Un client valide son panier sur votre site, reçoit une notification sur son application bancaire, pose son empreinte digitale, et le paiement passe. Il y a quelques années, il aurait reçu un simple code SMS. Ce changement de parcours, c’est la DSP2 qui l’a imposé, et ses conséquences pour une petite entreprise qui vend en ligne vont bien au-delà d’une étape de validation supplémentaire.
Authentification forte DSP2 : ce qui se passe vraiment côté acheteur
Avant la DSP2, la sécurité d’un paiement par carte reposait sur un code à usage unique envoyé par SMS. Ce système a été jugé trop vulnérable aux interceptions. La directive impose désormais une authentification forte basée sur deux facteurs distincts parmi trois catégories : quelque chose que le client connaît (un mot de passe), quelque chose qu’il possède (son téléphone), quelque chose qui le caractérise (son empreinte digitale ou la reconnaissance faciale).
A lire aussi : Comment créer une SASU en ligne : guide pratique pour entrepreneurs
En pratique, le protocole 3D Secure v2 est devenu la brique technique dominante. La validation se déplace vers l’application bancaire du client plutôt que vers un SMS. Pour l’acheteur, cela signifie ouvrir l’application de sa banque, confirmer la transaction, parfois via biométrie.
Pour une petite entreprise, la conséquence directe est que la banque du client devient décisionnaire sur l’acceptation du paiement, pas le commerçant. Vous ne contrôlez plus cette étape. Si l’application bancaire du client plante, si sa session expire, le paiement échoue, et la vente avec.
A lire également : Comment créer une SCI en ligne ?
La DSP2 a aussi permis l’émergence de modes de paiement alternatifs. L’initiation de paiement DSP2 par virement bancaire, opérée par des prestataires agréés, offre aux petites structures un canal supplémentaire qui ne dépend pas des réseaux de cartes bancaires. Le client paye directement depuis son compte, sans saisir d’IBAN manuellement.
Exemptions de paiement DSP2 : les cas où la friction disparaît
Vous avez déjà remarqué que certains achats en ligne passent sans aucune vérification supplémentaire ? Ce n’est pas un bug. La DSP2 prévoit des exemptions précises, et les connaître change la donne pour un commerce en ligne qui traite beaucoup de petites commandes ou d’abonnements.
Voici les principales exemptions qui concernent directement les petites entreprises :
- Paiements à faible montant : les transactions sous un certain seuil peuvent être exemptées d’authentification forte, à condition que le prestataire de paiement gère un taux de fraude suffisamment bas sur son portefeuille.
- Paiements récurrents à montant fixe : un abonnement mensuel au même prix ne déclenche l’authentification forte qu’à la première transaction. Les suivantes passent sans friction, ce qui protège le taux de rétention.
- Bénéficiaires de confiance : le client peut enregistrer votre boutique comme « commerçant de confiance » auprès de sa banque. Les achats suivants sont alors exemptés.
- Analyse de risque en temps réel (TRA) : si le prestataire de paiement maintient un taux de fraude très bas, il peut demander une exemption pour des transactions jusqu’à un plafond défini par la réglementation.
Le piège pour une petite entreprise : ces exemptions ne se déclenchent pas toutes seules. C’est votre prestataire de paiement (PSP) qui les active et les gère. Si votre PSP ne propose pas de demander des exemptions, chaque transaction passera par l’authentification forte, même quand ce n’est pas obligatoire.
Impact sur le taux de conversion des petits e-commerces
L’authentification forte ajoute une étape dans le tunnel d’achat. Pour un petit e-commerce qui génère quelques centaines de commandes par mois, chaque abandon compte.
Le problème n’est pas la DSP2 en elle-même, c’est la manière dont elle est implémentée. Deux scénarios concrets illustrent l’écart :
Premier cas : votre PSP envoie systématiquement toutes les transactions en authentification forte. Le client reçoit une notification, ouvre son appli bancaire, valide. S’il est sur un vieux téléphone, s’il n’a pas activé les notifications, s’il met trop de temps, la session expire. C’est ce qu’on appelle un « soft decline » ou un « hard decline » selon le stade de l’échec.
Second cas : votre PSP utilise intelligemment les exemptions. Les petits paniers passent sans friction. Les clients récurrents sont reconnus. Le taux de conversion reste stable parce que la friction ne s’applique qu’aux transactions qui le justifient.
Choisir son prestataire de paiement en fonction de la DSP2
Le choix du PSP devient un levier direct sur votre chiffre d’affaires. Avant la DSP2, un prestataire se choisissait surtout sur ses commissions. Aujourd’hui, la capacité à gérer finement les exemptions et à proposer 3D Secure v2 dans sa version la plus fluide fait partie des critères de sélection.
Posez trois questions à votre prestataire :
- Propose-t-il l’analyse de risque en temps réel (TRA) pour demander des exemptions automatiques ?
- Gère-t-il les paiements récurrents sans réauthentification à chaque échéance ?
- Quel est son taux d’échec moyen sur les transactions avec authentification forte ?
Un prestataire qui ne sait pas répondre à ces questions applique probablement l’authentification forte de manière uniforme, ce qui pénalise votre conversion sans gain de sécurité supplémentaire.
DSP2 et virement bancaire : une alternative aux réseaux cartes
La DSP2 a aussi ouvert le marché à de nouveaux acteurs en leur permettant d’accéder aux données bancaires des clients (avec leur consentement) et d’initier des virements directement depuis leur compte. Pour une petite entreprise, cette option présente un avantage concret : les frais de transaction sur un virement initié sont généralement inférieurs à ceux d’un paiement par carte.
Le virement bancaire initié via un prestataire agréé fonctionne en quelques étapes. Le client choisit ce mode de paiement, sélectionne sa banque, s’authentifie dans son espace bancaire, et le virement part immédiatement. Pas de numéro de carte à saisir, pas de risque de fraude liée à un vol de données de carte.
Ce canal reste minoritaire dans les habitudes d’achat en ligne, mais il progresse. Pour les entreprises qui vendent des prestations de service avec des paniers moyens plus élevés (formation, artisanat, consulting), proposer le virement en complément de la carte peut réduire les coûts de traitement tout en offrant un parcours sécurisé conforme à la réglementation.
La DSP2 a redistribué les responsabilités entre commerçants, banques et prestataires de paiement. Pour une petite entreprise, le vrai enjeu n’est pas de comprendre chaque article de la directive, mais de vérifier que son prestataire exploite les marges de manœuvre qu’elle autorise. Un PSP qui gère bien les exemptions et propose des canaux alternatifs au paiement par carte transforme une contrainte réglementaire en avantage opérationnel.
