Carte bancaire - 3D Secure - Double authentification

Le conseil suivant porte sur le durcissement de la double authentification par l'usage d'un téléphone sur lequel votre banque va vous appeler immédiatement, dès que la plateforme de paiement en ligne va la consulter pour vérification de la carte, du porteur de la carte, et du solde suffisant du compte.

Paiement en ligne - Double authentification - 3D Secure - Code par SMS ou appel vocal

Si un achat est tenté par Internet, la double vérification (double authentification) mise en place par votre banque, avec 3D Secure, va vous appeler, sur un numéro de téléphone que vous avez donné à votre banque.

1. Après avoir saisi votre mode de paiement (réseau de la carte de paiement utilisé, titulaire, numéro de carte, date d'expiration et code), le système 3D Secure va consulter votre banque.

2. Votre banque va procéder immédiatement aux vérifications d'usage (la carte n'est pas bloquée, n'est pas signalée volée, le titulaire est bien celui prétendu, la date d'expiration est la bonne, le code de vérification est le bon, le solde du compte permet ce paiement).

3. Double authentification : votre banque (un robot téléphonique, pas une personne physique) va vous appeler sur le numéro de téléphone que vous lui aviez donné lors de la souscription à votre carte bancaire. Si vous aviez donné un numéro de smartphone (mauvaise idée) c'est un SMS qui va vous être envoyé sur ce smartphone. Si vous aviez donné le numéro de téléphone fixe de la maison (bonne idée, probablement recommandée par votre conseiller financier s'il a bien fait son travail), c'est un appel en synthèse vocale qui va vous parvenir. Dans les deux cas, un code d'autorisation, à usage unique, vous est donné et vous devez le donner à la plateforme de paiement en ligne, qui l'a reçu également de son côté. Après vérification, votre paiement est validé et votre achat est terminé.

Où est le problème ? Comment durcir l'usage de ce numéro de téléphone ?

Sur le bordereau de paiement, il vous est demandé de renseigner un champ de saisie optionnelle avec un numéro de smartphone.

Non ! Ne pas donner un numéro de portable, ni à votre banque, ni à la plateforme de paiement en ligne, pour la double vérification. Lorsque vous avez souscrit à un réseau de carte bancaire, vous avez déjà donné un numéro de téléphone et c'est sur celui-là que votre banque doit vous appeler, pas sur un autre. Si vous vous êtes fait voler vos papiers et carte bancaire, il est près probable que votre smartphone aussi y est passé. Si votre banque appelle sur le smartphone, que le criminel a entre ses mains avec votre carte bancaire, il va recevoir le code de double authentification et l'achat va être validé (le vérouillage d'un smartphone se fait en quinze secondes).

Lorsque l'on est en déplacement, on paye avec sa carte dans un commerce, on ne fait pas d'achat par Internet (ce genre de mobilité est rare, anormal et discourtois depuis votre bureau chez votre employeur). Dans la quasi-totalité des cas, ce n'est qu'à la maison que l'on fait des achats par Internet.

Donner uniquement le téléphone fixe de la maison à votre banque et rien à la plateforme de paiement. C'est le meilleur moyen de ne pas être victime du vol de votre carte bancaire, qui s'accompagne, généralement, du vol de votre smartphone.

Au bout du téléphone fixe de la maison, c'est bien vous.

Oui, mais... si vous êtes en déplacement/en voyage, il n'y a que le smartphone qui soit possible, donc à vous de bien séparer votre carte bancaire et votre smartphone de manière à ne pas se les faire voler ensembles.

Un exemple avec un achat d'un e Billet sur le site de la SNCF.

Paiement en ligne - Double authentification - 3D Secure - Un conseil

?Saisir votre date de naissance. Double authentification faible.
J'ai pu assister à cette scène chez une cliente en informatique qui me demandait de l'assister durant un paiement en ligne, sur le Web. Après la saisie des informations habituelles (numéro de carte, date d'échéance, titulaire, code de vérification au dos de la carte), voilà qu'on lui demande sa date de naissance. Cela a provoqué une colère monstrueuse, une horreur qui a mis plus de quinze minutes à retomber (et l'achat a été abandonné). Tout y est passé, depuis la protection de la vie privée jusqu'au respect des fondamentaux de la bienséance (on ne demande jamais sa date de naissance à une dame), etc. (PS : j'assiste cette dame depuis des années et je ne connaîs toujours pas sa date de naissance).

?Carte de clés personnelles. Double authentification faible.
Les employés (conseillers financiers) des banques sont peu ou pas informés des moyens techniques mis en place par leur employeur. De nombreux cas sont cités de clients de banques qui n'ont rien compris à cette carte de codes et l'ont jeté comme on jette un calendrier publicitaire de ce format, distribué par un SOS plombier ou SOS serrurier quelconque, qui encombre nos boîtes aux lettres.

La différence de charte graphique entre la charte graphique de la banque de l'utilisateur et le formulaire de double authentification 3D Secure, fait parfois peur et fait penser à du phishing chez certains utilisateurs, provoquant des abandons de transactions avec mécontentement de l'utilisateur et perte de vente et de chiffre d'affaire du côté du e-commerçant (baisse du taux de conversion). Un travail sur la communication vers le client acheteur (messages explicatifs), avant et après le formulaire 3D Secure, peut améliorer de taux de conversion. Les banques également doivent communiquer vers leurs clients.

La double authentification protège la banque et le réseau de la carte.
Sans double authentification, si votre catrte est utilisée de manière frauduleuse, vous êtes remboursé sans discussion. Avec double authentification, si votre carte est utilisée de manière frauduleuse, c'est de votre faute et vous n'êtes pas remboursé :

• Vous n'aviez pas à publier votre date de naissance, etc. sur le Web.

• Vous n'aviez pas à stocker ensembles et vous faire voler votre carte d'identité avec votre date de naissance en même temps que votre carte de paiement.

• Vous n'aviez pas à stocker ensembles et vous faire voler votre carte de clés personnelles en même temps que votre carte de paiement. Il tombe sous le sens que ces documents, qui doivent toujours être utilisés ensembles, ne doivent jamais se trouver ensembles !

• Vous n'aviez pas à stocker ensembles et vous faire voler votre digipass en même temps que votre carte de paiement. Il tombe sous le sens que ce dispositif, qui doit toujours être utilisé avec votre carte de paiement, ne doit jamais se trouver à portée de votre carte de paiement !

Incongruités 3D Secure signalées !

• Demandes de date de naissance pour des paiements par carte bancaire professionnelle (carte d'entreprise, sans date de naissance !)
  

• Envoie de code jetable sur un numéro de téléphone qui n'existe plus (c'est de la faute du porteur de la carte qui doit signaler ce genre de changement à sa banque).
  

• Fevad

• SecuVad