• France
lyra.com
Rechercher
Catégories
Tags
France
France
Espagne
Europe (Anglais)
Inde
Implémentation
Formulaire intelligent (smartForm)
Formulaire embarqué (cartes)
API REST
API REST PCI-DSS
API REST SEPA
Formulaire en redirection
Échange de fichiers
Paiement mobile
Exemples de code
Modules de paiement
Marketplace
Back Office
Back Office Marchand
Back Office Expert
Guides
Aide
FAQ
Tutoriels vidéos
Support

3DS2 : le standard d'authentification

Afin de lutter contre l'augmentation de la fraude sur les transactions e-commerce, une nouvelle version du protocole 3D Secure a vu le jour : 3D Secure 2 (3DS2).

Cette version augmente la sécurité des paiements mais aussi l'expérience utilisateur basée sur une analyse de risques intelligente et dynamique, elle permet de réduire le nombre d'abandons introduits par l’ancienne version 3DS1, en réduisant les interactions avec l'acheteur.

Pour cela, une plus grande quantité d'information (presque 10 fois plus qu'avec la version précédente) est utilisée par l'émetteur afin d'évaluer le risque de la transaction.

Si l'émetteur détermine que le niveau de risque de la transaction est faible, l'authentification de l'acheteur se fera sans interaction de sa part. On parle alors d'authentification " Frictionless".

Dans le cas où l'émetteur évalue un risque élevé pour la transaction, une interaction de l'acheteur est nécessaire. On parle de " Challenge".

Durant ce challenge, l'acheteur devra répondre à au moins deux facteurs d'authentification. Cette méthode d'authentification s'appelle SCA (Strong Customer Authentication).

SCA impose que deux des trois différents facteurs d'authentification soient fournis :
  • Possession: un objet que le client possède (comme le téléphone pour le paiement e-commerce ou la carte bancaire pour le paiement en magasin),
  • Connaissance: donnée que seul le client connaît (comme un mot de passe),
  • Caractéristique personnelle: élément biométrique caractérisant le client (comme une empreinte digitale, reconnaissance vocale ou reconnaissance faciale).

SCA est requise uniquement lorsque l'émetteur et l'acquéreur sont situés tous les deux dans l'Espace Economique Européen (EEE).

SCA n'est pas obligatoire sur les transactions réalisées avec une carte émise hors de l'EEE, ni si le marchand a souscrit un contrat avec un acquéreur hors de l'EEE, même si la carte est émise dans l'EEE (cas appelé "one-leg").

La mise en place de méthode d'authentification dite forte à double facteur se déploie progressivement par les établissements émetteurs de carte dans le monde.

Avec la 3D Secure v2 :
  • l' authentification en mode pop-in remplace la redirection vers la page de l'ACS,
  • l’authentification est mieux adaptée pour les nouveaux canaux de paiement comme les paiements in-app et les paiements via mobile.

Plus d'informations échangées entre les différents acteurs

Avec la 3DS2, les données partagées sont 10 fois plus nombreuses et peuvent être classées en 4 catégories :
  • Transaction & Données client

    Contient des informations obligatoires ou optionnelles récoltées depuis le parcours client sur le site marchand et depuis le détail de la transaction:

    • numéro de carte et date d'expiration
    • adresse de facturation
    • adresse de livraison
    • nom du marchand
    • URL du site marchand
    • pays
    • code MCC
    • BIN acquéreur
    • MID
    • montant
    • devise
    • type de transaction
  • Données du marchand

    1. Informations sur le risque marchand.

      Données que seul le marchand est capable de vérifier à partir du détail de la commande et utilisées pour l'analyse de risques:

      • livraison à l'adresse de facturation
      • livraison en magasin
      • adresse e-mail de livraison
      • période de livraison
      • achat de carte-cadeaux
      • produits disponible ou pré commande
      • première commande ou non
      • score de l'analyse de risque effectuée par le marchand
    2. Informations sur le compte client du porteur.

      Informations relatives aux détails ou à l'historique du compte client sur le site marchand:

      • date de création
      • date de modification
      • date du dernier changement de mot de passe
      • nombre de transactions
      • activité suspicieuse
      • etc...
  • Données sur l'équipement

    Informations spécifiques à l'équipement (navigateur / application native iOS / application native Android):
    • adresse IP
    • langue
    • taille de l'écran
    • fuseau horaire
    • User-Agent
    • entêtes HTTP
    • modèle de l'équipement
    • nom de l'OS
    • version de l'OS
    • date et heure
    • résolution de l'écran
    • coordonnées GPS

    En fonction de l'OS plusieurs dizaines d'informations pourront être exploitées (IMEI, fonts, Subscriber ID, etc.).

  • Données d'authentification

    1. Authentification sur le site marchand.
      Concerne l'authentification (non 3DS) de l'acheteur pour accéder au site marchand:
      • méthode d'authentification
      • date et heure de connexion
      • données d'authentification

    2. Précédente authentification forte.
      Données d'authentification 3DS issues d'une précédente transaction réalisée par le même porteur de carte avec le même moyen de paiement:
      • méthode d'authentification (frictionless ou challenge)
      • date et heure de l'authentification 3DS
      • données d'authentification (numéro de transaction ACS)

  • Quelles sont les exemptions à l'authentification forte?
  • Quelles sont les transactions non concernées par la SCA?
  • Puis-je exprimer mon choix ou désactiver l’authentification ?
  • Transfert de responsabilité
  • Schéma de principe de l'authentification
  • Diagramme décisionnel 3D Secure
Nous recrutons

Head Office :

LYRA NETWORK
109, rue de l’innovation
31670 Labège
FRANCE

2.16.0-doc-1.8