L’essentiel
- L’authentification forte combine au moins deux éléments distincts : connaissance, possession ou caractéristique biométrique.
- Une connexion, un paiement en ligne ou l’ajout d’un bénéficiaire peut déclencher une validation renforcée.
- Un code SMS prouve généralement l’accès à un numéro, mais ne constitue pas toujours une authentification forte à lui seul.
- Les exemptions autorisées expliquent qu’une validation ne soit pas demandée pour chaque paiement ou connexion.
- Ne communiquez jamais un code et ne validez pas une opération que vous n’avez pas vous-même initiée.
- En cas d’échec, passez par les canaux officiels de la banque et vérifiez le statut de l’opération avant de la recommencer.
L’authentification forte bancaire consiste à confirmer votre identité avec au moins deux éléments appartenant à des catégories différentes. La banque peut la demander lorsque vous consultez votre compte en ligne, payez sur un site marchand ou réalisez une action sensible. Cette validation réduit le risque qu’un tiers agisse avec un seul mot de passe ou les seules données de votre carte.
La demande n’apparaît pas nécessairement à chaque opération : des exemptions sont prévues et la banque applique aussi ses propres contrôles de sécurité. Si une notification vous demande de valider un paiement ou une connexion que vous n’avez pas lancé, refusez-la. Un code ou une approbation dans l’application peut autoriser une opération réelle, et pas seulement vérifier que votre compte fonctionne.
Que signifie l’authentification forte prévue par la DSP2 ?
La DSP2, directive européenne sur les services de paiement, encadre l’authentification forte du client. Le principe est de combiner au moins deux éléments indépendants parmi trois catégories : quelque chose que vous connaissez, quelque chose que vous possédez et quelque chose que vous êtes. La banque doit protéger ces éléments afin que la compromission de l’un ne suffise pas à compromettre automatiquement l’autre.
| Catégorie | Exemples | Ce que cela vérifie |
|---|---|---|
| Connaissance | Code confidentiel ou mot de passe | Vous connaissez une information censée rester secrète. |
| Possession | Téléphone enregistré, application bancaire ou dispositif de sécurité | Vous avez accès à un appareil ou à un moyen associé à votre compte. |
| Inhérence | Empreinte digitale ou reconnaissance faciale | Une caractéristique physique ou comportementale vous correspond. |
Une validation peut se dérouler sur un seul téléphone tout en mobilisant deux facteurs. L’application bancaire peut être liée à l’appareil, ce qui atteste sa possession, puis demander un code confidentiel ou une empreinte pour confirmer l’action. En revanche, le fait de saisir deux fois un code ne transforme pas ces saisies en deux facteurs différents.
La biométrie ne signifie pas que la banque reçoit nécessairement une copie de votre empreinte ou de votre visage. Sur un téléphone compatible, la comparaison est généralement réalisée par l’appareil, qui transmet ensuite à l’application un résultat de vérification. Le fonctionnement précis dépend toutefois de la configuration de votre téléphone et du service bancaire utilisé.
Dans quels cas la banque demande-t-elle une validation forte ?
Pour accéder au compte ou modifier un réglage
La banque peut demander une authentification forte lorsque vous vous connectez à votre espace en ligne, notamment après une période d’inactivité, depuis un nouvel appareil ou dans un contexte qu’elle juge inhabituel. Elle peut aussi la demander pour consulter certaines informations sensibles ou modifier un numéro de téléphone, un mot de passe ou un réglage de sécurité. Ces contrôles servent à limiter les prises de contrôle de compte.
Une validation supplémentaire peut également être nécessaire pour enregistrer un nouveau bénéficiaire, lancer un virement ou modifier une limite de paiement. L’ajout d’un bénéficiaire n’est pas un paiement en soi, mais il peut préparer un transfert d’argent. La banque peut donc sécuriser cette étape au titre de ses obligations et de ses mesures de prévention de la fraude.
Pour payer en ligne ou confirmer une opération
Lors d’un achat sur internet, le commerçant peut vous rediriger vers une page de validation de votre banque, ou vous demander d’ouvrir l’application bancaire. La validation porte alors sur une opération précise. Avant de confirmer, contrôlez au minimum le montant, le nom du commerçant et, si l’écran l’affiche, la devise. Une demande qui ne correspond pas à l’achat que vous venez de faire ne doit pas être approuvée.
