Authentification forte du client (SCA)

La SCA s’applique depuis le 14 septembre 2019 au titre de la deuxième directive européenne sur les services de paiement (DSP2, ou PSD2), et au Royaume-Uni selon ses propres règles. Elle exige deux facteurs sur trois : quelque chose que le client sait, possède ou est. Pour les paiements par carte en ligne, elle passe par 3D Secure, le protocole des réseaux qui demande au porteur de confirmer dans son application bancaire ou avec un code.

La facturation récurrente passe par des exemptions. Le client s’authentifie quand la carte est enregistrée, puis les renouvellements suivants peuvent être envoyés comme transactions initiées par le marchand, sans le client. L’émetteur peut tout de même demander une authentification sur un renouvellement, ce qui apparaît comme un refus du type authentication_required.

Pour les abonnements, la solution est de faire revenir le client pour terminer l’authentification : envoyez un lien vers une page où il peut confirmer le paiement. Une authentification 3D Secure réussie transfère aussi en général la responsabilité des litiges pour fraude à l’émetteur, même si les prestataires précisent que ce n’est pas garanti.