3DS2 : le nouveau standard d'authentification

Afin de lutter contre l'augmentation de la fraude sur les transactions e-commerce, une nouvelle version du protocole 3D Secure a vu le jour : 3D Secure 2 (3DS2).

Cette nouvelle version augmente la sécurité des paiements mais aussi l'expérience utilisateur: basée sur une analyse de risques intelligente et dynamique, elle permet de réduire le nombre d'abandons introduits par 3DS1, en réduisant les interactions avec l'acheteur.

Pour cela, une plus grande quantité d'information (presque 10 fois plus qu'avec la version précédente 3DS1) sera utilisée par l'émetteur afin d'évaluer le risque de la transaction.

Si l'émetteur détermine que le niveau de risque de la transaction est faible, l'authentification de l'acheteur se fera sans interaction de sa part. On parle alors d'authentification "Frictionless".

Dans le cas où l'émetteur évalue un risque élevé pour la transaction, une interaction de l'acheteur est nécessaire. On parle de "Challenge".

Durant ce challenge, l'acheteur devra répondre à au moins deux facteurs d'authentification. Cette méthode d'authentification s'appelle SCA (Strong Customer Authentication).

SCA impose que deux des trois différents facteurs d'authentification soient fournis :
  • Possession: un objet que le client possède (comme le téléphone pour le paiement e-commerce ou la carte bancaire pour le paiement en magasin),
  • Connaissance: donnée que seul le client connaît (comme un mot de passe),
  • Caractéristique personnelle : élément biométrique caractérisant le client (comme une empreinte digitale, reconnaissance vocale ou reconnaissance faciale).

SCA est requise uniquement lorsque l'émetteur et l'acquéreur sont situés tous les deux dans l'Espace Economique Européen (EEE).

SCA n'est pas obligatoire sur les transactions réalisées avec une carte émise hors de l'EEE, ni si le marchand a souscrit un contrat avec un acquéreur hors de l'EEE, même si la carte est émise dans l'EEE (cas appelé "one-leg").

La mise en place de méthode d'authentification dite forte à double facteur se déploie progressivement par les établissements émetteurs de carte dans le monde.

Autres nouveautés:
  • l'authentification en mode pop-in remplace la redirection vers la page de l'ACS,
  • cette nouvelle version est mieux adaptée pour les nouveaux canaux de paiement comme les paiements in-app et les paiements via mobile.

Plus d'informations échangées entre les différents acteurs

Avec 3DS1, seules les informations suivantes étaient utilisées pour permettre l'authentification du porteur:

  • Numéro de contrat (MID) du marchand

  • BIN de l'acquéreur

  • URL du serveur d'authentification

  • Messages (VEReq,VERes, PAReq, PARes)

  • Numéro de carte du porteur

  • User Agent du navigateur de l'acheteur

Avec 3DS2, les données partagées sont 10 fois plus nombreuses et peuvent être classées en 4 catégories :
  • Transaction & Données client

    Contient des informations obligatoires ou optionnelles récoltées depuis le parcours client sur le site marchand et depuis le détail de la transaction:

    • numéro de carte et date d'expiration
    • adresse de facturation
    • adresse de livraison
    • nom du marchand
    • URL du site marchand
    • pays
    • code MCC
    • BIN acquéreur
    • MID
    • montant
    • devise
    • type de transaction
  • Données du marchand

    1. Informations sur le risque marchand.

      Données que seul le marchand est capable de vérifier à partir du détail de la commande et utilisées pour l'analyse de risques:

      • livraison à l'adresse de facturation
      • livraison en magasin
      • adresse e-mail de livraison
      • période de livraison
      • achat de carte-cadeaux
      • produits disponible ou pré commande
      • première commande ou non
      • score de l'analyse de risque effectuée par le marchand
    2. Informations sur le compte client du porteur.

      Informations relatives aux détails ou à l'historique du compte client sur le site marchand:

      • date de création
      • date de modification
      • date du dernier changement de mot de passe
      • nombre de transactions
      • activité suspicieuse
      • etc...
  • Données sur l'équipement

    Informations spécifiques à l'équipement (navigateur / application native iOS / application native Android):
    • adresse IP
    • langue
    • taille de l'écran
    • fuseau horaire
    • User-Agent
    • entêtes HTTP
    • modèle de l'équipement
    • nom de l'OS
    • version de l'OS
    • date et heure
    • résolution de l'écran
    • coordonnées GPS

    En fonction de l'OS plusieurs dizaines d'informations pourront être exploitées (IMEI, fonts, Subscriber ID etc...).

  • Données d'authentification

    1. Authentification sur le site marchand.
      Concerne l'authentification (non 3DS) de l'acheteur pour accéder au site marchand:
      • méthode d'authentification
      • date et heure de connexion
      • données d'authentification

    2. Précédente authentification forte.
      Données d'authentification 3DS issues d'une précédente transaction réalisée par le même porteur de carte avec le même moyen de paiement:
      • méthode d'authentification (frictionless ou challenge)
      • date et heure de l'authentification 3DS
      • données d'authentification (numéro de transaction ACS)