PSD2 - Ce que les commerçants de la Wallonie doivent savoir sur la nouvelle réglementation

Quelques mois se sont écoulés depuis notre dernière mise à jour PSD2. Nous mettons à votre disposition les informations les plus récentes sur la PSD2, le SCA et ses exceptions, car ces dernières semaines, nous avons clarifié les questions en suspens, la manière dont elles devraient être traitées et la manière dont wallee les traite actuellement et les traitera à l'avenir.

Aperçu - Qu'en est-il de SCA / PSD2 ?

La PSD2 est une nouvelle exigence européenne visant à réduire la fraude et à renforcer la sécurité des paiements en ligne, qui impose la Second Factor Authentication (SCA). Cela signifie que les clients qui utilisent des cartes de crédit doivent non seulement saisir le numéro de la carte de crédit et la valeur de vérification de la carte (CVV), mais aussi ajouter un facteur supplémentaire (quelque chose qu'ils connaissent, possèdent ou sont). Vous trouverez de plus amples informations ci-dessous.

Les banques émettrices doivent commencer à refuser les paiements qui nécessitent des SCA et qui ne répondent pas à ces critères. Sur la base des derniers développements, nous nous attendons à une exécution tardive. Pour un aperçu, veuillez consulter notre dernier aperçu.

Quel est l'impact sur le traitement des paiements ?

Une authentification forte du client se compose de deux éléments indépendants. Ces éléments doivent être dérivés de deux des trois catégories suivantes : Connaissance, Possession et Inhérence. Voici quelques exemples : Mot de passe (connaissance), téléphone portable (possession) ou empreinte digitale (cohérence). Pour plus d'informations sur 2FA, consultez notre blog post PSD2. Pour les paiements en ligne par carte, ces exigences s'appliquent aux transactions pour lesquelles l'entreprise et la banque du titulaire de la carte sont toutes deux situées dans l'Espace économique européen (EEE).

La méthode la plus courante actuellement pour authentifier un paiement par carte en ligne est basée sur 3D Secure. 3D Secure ajoute une étape supplémentaire à la demande d'autorisation, puisque le commerçant est identifié par l'émetteur à l'aide d'un SMS-OPT, d'un mot de passe ou autre.L'industrie des cartes a travaillé d'arrache-pied à la révision de la norme 3D Secure afin de se conformer à l'exigence PSD2 et de profiter de l'occasion pour offrir une meilleure expérience utilisateur aux commerçants. 3DS 2.0 sera désormais introduit progressivement. Au cours des prochains jours, les commerçants Wallee qui traitent les cartes directement avec un acquéreur et non via une PSP passeront automatiquement à la nouvelle norme 3DS. Dès que l'émetteur supportera 3DS 2.0, la transaction sera automatiquement remise en question par la nouvelle norme.

Impact pour les commerçants Wallee

En tant que commerçant Wallee, vous n'avez aucun changement à faire, car nous activons automatiquement la 3DS 2.0. Cependant, si vous n'avez pas déjà activé la 3DS dans votre connecteur, il est possible que vous constatiez de nouvelles baisses de vos paiements, c'est pourquoi nous vous recommandons d'activer la 3DS dans votre connecteur.

Exceptions à l'authentification forte des clients

Beaucoup de choses ont été écrites et discutées au sujet des exceptions pour le SCA et de la manière dont elles peuvent être gérées. Il reste encore beaucoup de questions non résolues. Nous nous concentrerons donc sur les exceptions les plus importantes et sur la manière dont nous les gérons. Veuillez noter qu'en cas d'exemption, la responsabilité est entièrement transférée aux commerçants. Il est fort probable qu'ils ne soient pas en mesure de lutter contre les rejets de débit non liés à la fraude (charge back). Le Conseil européen des paiements part du principe qu'"en cas de paiement [non autorisé], le payeur peut exiger le remboursement intégral de son PSP s'il n'y a pas eu de mesure SCA et si le payeur n'a pas agi de manière frauduleuse".

Paiements inférieurs à 30

Les transactions de faible valeur sont en principe exemptées. Ce n'est toutefois pas si simple, car les émetteurs doivent toutefois demander une authentification si l'exemption a été utilisée cinq fois depuis la dernière authentification réussie du titulaire de la carte ou si le total des paiements précédemment exemptés dépasse 100 euros. Par conséquent, tous les émetteurs suivront le nombre d'exemptions et décideront si une authentification est nécessaire.

Impact pour les commerçants Wallee

Nous vous recommandons d'activer 3DS pour tous vos connecteurs ainsi que pour les transactions de faible valeur. Nous essaierons automatiquement de faire usage de cette dérogation. Comme nous l'avons déjà mentionné, il peut toujours arriver que des clients soient mis au défi, même pour des transactions de faible valeur.Enfin, vous perdez le report de responsabilité pour toutes les transactions exemptées. En d'autres termes, vous êtes responsable de toutes les rétrofacturations liées à la fraude pour les transactions exemptées. Si vous obtenez une exemption, vous perdez également la possibilité de transférer la responsabilité à l'émetteur.