La vérification peut aussi concerner un paiement mobile, l’enregistrement d’une carte dans un portefeuille numérique ou une opération déclenchée par un service tiers. Les écrans et les mots employés varient selon les banques. Si vous découvrez les options de votre carte, les usages du paiement mobile sont détaillés dans notre guide sur l’ajout d’une carte à Apple Pay ou Google Pay.
Application, code SMS et biométrie : quelles différences ?
Les banques proposent plusieurs méthodes, parfois combinées. Une notification dans l’application peut afficher les détails d’un paiement et vous demander de le confirmer avec votre code ou votre biométrie. Un code à usage unique reçu par SMS sert généralement à démontrer que vous avez accès au numéro de téléphone enregistré. Il ne suffit pas nécessairement à lui seul à constituer deux facteurs distincts.
| Méthode | Fonction habituelle | Point de vigilance |
|---|---|---|
| Application bancaire | Affiche une demande et permet de l’approuver ou de la refuser. | Vérifiez le montant, le bénéficiaire ou l’action présentée. |
| Code SMS | Confirme l’accès au numéro de téléphone associé au compte. | Ne le dictez pas à un interlocuteur et ne le saisissez que dans le parcours officiel que vous avez initié. |
| Code confidentiel | Prouve que vous connaissez un secret lié à l’application ou au compte. | Choisissez un code difficile à deviner et ne le réutilisez pas ailleurs. |
| Empreinte ou visage | Déverrouille une application ou confirme une action sur un appareil compatible. | Protégez aussi le téléphone avec un code et gardez ses paramètres à jour. |
Un SMS n’est pas automatiquement frauduleux, mais son arrivée ne prouve pas non plus que l’opération est légitime. Un fraudeur qui a obtenu des données de carte peut tenter de vous faire transmettre le code ou de vous faire approuver une demande dans l’application. Saisissez le code uniquement dans la page ou l’application officielle liée à une action que vous venez d’engager.
La biométrie est pratique, mais elle ne dispense pas de protéger l’appareil. Si une autre personne connaît le code de déverrouillage du téléphone ou peut utiliser une empreinte enregistrée, elle pourrait accéder à certaines fonctions. Vérifiez qui peut enregistrer des empreintes ou un visage sur votre appareil et désactivez l’accès bancaire si vous pensez qu’il a été compromis.
Pourquoi la validation n’est-elle pas demandée à chaque fois ?
La réglementation prévoit des exemptions à l’authentification forte dans certaines situations. Elles peuvent notamment concerner certains paiements de faible montant, des paiements récurrents au même bénéficiaire après la première validation, un bénéficiaire que vous avez désigné comme fiable ou une opération considérée comme présentant un risque faible. Les conditions sont encadrées, mais la banque n’est pas tenue d’appliquer toutes les exemptions.
La banque peut donc vous demander une validation même lorsqu’un paiement ressemble à un achat habituel. Elle peut aussi accepter une opération sans nouvelle validation visible si une exemption s’applique. L’absence d’une demande ne signifie pas que le paiement n’a fait l’objet d’aucun contrôle : des vérifications de sécurité peuvent se dérouler en arrière-plan.
Une nouvelle demande peut apparaître après un changement de téléphone, la réinstallation de l’application, la suppression des données de l’appareil ou une mise à jour de sécurité. Un paiement inhabituel, une connexion depuis un nouvel appareil ou une modification récente du compte peut également déclencher un contrôle. La banque peut alors choisir de bloquer provisoirement l’action ou de réclamer une confirmation supplémentaire.
Demande absente ou demande répétée : comment l’interpréter ?
Pas de validation visible
- Une exemption peut s’appliquer à l’opération.
- La banque peut avoir effectué des contrôles en arrière-plan.
- L’absence de validation ne garantit pas qu’un paiement soit sans risque.
Nouvelle validation demandée
- Un nouvel appareil ou une modification du compte peut l’expliquer.
- Une opération inhabituelle peut nécessiter une vérification supplémentaire.
- Une demande que vous n’avez pas déclenchée doit être refusée et vérifiée.
Notre lecture : La fréquence dépend de l’opération, des exemptions applicables et des contrôles de la banque. C’est le contexte de la demande, et non sa fréquence seule, qui permet d’évaluer si elle est légitime.
