Authentification forte (DSP2) : définition et fonctionnement

L'’authentification forte, parfois appelée double authentification, est un dispositif de vérification d’identité destiné à renforcer la sécurité des opérations en ligne. Elle est liée à la deuxième directive européenne sur les services de paiement, la DSP2.

Comment ça marche, l’authentification forte ?

Quels sont les trois facteurs ?

Il faut utiliser au moins deux des trois familles suivantes. La connaissance : ce que vous seul connaissez, comme un mot de passe ou un code secret. La possession : ce que vous seul possédez, comme un téléphone portable ou une montre connectée. L’inhérence : ce qui vous caractérise, comme une empreinte digitale ou la reconnaissance faciale.

Dans quels cas s’applique-t-elle ?

• La plupart des paiements en ligne chez des commerçants de l’Union européenne.
• L’accès à l’espace client de la banque, au minimum tous les 180 jours.
• Les opérations sensibles : changement d’adresse, ajout d’un bénéficiaire de virement, commande de chéquier.

Quelles sont les exemptions ?

Elles comprennent les paiements vers un bénéficiaire de confiance déjà enregistré, les paiements récurrents de même montant, les virements entre deux comptes du même titulaire dans la même banque et les petits paiements, jusqu’à 30 euros par opération et dans la limite de plafonds cumulés.

Quelles solutions la banque propose-t-elle ?

Une application mobile avec code ou biométrie, un SMS ou serveur vocal avec un code à usage unique complété d’un code personnel, ou un appareil physique comme un générateur de codes.

Un exemple fictif

Un client règle 120 euros sur un site marchand européen. Sa banque affiche une demande dans son application mobile : le téléphone enregistré est la possession, l’empreinte digitale est l’inhérence. Deux familles différentes sont réunies, le paiement est autorisé.

Quels sont les points de vigilance ?

• Si la banque n’a pas exigé l’authentification forte alors qu’elle le devait, le client ne supporte aucune conséquence financière, sauf preuve de fraude de sa part. Il doit signaler l’opération dans un délai de 13 mois après le débit.
• Une banque ne demande jamais de code, de mot de passe ou de valider une opération par téléphone : les escrocs se font passer pour un conseiller.
• La banque doit proposer une solution qui n’exige ni téléphone connecté ni surcoût.

À consulter aussi dans le lexique

• Auto-certification fiscale
• Assiette successorale
• Autoliquidation de la TVA
• Assiette fiscale
• Avantage en nature
• Assiette de l’IFI

See also