Transactions initiées par les commerçants (MIT)

Les paiements avec jetons, lorsque le client n'est pas présent dans le processus de caisse, peuvent être qualifiés de transactions initiées par le commerçant. Comme le client n'est pas présent dans le cas d'application de l'abonnement (montant fixe ou variable), un défi du deuxième facteur ne peut pas être réalisé. Dans de tels cas, ces paiements n'entrent pas, d'un point de vue technique, dans le champ d'application du SCA. Au sens strict, la DSP2 ne s'applique pas à ces types de paiement, mais pour des raisons de simplicité, nous les traitons ici comme des exceptions.

Veuillez noter qu'après le 14 septembre, si vous créez des jetons de commerçant destinés à être utilisés par le MIT, vous devrez vous assurer d'appliquer le SCA lors de la création du jeton. Enfin, vous devrez obtenir l'accord du client (également appelé "mandat") pour recharger sa carte à une date ultérieure.

Impact pour les commerçants Wallee

En se basant sur le contexte de l'API Wallee, vous indiquez sur l'objet de la transaction si le client est présent ou non. Ces informations nous aident à marquer la transaction comme MIT et à demander une exemption. Pour les paiements en un clic,où vous conservez simplement la carte à la caisse pour une utilisation plus rapide, vous constaterez que SCA entrera en vigueur dès que le règlement sera en vigueur.

Paiement MOTO

Les données de carte collectées et enregistrées par téléphone n'entrent pas dans le champ d'application du SCA et ne nécessitent pas d'authentification. Comme pour les paiements exemptés, les transactions MOTO doivent être identifiées comme telles - la banque du titulaire de la carte prenant la décision finale d'accepter ou de refuser la transaction.

Que se passe-t-il si une exemption n'est pas acceptée ?

Il est important de comprendre que c'est l'émetteur, et non l'autorité de surveillance, qui a le dernier mot sur les exceptions. Les banques renvoient de nouveaux codes de refus pour les paiements qui ont échoué en raison d'un manque d'authentification. Ces paiements doivent alors être transmis à nouveau au client en lui demandant une authentification forte du client.

Impact pour les commerçants Wallee

Si nous recevons un refus mou de la part d'un émetteur, nous disposons des instruments correspondants avec des charge flows. En d'autres termes, dans le cas de MIT, le commerçant reçoit, sur la base de la configuration, un e-mail de charge flow pour mettre à jour ses informations de paiement et effectuer une transaction SCA qui sera [espérons-le] acceptée par l'émetteur.

"One leg out" transactions

Spécialement pour nos commerçants suisses, quelques mots sur l'applicabilité de la PSD2 en Suisse. Le SCA n'est nécessaire que si la banque émettrice du titulaire de la carte et l'acquéreur du commerçant sont tous deux situés dans l'EEE. Si l'une de ces parties est située en dehors de l'EEE, la règle SCA ne s'applique pas. Il a également été précisé que seule la localisation géographique de la banque acquéreuse et émettrice est pertinente, et non celle du payeur ou du commerçant. Ce qui semble très bien à première vue comporte aussi de grands risques à deuxième vue. Certains émetteurs peuvent ne pas disposer de la logique nécessaire pour identifier ce type de situation, en particulier à court terme après l'entrée en vigueur du règlement. Nous recommandons donc aux négociants ayant une large clientèle internationale de s'attaquer à ces transactions avec 3DS.

Résumé

Il y a beaucoup de confusion autour de la PSD2. Les récents rapports et les réactions des régulateurs ne contribuent pas à la clarté. Nous pensons que l'on fait trop de cas des exceptions. Comme on s'attend à ce que la 3DS 2.0 réduise considérablement la fréquence à laquelle il est demandé à un titulaire de carte d'être un participant actif au processus d'authentification, le niveau de friction sera également réduit de manière drastique.

Compte tenu de tous les éléments de données supplémentaires dont disposent les émetteurs pour informer en arrière-plan les décisions fondées sur le risque, il convient de supposer que, si un défi est nécessaire pour le titulaire de la carte, suffisamment de signaux/indicateurs ont été placés pour susciter des inquiétudes. En d'autres termes, si l'émetteur soupçonne une fraude, il s'agit probablement d'une fraude. Alors pourquoi ne pas utiliser cet algorithme de risque intégré tout en protégeant votre entreprise contre les pertes potentielles dues à la fraude ?

Nous faisons continuellement de notre mieux pour remettre régulièrement en question la manière dont nous gérons les transactions avec les leaders du secteur, afin d'améliorer les taux d'autorisation et de réduire les efforts des commerçants.

Nouveau à wallee

Si vous n'avez pas de compte wallee, vous pouvez facilement commencer à en créer un.

Soutien

Si vous avez d'autres questions, n'hésitez pas ànous contacter.

‍