Paiement en ligne : qu'est-ce que la DSP2 qui entre en vigueur le 14 septembre 2019 ?

L'Europe a le don d'agrémenter les discussions de noms barbares.

Après le RPGD (Règlement général sur la protection des données), qui a ponctué bon nombre de papiers ou colloques en 2018, voici un nouvel acronyme que les responsables du digital ou les agences de voyages disposant d'un site marchand vont devoir apprendre et vite : la DSP2.

Derrière cette succession de lettres se cache les mots suivants : Directive européenne sur les Services de Paiement 2 (DSP2). Cela n'approfondit pas plus le sujet, mais au moins tout le monde saura.

Mais qu'est-ce que la DSP2 ? "C'est un texte datant de 2015. Ce dernier porte sur un renforcement de la sécurité des paiements en ligne et traite aussi de l'ouverture des API des acteurs bancaires aux start-up ou acteurs," explique Bertrand Pineau, conseiller à la Fevad.

L'objectif du texte est de renforcer la concurrence dans le secteur des Fintechs (Technologie financière) et d'améliorer la confiance des internautes lors de leurs achats en ligne.

Un monde vertueux mais à quel prix pour les acteurs du voyage ?

Quand nous avons appelé les Entreprises du Voyage (EDV) pour savoir si le syndicat avait prévu d'envoyer des informations auprès de ses adhérents, la réponse fut tout d'abord un rire. Nerveux.

"Ce n'est pas le sujet le plus sympa, vraiment loin de là", souffle avec un grand sourire Valérie Boned, la secrétaire générale des EDV. Plus sérieusement, si toutes les agences de voyages en ligne sont concernées par la directive, ce n'est pas le cas de l'ensemble des transactions.

Sont concernées les transactions d'un montant supérieur à 30 euros et celles faites sur des sites européens.]i" Ce n'est pas tout, car les transactions doivent être à l'initiative du client, excluant donc les prélèvements faits par le marchand, lors d'un paiement en plusieurs fois.

Concrètement, "jusqu'à présent, il y avait très peu de données dans le flux de la transaction entre nous et les intermédiaires bancaires. La directive ajoute des données obligatoires dans le cadre du 3D secure 2.0 à l'ensemble des banques", explique Faty Diallo, la responsable monétique et fraude chez MisterFly.

Le 3D Secure correspond au système d'authentification qui se résume bien souvent à l'envoi d'un code dans un SMS. C'est à ce niveau que le commerçant en ligne est concerné par la directive.

Au départ, les marchands livraient aux banques le niveau des cartes bancaires, l'e-mail et l'adresse IP, maintenant les marchands doivent aussi fournir l'adresse de facturation du client.

Sauf que les établissements bancaires ne sont pas encore au point. Face au retard pris par l'écosystème bancaire, la Banque de France a préféré différer la mise en place du nouveau protocole.

"Le 14 septembre 2019, il ne se passera rien. Une fois que les banques des clients seront capables de traiter les nouveaux flux, les marchands s'y connecteront, les transactions des clients passeront par les flux monétiques de façon transparente,", précise Bertrand Pineau.

Si le grand soir est remis à plus tard, le système de sécurisation des paiements en ligne nouvelle version "3Dsecure2" fera son arrivée dans les prochains mois.

Dans la vie de tous les jours, le célèbre SMS de certification devrait évoluer.

"Le SMS OTP est désormais qualifié comme un moyen insuffisant, les banques doivent apporter à leurs clients des solutions pour authentifier leur paiement," ajoute Bernard Pineau.

Si le texto a fait son temps il a permis de faire baisser les fraudes en ligne à un taux de 0,07% en 2018, alors que le niveau pour l'ensemble des cartes bancaires atteint 0,062%.

L'évolution devra se faire avec pour point d'orgue 2021. Et des réponses correspondant à tous les cas de figure devront être apportées, même dans le cas des 20% de Français n'ayant pas de smartphones.

"Nous nous dirigeons tout droit vers une évolution biométrique de la certification. Au lieu de recevoir le SMS, nous pouvons imaginer, comme c'est déjà le cas, que l'empreinte digitale soit l'avenir du paiement en ligne," prophétise Bertrand Pineau, le conseiller de la Fevad.

Mais aussi, pourquoi pas, la reconnaissance faciale, technologie déjà utilisée en Chine. "La DSP2 aurait une problématique au niveau de l'acceptation en raison de l'authentification forte pouvant créer de la friction auprès de notre clientèle.

Il faut se rendre compte que nous, clients historiques, devons subir le même niveau d'authentification que le nouvel acheteur, ce qui pourrait causer une réticence de la personne habituée à notre plateforme," souffle Faty Diallo, la responsable monétique et fraude chez MisterFly.

En effet, la certification n'est pas un dispositif apprécié par les commerçants, ni même par les clients.

Le 3D Secure garantit certes un bon niveau de sécurité mais ajoute des étapes pour finaliser la transaction. Et plus il y a de points de friction, et plus les consommateurs sont susceptibles de se détourner.

Hypothèse attestée par les EDV : "il y a un risque de frein à l'achat c'est clair. Je pense surtout que les banques doivent communiquer sur cette directive pour éduquer et informer les citoyens", estime Valérie Boned.

Une étude de la plateforme de paiement Stripe, menée par 451 Research, évalue les pertes de la sécurisation forte à 57 milliards d'euros en Europe.

Le risque d'un faible ralentissement des ventes en ligne pourra peut-être s'observer, mais pas avant quelques trimestres.

En attendant, il convient de contacter son fournisseur de solutions de paiement pour savoir où il en est dans sa transition.