La SCA sera requise si la somme des paiements exemptés dépasse 100 €.

Vous n'avez pas à suivre ces compteurs vous-même. Bridge Pay et la banque du client les gèrent automatiquement. Votre seule action est d'autoriser Bridge Pay à demander cette exemption pour les transactions éligibles. Pour la plupart des marchands, il est conseillé de l'activer systématiquement.

Étape 4 : Déployer l'Analyse de Risque de Transaction (TRA) pour les paiements jusqu'à 500 €

C'est ici que la puissance d'un PSP comme Bridge Pay prend tout son sens. La TRA vous permet de demander une exemption pour des transactions bien plus élevées (jusqu'à 500 €), à condition que le taux de fraude global de votre PSP sur ce segment soit extrêmement bas.

Le taux de fraude de référence de l'acquéreur doit être inférieur aux seuils suivants :

Dans votre tableau de bord Bridge Pay, activez la TRA. Vous aurez alors des options de configuration plus fines. Vous pouvez définir votre propre seuil de tolérance. Par exemple, vous pouvez décider de ne demander la TRA que pour les transactions entre 30 € et 150 €, même si notre taux de fraude nous permettrait d'aller plus haut.

C'est un excellent moyen de trouver un équilibre entre conversion et sécurité. Notre moteur Guardian enrichit chaque transaction avec des dizaines de points de données (IP, type d'appareil, historique du client, etc.) pour décider en temps réel s'il est sûr de demander l'exemption.

[Description d'une capture d'écran : L'interface de configuration de la TRA dans Bridge Pay. Un curseur permet de régler le « Seuil de montant maximum pour la demande d'exemption TRA » de 30 € à 500 €. En dessous, des cases à cocher permettent d'ajouter des règles personnalisées, comme « Toujours forcer la SCA pour les nouveaux clients ».]

Étape 5 : Profiter des paiements récurrents et initiés par le marchand (MIT)

Pour tous les modèles d'abonnement, cette exemption est fondamentale. Le principe est simple : la SCA est appliquée lors du paiement initial (la mise en place du mandat ou de l'abonnement), mais tous les paiements suivants, s'ils sont d'un montant fixe et à fréquence régulière, en sont exemptés.

De même, les paiements « initiés par le marchand » (MIT), où vous facturez un client pour une consommation variable (ex: une plateforme cloud qui facture à l'usage), n'exigent pas de SCA pour chaque transaction. L'essentiel est d'avoir un accord initial clair et authentifié (un « Contrat sur fichier » ou « Card-on-File »).

Avec Bridge Pay, lors de l'authentification initiale, nous lions la transaction à un mandat. Les transactions suivantes que vous initierez via notre API en utilisant l'identifiant de ce mandat seront automatiquement marquées comme MIT et soumises sans friction SCA, assurant un flux de revenus ininterrompu.

Demander une exemption via l'API

Pour les intégrateurs techniques, vous pouvez contrôler la stratégie d'exemption directement au niveau de l'appel API pour chaque transaction. Cela vous donne une flexibilité maximale. Lors de la création d'une transaction, vous pouvez passer un objet sca_exemption.

Voici un exemple de corps de requête JSON pour créer un paiement de 25 € en demandant explicitement une exemption de faible valeur :

{
  "amount": 2500,
  "currency": "EUR",
  "payment_method_id": "pm_123456789",
  "customer_id": "cus_987654321",
  "sca_policy": "REQUEST_EXEMPTION",
  "exemption_type_preference": [
    "low_value_transaction"
  ],
  "description": "Paiement pour commande #Z2024-45"
}
    

Dans cet exemple, sca_policy: « REQUEST_EXEMPTION » indique à Bridge Pay de tenter d'obtenir une exemption. Le champ exemption_type_preference permet de suggérer un type d'exemption. Si vous ne le spécifiez pas, notre moteur Guardian choisira la meilleure option (LVT, puis TRA, etc.). Vous pouvez aussi forcer la SCA avec « sca_policy »: « FORCE_SCA », même pour un paiement de 10€, si vous jugez la transaction risquée.

Vérification : Comment savoir si ça fonctionne ?

La mise en place est une chose, la vérification en est une autre. Dans votre tableau de bord Bridge Pay, allez dans la section « Transactions ». Chaque ligne de transaction affiche un statut détaillé.

• Recherchez les transactions réussies qui portent le badge « SCA Exemption : LVT » ou « SCA Exemption : TRA ». C'est la preuve que la demande a été acceptée par la banque émettrice.
• Surveillez votre taux d'acceptation global dans le tableau de bord analytique. Une stratégie d'exemption réussie devrait le faire augmenter de quelques points de pourcentage.
• Filtrez les transactions ayant échoué avec le code d'erreur « Soft Decline / Authentification requise ». Si leur nombre est faible, cela signifie que notre moteur prédit correctement les cas où la banque acceptera l'exemption.

Problèmes courants et solutions

Problème : « J'ai activé les exemptions, mais de nombreuses transactions de moins de 30 € sont encore soumises au 3DS. »

Solution : C'est un comportement normal. La banque du client a toujours le dernier mot. Elle peut refuser une exemption pour plusieurs raisons : les limites de 5 transactions / 100 € ont été atteintes, le client est considéré comme à risque par sa propre banque, ou la banque applique une politique de sécurité très stricte. Bridge Pay gère cela nativement en représentant la transaction avec 3DS. Il n'y a pas de perte de vente, juste une friction additionnelle. L'objectif est de réduire la friction *la plupart du temps*.

Problème : « Mon taux de fraude a légèrement augmenté depuis l'activation de la TRA. »

Solution : Il est temps d'ajuster vos règles. Retournez dans les paramètres de Guardian Risk Engine et resserrez vos critères. Par exemple, abaissez le seuil de montant maximum pour la TRA (de 150 € à 80 €, par exemple) ou ajoutez une règle pour toujours forcer la SCA sur les transactions provenant de pays à haut risque. C'est un processus d'itération constant pour trouver votre équilibre optimal.

Problème : « Un client fidèle se plaint de devoir toujours s'authentifier. »

Solution : C'est l'occasion parfaite de promouvoir la fonctionnalité de « liste blanche ». Informez votre client qu'après une authentification 3DS, sa banque lui proposera probablement d'ajouter votre site à sa liste de marchands de confiance. Une fois cela fait, il n'aura plus besoin de s'authentifier pour ses prochains achats chez vous, offrant l'expérience la plus fluide possible.

Prenez le contrôle de votre tunnel de paiement

L'authentification forte n'est pas une fatalité pour votre taux de conversion. En utilisant de manière proactive et intelligente les exemptions prévues par la DSP2, vous pouvez offrir une expérience d'achat rapide et sans friction à l'écrasante majorité de vos clients légitimes, tout en conservant une sécurité robuste pour les cas douteux. Des outils comme le moteur de règles de Bridge Pay sont essentiels pour automatiser cette complexité et la transformer en un puissant levier de croissance.

Prêt à transformer votre expérience de paiement et à récupérer les ventes perdues à cause de la friction ?

Créez votre compte Bridge Pay dès aujourd'hui et commencez à bâtir une stratégie de paiement plus intelligente.