DSP2 : l'authentification forte sans smartphone

Votre banque veut vous faire installer son application pour valider vos paiements, alors que vous n'avez pas de smartphone, que le vôtre est trop ancien ou que vous refusez simplement d'y mettre une appli bancaire ? Vous n'êtes pas coincé. La règle européenne, dite DSP2, impose une double vérification de votre identité, mais elle ne vous oblige pas à posséder un téléphone connecté. Selon ABE Info Service, le site public d'information animé notamment par la Banque de France et l'ACPR, votre banque doit vous proposer au moins une autre solution sans surcoût : un code reçu par SMS ou par serveur vocal associé à un code personnel, ou un boîtier. Ce guide détaille ces solutions, explique pourquoi votre banque vous fait valider si souvent et ce qu'elle vous doit si une opération passe sans votre accord.

Sans smartphone ou sans appli : votre banque doit proposer une autre solution

L'authentification forte repose sur deux facteurs indépendants, choisis parmi trois catégories : ce que vous savez (un code), ce que vous possédez (un téléphone, un boîtier, votre carte) et ce que vous êtes (une empreinte, votre visage). La Banque de France constate que, dans la grande majorité des cas, la banque passe par son application mobile, installée sur un téléphone enregistré, que vous déverrouillez avec un code ou votre empreinte.

C'est la solution la plus répandue, pas la seule autorisée. ABE Info Service l'écrit sans détour : « Si vous ne possédez pas un téléphone compatible ou ne souhaitez pas l'utiliser, votre banque doit vous proposer au moins une autre solution sans surcoût. » Les banques se sont aussi engagées, au sein de l'Observatoire de la sécurité des moyens de paiement, à proposer plusieurs dispositifs, en particulier pour les personnes qui n'ont pas de smartphone. Un refus de principe, du type « c'est l'application ou rien », ne correspond donc pas à ce qu'attendent les autorités.

Code SMS avec code personnel ou boîtier : les deux alternatives

Le SMS ou le serveur vocal, couplé à un code personnel. Ce n'est plus le simple code SMS d'autrefois. Lors d'un paiement, vous saisissez dans deux champs différents un code à usage unique, reçu par SMS ou par appel vocal, et un code personnel réservé à vos opérations en ligne, que la banque vous a communiqué à l'avance. Cette solution fonctionne avec un téléphone mobile simple, sans internet.

Le dispositif physique. Si vous n'avez pas du tout de téléphone mobile, la banque peut vous remettre un appareil dédié : un boîtier qui génère des codes (avec clavier), une clé USB d'authentification ou un lecteur de QR code. ABE Info Service précise que la banque doit aussi vous apporter l'aide technique nécessaire pour l'utiliser.

Demandez par écrit à votre conseiller, par la messagerie de votre espace client ou par courrier, la liste des solutions d'authentification forte autres que l'application mobile, avec leur prix éventuel.
Précisez votre situation : pas de smartphone, téléphone incompatible, ou refus d'installer l'application. Indiquez si vous avez un mobile simple (solution SMS) ou aucun téléphone (dispositif physique).
Gardez la réponse. Si la banque n'oppose que l'application, ou ne propose qu'une solution payante, adressez une réclamation écrite au service réclamations en citant l'obligation d'une solution sans surcoût.
Saisissez le médiateur de votre banque, gratuitement, si la réponse ne vous satisfait pas ou si vous n'avez rien reçu deux mois après votre réclamation écrite. Ses coordonnées figurent sur votre convention de compte.

Pourquoi votre banque vous fait valider si souvent

L'authentification forte s'applique quand vous accédez à votre compte en ligne, quand vous passez un paiement électronique et quand vous réalisez à distance une opération qui présente un risque de fraude, comme l'inscription d'un bénéficiaire sur votre liste de confiance. Votre identifiant et votre mot de passe ne constituent qu'un seul facteur : ils ne suffisent pas.

Pour la simple consultation du solde et des opérations récentes, la réglementation européenne permet à la banque de ne pas redemander la double validation à chaque connexion, à condition de la renouveler au moins tous les 180 jours. C'est une faculté, pas une obligation : une banque peut décider de vous la demander à chaque connexion. Pour les agrégateurs de comptes (applications de suivi de budget agréées), un règlement européen applicable depuis le 25 juillet 2023 oblige au contraire la banque, sous conditions, à ne pas redemander la validation à chaque synchronisation, avec un renouvellement tous les 180 jours.

