3DS2 : le standard d'authentification
Afin de lutter contre l'augmentation de la fraude sur les transactions e-commerce, une nouvelle version du protocole 3D Secure a vu le jour : 3D Secure 2 (3DS2).
Cette version augmente la sécurité des paiements mais aussi l'expérience utilisateur basée sur une analyse de risques intelligente et dynamique, elle permet de réduire le nombre d'abandons introduits par l’ancienne version 3DS1, en réduisant les interactions avec l'acheteur.
Pour cela, une plus grande quantité d'information (presque 10 fois plus qu'avec la version précédente) est utilisée par l'émetteur afin d'évaluer le risque de la transaction.
Si l'émetteur détermine que le niveau de risque de la transaction est faible, l'authentification de l'acheteur se fera sans interaction de sa part. On parle alors d'authentification "Frictionless".
Dans le cas où l'émetteur évalue un risque élevé pour la transaction, une interaction de l'acheteur est nécessaire. On parle de "Challenge".
Durant ce challenge, l'acheteur devra répondre à au moins deux facteurs d'authentification. Cette méthode d'authentification s'appelle SCA (Strong Customer Authentication).
- Possession : un objet que le client possède (comme le téléphone pour le paiement e-commerce ou la carte bancaire pour le paiement en magasin),
- Connaissance: donnée que seul le client connaît (comme un mot de passe),
- Caractéristique personnelle : élément biométrique caractérisant le client (comme une empreinte digitale, reconnaissance vocale ou reconnaissance faciale).
SCA est requise uniquement lorsque l'émetteur et l'acquéreur sont situés tous les deux dans l'Espace Economique Européen (EEE).
SCA n'est pas obligatoire sur les transactions réalisées avec une carte émise hors de l'EEE, ni si le marchand a souscrit un contrat avec un acquéreur hors de l'EEE, même si la carte est émise dans l'EEE (cas appelé "one-leg").
La mise en place de méthode d'authentification dite forte à double facteur se déploie progressivement par les établissements émetteurs de carte dans le monde.
- l'authentification en mode pop-in remplace la redirection vers la page de l'ACS,
- l’authentification est mieux adaptée pour les nouveaux canaux de paiement comme les paiements in-app et les paiements via mobile.
Plus d'informations échangées entre les différents acteurs
Transaction & Données client
Contient des informations obligatoires ou optionnelles récoltées depuis le parcours client sur le site marchand et depuis le détail de la transaction:
- numéro de carte et date d'expiration
- adresse de facturation
- adresse de livraison
- nom du marchand
- URL du site marchand
- pays
- code MCC
- BIN acquéreur
- MID
- montant
- devise
- type de transaction
Données du marchand
- Informations sur le risque
marchand.
Données que seul le marchand est capable de vérifier à partir du détail de la commande et utilisées pour l'analyse de risques:
- livraison à l'adresse de facturation
- livraison en magasin
- adresse e-mail de livraison
- période de livraison
- achat de carte-cadeaux
- produits disponible ou pré commande
- première commande ou non
- score de l'analyse de risque effectuée par le marchand
- Informations sur le compte
client du porteur.
Informations relatives aux détails ou à l'historique du compte client sur le site marchand:
- date de création
- date de modification
- date du dernier changement de mot de passe
- nombre de transactions
- activité suspicieuse
- etc...
- Informations sur le risque
marchand.
Données sur l'équipement
Informations spécifiques à l'équipement (navigateur / application native iOS / application native Android):- adresse IP
- langue
- taille de l'écran
- fuseau horaire
- User-Agent
- entêtes HTTP
- modèle de l'équipement
- nom de l'OS
- version de l'OS
- date et heure
- résolution de l'écran
- coordonnées GPS
En fonction de l'OS plusieurs dizaines d'informations pourront être exploitées (IMEI, fonts, Subscriber ID, etc.).
Données d'authentification
- Authentification sur le site
marchand. Concerne l'authentification (non 3DS) de l'acheteur pour accéder au site marchand:
- méthode d'authentification
- date et heure de connexion
- données d'authentification
- Précédente authentification
forte. Données d'authentification 3DS issues d'une précédente transaction réalisée par le même porteur de carte avec le même moyen de paiement:
- méthode d'authentification (frictionless ou challenge)
- date et heure de l'authentification 3DS
- données d'authentification (numéro de transaction ACS)
- Authentification sur le site
marchand.
