🔐 3-D Secure 2 et les exemptions SCA

Le cadre : DSP2, SCA et EMV 3-D Secure

La DSP2 impose l'authentification forte du client (SCA, deux facteurs parmi connaissance, possession, inhérence) pour les paiements électroniques initiés par le payeur dans l'EEE. EMV 3-D Secure (3DS2), spécifié par EMVCo, est le protocole qui la met en œuvre pour la carte. Il transporte les données de la transaction et du device vers l'émetteur, qui décide d'authentifier silencieusement (frictionless) ou d'imposer un défi (challenge).

Frictionless vs challenge

Dans le flux frictionless, l'ACS évalue le risque sur les seules données transmises (AReq) et authentifie sans interaction. Le porteur ne voit rien. Dans le flux challenge, l'ACS exige une interaction, aujourd'hui majoritairement une validation dans l'app bancaire (possession du téléphone + code/biométrie, conforme SCA). L'OTP SMS seul a été abandonné, car il ne constitue qu'un facteur.

Les données transmises : le carburant du frictionless

L'AReq de 3DS2 est le message par lequel le marchand soumet une transaction à l'authentification, avant que le Directory Server ne le route vers l'ACS de l'émetteur. Il peut véhiculer de l'ordre de 130 champs, dont une centaine d'obligatoires ou conditionnels et plusieurs dizaines d'optionnels, ce qui constitue sa grande différence avec 3DS1. Plus le marchand renseigne de champs, plus l'ACS dispose d'éléments pour affiner son score, et plus la probabilité de frictionless augmente. Ces champs se répartissent entre les catégories suivantes.

• Device data navigateur (obligatoires en flux browser) : browserUserAgent, browserLanguage, browserScreenWidth/Height, browserTZ, browserJavaEnabled, browserAcceptHeader, IP ;
• Device data SDK (flux in-app) : identifiants d'appareil, modèle, OS, jailbreak/root status, plus riches et plus fiables que le navigateur ;
• Données transaction : montant, devise, date, récurrence prévue (recurringFrequency, recurringExpiry) ;
• Merchant risk indicators : adresse de livraison, shipIndicator (livraison = facturation, retrait magasin, numérique…), deliveryTimeframe, reorderItemsInd (réachat), preOrderPurchaseInd ;
• Cardholder account info : ancienneté du compte client (chAccAgeInd), date de dernier changement de mot de passe, nombre de transactions sur 24 h/1 an, nombre de cartes enregistrées ;
• Requestor data : threeDSRequestorChallengeInd, par lequel le marchand peut demander un challenge (03), indiquer qu'il n'en souhaite pas (02), ou signaler qu'un mandat impose la SCA (04).

{
  "threeDSRequestorAuthenticationInd": "01",   // 01 = paiement (vs enrolement carte)
  "threeDSRequestorChallengeInd": "02",        // 02 = pas de challenge souhaite
  "acctNumber": "4895370000000000",            // PAN ou DPAN
  "purchaseAmount": "8990", "purchaseCurrency": "978",  // 89,90 EUR (ISO 4217)
  "browserIP": "92.184.100.23",
  "browserUserAgent": "Mozilla/5.0 (iPhone; CPU iPhone OS 18_5...)",
  "browserLanguage": "fr-FR", "browserTZ": "-120",
  "browserScreenWidth": "390", "browserScreenHeight": "844",
  "cardholderName": "MARIE DUPONT",
  "email": "marie.dupont@example.fr",
  "shipAddrCity": "Paris", "shipAddrPostCode": "75002", "shipAddrCountry": "250",
  "merchantRiskIndicator": {
    "shipIndicator": "01",                     // livraison = adresse de facturation
    "deliveryTimeframe": "03",                 // livraison sous 24 h (overnight)
    "reorderItemsInd": "02"                    // reachat d'un article deja commande
  },
  "acctInfo": {
    "chAccAgeInd": "05",                       // compte client cree depuis > 60 jours
    "nbPurchaseAccount": "11",                 // 11 achats sur 6 mois
    "suspiciousAccActivity": "01"              // pas d'activite suspecte observee
  }
}
// Un dossier riche et coherent -> score ACS bas -> transStatus Y sans challenge.

Le liability shift : qui porte la fraude ?

Le transfert de responsabilité (liability shift) désigne le déplacement de la charge de la fraude d'un acteur de la transaction vers un autre. En VAD non authentifiée, cette charge pèse sur le commerçant, sous la forme d'un chargeback pour motif de fraude. L'authentification 3DS la déplace vers l'émetteur. Un porteur qui conteste une transaction authentifiée ne peut plus obtenir de chargeback pour motif de fraude. Les motifs commerciaux, comme la non-livraison ou le produit non conforme, restent ouverts dans tous les cas.

Les exemptions SCA en détail

Les RTS (règlement délégué UE 2018/389) prévoient des exemptions à la SCA, demandées par l'acquéreur dans le flux d'autorisation (ou appliquées par l'émetteur). S'y ajoutent des cas hors champ (out of scope) qui ne sont pas des exemptions, comme les MIT, le MOTO et le one-leg-out (une des deux banques hors EEE). La distinction porte à conséquence. L'émetteur peut refuser une exemption qui lui est demandée, alors qu'un cas hors champ échappe par nature à l'obligation d'authentification.

Le seuil TRA applicable dépend du taux de fraude de l'acquéreur (pour la TRA acquéreur), calculé trimestriellement selon la méthodologie RTS. Un commerçant dont le taux de fraude est faible reste plafonné par le taux global du portefeuille de son acquéreur. Le niveau de fraude des autres commerçants du portefeuille détermine donc le plafond d'exemption accessible, ce qui pèse sur le choix de l'acquéreur et sur la segmentation des MID.

Soft declines et stratégie d'exemption

Le soft decline est le refus réversible par lequel l'émetteur exige une authentification, code `1A` chez Visa (Additional customer authentication required) et `65` chez Mastercard, réaffecté à cet usage avec la DSP2. Il signale au commerçant que la transaction peut aboutir après une nouvelle soumission avec 3DS. Tout flux d'encaissement européen doit implémenter cette boucle de re-soumission.