Paiement en ligne : quand la validation est exigée

Pour un achat par carte sur internet, l'authentification forte passe par le 3D Secure : une page de votre banque s'ouvre et vous demande de confirmer. Certaines opérations peuvent en être dispensées, selon ABE Info Service :

les paiements à un bénéficiaire que vous avez inscrit sur une liste de confiance (l'inscription elle-même exige une authentification forte) ;
les paiements récurrents de même montant au même bénéficiaire, à partir du deuxième ;
les virements entre vos propres comptes dans le même établissement ;
les petits paiements, jusqu'à 30 euros, dans une limite de montant cumulé ou de nombre d'opérations successives ;
les paiements jugés à faible risque après analyse, et ceux que le commerçant déclenche sans votre présence.

Ces exemptions ne sont jamais un droit pour le site marchand : la banque qui a émis votre carte décide de les appliquer ou non. Une même boutique peut donc vous demander une validation un jour et pas le lendemain.

Fraude : quand la banque doit vous rembourser

La règle protège d'abord la victime. Pour une opération que vous n'avez pas autorisée, la banque doit vous rembourser immédiatement, au plus tard à la fin du premier jour ouvrable qui suit votre contestation, sauf si elle a de bonnes raisons de soupçonner une fraude de votre part. Elle doit rembourser les sommes débitées, mais aussi les frais d'incident liés. Le délai pour contester est de 13 mois.

L'authentification forte pèse lourd dans ce calcul. Selon le Code monétaire et financier (article L133-19), si l'opération a été réalisée sans que votre banque ait exigé une authentification forte, vous ne supportez aucune conséquence financière, sauf agissement frauduleux de votre part. La Cour de cassation l'a rappelé le 30 août 2023 (chambre commerciale, n° 22-11.707) : le juge doit vérifier si la banque a exigé l'authentification forte avant d'écarter le remboursement.

En cas de perte ou de vol de votre carte, une franchise de 50 euros au maximum peut rester à votre charge pour les opérations passées avant l'opposition ; après l'opposition, plus rien. La situation change si vous avez commis une négligence grave, par exemple en communiquant vos codes. La banque doit alors le prouver, mais si elle y parvient, elle n'a pas à vous rembourser : la Cour de cassation l'a jugé le 15 janvier 2025 dans une affaire d'hameçonnage (n° 23-13.579).

Un faux conseiller vous demande de valider ? Raccrochez

L'escroquerie au faux conseiller bancaire repose précisément sur l'authentification forte : un appel ou un SMS se présente comme votre banque, annonce une opération suspecte et vous demande de « l'annuler » en validant dans l'application ou en dictant un code. Valider ou communiquer un code peut ensuite être qualifié de négligence grave et vous priver du remboursement. Ne validez jamais une opération que vous n'avez pas lancée vous-même, raccrochez et rappelez vous-même votre banque au numéro que vous connaissez. Nos conseils pour reconnaître le phishing bancaire détaillent ces scénarios.

Si une opération inconnue apparaît malgré tout sur votre relevé, faites opposition sans attendre, signalez la fraude sur la plateforme Perceval, puis contestez chaque opération par écrit auprès de votre banque. Notre guide de la sécurité de la banque mobile complète ces réflexes.

Vos questions sur l'authentification forte

Existe-t-il une banque qui n'impose pas son application pour l'authentification forte ?

Toutes les banques doivent, selon ABE Info Service, proposer au moins une solution sans surcoût autre que l'application mobile, comme un code SMS associé à un code personnel ou un boîtier. Demandez-la par écrit à votre banque actuelle avant d'envisager d'en changer.

Comment payer en ligne sans numéro de téléphone ?

Demandez à votre banque un dispositif physique : boîtier générateur de codes, clé USB d'authentification ou lecteur de QR code. C'est l'alternative prévue pour les personnes qui n'ont pas de téléphone mobile.

Un code à six chiffres suffit-il pour se connecter à son compte ?

Non, ce code n'est qu'un des deux facteurs exigés. La banque doit y ajouter un second facteur, comme une validation sur téléphone ou un code SMS, au moins tous les 180 jours pour la consultation du compte et à chaque opération sensible.

La validation sur téléphone à chaque connexion est-elle imposée par la réglementation ?

Pas à chaque connexion : pour consulter le solde et les opérations récentes, la banque peut ne la demander que tous les 180 jours, mais elle a le droit d'être plus stricte. Pour les agrégateurs de comptes agréés, en revanche, elle ne doit plus l'exiger à chaque synchronisation depuis le 25 juillet 2023.

La banque doit-elle rembourser un paiement frauduleux passé sans authentification forte ?

Oui. Sauf fraude de votre part, vous ne supportez aucune conséquence financière quand la banque n'a pas exigé d'authentification forte, et la Cour de cassation impose au juge de vérifier ce point.

Peut-on acheter sur un site sans validation sur son téléphone ?

Oui, quand votre banque applique une exemption : petit montant, abonnement déjà validé, bénéficiaire de confiance ou paiement jugé peu risqué. C'est elle qui décide, pas le site, et une opération non autorisée passée sans authentification forte doit vous être remboursée.

Qui est responsable si la carte est utilisée frauduleusement avec le code confidentiel ?

Après une perte ou un vol, une franchise de 50 euros au plus peut rester à votre charge jusqu'à l'opposition, puis plus rien. Tout reste à votre charge si la banque prouve une négligence grave, comme un code noté avec la carte ou communiqué à un tiers.

Que peut faire votre banque si vous avez été victime d'une arnaque ?

Si l'opération n'a pas été autorisée, elle doit vous rembourser au plus tard le premier jour ouvrable suivant votre contestation. Si vous avez vous-même validé l'opération ou donné vos codes, elle peut refuser en invoquant une négligence grave, qu'elle doit prouver ; contestez alors par écrit, puis devant le médiateur.

Questions fréquentes

Qu'est-ce que l'authentification forte imposée par la DSP2 ?

C'est une vérification de votre identité qui combine au moins deux facteurs de catégories différentes : ce que vous savez (mot de passe, code), ce que vous possédez (téléphone, boîtier, carte) et ce que vous êtes (empreinte, visage). La deuxième directive européenne sur les services de paiement, dite DSP2, l'impose pour accéder à votre compte en ligne et pour les paiements électroniques, sauf exemption. Le but : qu'un mot de passe volé ne suffise plus à vider un compte.

Le 3D Secure est-il la même chose que l'authentification forte ?

Le 3D Secure est le dispositif qui permet d'appliquer l'authentification forte aux paiements par carte sur internet. Au moment de payer, une page de votre banque s'affiche et vous demande de confirmer l'achat, le plus souvent dans votre application bancaire, ou par un code SMS associé à un code personnel, ou encore avec un boîtier. C'est votre banque, et non le site marchand, qui choisit de demander ou non cette validation.

Combien de temps avez-vous pour contester un paiement que vous n'avez pas fait ?

Un paiement frauduleux ne peut plus être remboursé s'il date de plus de 13 mois. Signalez-le donc dès que vous le repérez sur votre relevé. Une fois la contestation reçue, la banque doit vous rembourser immédiatement et au plus tard à la fin du premier jour ouvrable suivant, sauf si elle a de bonnes raisons de soupçonner une fraude de votre part.

Faut-il valider chaque mensualité d'un abonnement ?

Non. Pour une série de paiements de même montant au même bénéficiaire, seule la première opération exige en principe une authentification forte : les suivantes peuvent en être dispensées. L'exemption reste une possibilité, pas une obligation : votre banque peut décider de vous demander une validation si elle estime l'opération risquée.

Que faire en cas de fraude à la carte bancaire ?

Faites immédiatement opposition sur votre carte, puis signalez la fraude sur Perceval, le service public en ligne de signalement des fraudes à la carte bancaire, qui vous remet un récépissé. Contestez ensuite par écrit chaque opération auprès de votre banque, en joignant ce récépissé. Notez la date de chaque démarche : elle compte si la banque tarde à rembourser.