Comment reconnaître une demande inattendue ou frauduleuse ?
Une notification non sollicitée peut résulter d’une erreur, d’une tentative de connexion ou d’une fraude. Si elle affiche un paiement, un virement, un ajout de bénéficiaire ou une connexion que vous n’avez pas initié, refusez-la sans attendre. Ne rappelez pas un numéro indiqué dans un SMS et ne suivez pas un lien reçu pour « annuler » l’opération.
Un fraudeur peut se faire passer pour le service de sécurité de la banque et prétendre qu’il faut lire un code, approuver une opération ou réaliser un virement de protection. La pression, l’urgence et la connaissance de quelques informations personnelles ne prouvent pas l’identité de l’appelant. Les techniques d’usurpation du numéro de votre banque peuvent rendre un appel crédible alors que la ligne affichée est trompeuse.
Avant d’approuver une demande
- Avez-vous vous-même lancé la connexion, le paiement ou la modification affichée ?
- Le montant, le bénéficiaire et le motif correspondent-ils exactement à votre action ?
- La demande apparaît-elle dans l’application officielle, ouverte depuis votre téléphone, et non depuis un lien reçu ?
- Quelqu’un vous demande-t-il de lui communiquer un code ou de valider pour annuler une fraude ? Si oui, interrompez l’échange.
- Avez-vous un doute ? Refusez, puis contactez la banque avec le numéro figurant sur votre carte ou vos documents bancaires.
Ne partagez jamais un code à usage unique, un mot de passe ou un code de confirmation avec un conseiller, un commerçant ou un proche. Ne validez pas une opération inconnue « pour aider » la banque à tester votre compte. Si vous avez saisi vos identifiants sur un faux site, suivez les mesures de protection décrites dans notre page sur le faux SMS ou courriel bancaire après un clic.
Que faire si la validation échoue ou si votre téléphone est indisponible ?
Un code refusé peut venir d’une erreur de saisie, d’un délai expiré, d’une application non à jour, d’une connexion instable ou d’un numéro de téléphone qui n’est plus le bon. Évitez d’enchaîner les essais au hasard : des tentatives répétées peuvent entraîner un blocage temporaire. Reprenez le parcours depuis l’application ou le site officiel et vérifiez que vous utilisez le dernier code reçu.
Reprendre la main sans créer de risque supplémentaire
1. Vérifiez l’opération
Lisez les détails affichés et vérifiez si le paiement ou la connexion a déjà abouti. Ne recommencez pas immédiatement un paiement dont le statut est incertain, afin d’éviter une opération en double.
2. Contrôlez votre appareil
Vérifiez la connexion, la date et l’heure automatiques, les mises à jour de l’application et le numéro de téléphone enregistré. Ouvrez l’application vous-même plutôt qu’en passant par une notification douteuse.
3. Utilisez une solution officielle
Si le SMS n’arrive pas ou si le téléphone est indisponible, recherchez dans l’application ou l’espace client une autre méthode proposée par la banque. À défaut, contactez-la au moyen d’un numéro figurant sur votre carte, un relevé ou un document contractuel.
4. Sécurisez le compte si nécessaire
Si vous avez perdu le téléphone, si votre numéro a été détourné ou si vous suspectez une prise de contrôle, demandez à la banque de sécuriser l’accès et les moyens de paiement concernés. Ne communiquez pas vos identifiants pendant un appel reçu sans l’avoir vérifié.
Si votre téléphone est cassé, volé ou remplacé, la banque peut devoir réassocier le nouvel appareil à votre compte. Elle peut demander une vérification d’identité ou proposer un autre canal, selon ses procédures. Un téléphone indisponible ne justifie pas de transmettre vos codes à une autre personne : demandez une solution officielle, même si cela retarde le paiement.
Si vous constatez un débit que vous n’avez pas autorisé, contactez rapidement la banque et faites opposition lorsque votre carte est concernée. Les opérations de paiement non autorisées doivent être signalées dans le délai applicable ; le délai de contestation prévu est de 13 mois à compter du débit. Les modalités de remboursement et les exceptions dépendent de la situation. Consultez notre démarche pour signaler une fraude à la carte et demander un remboursement.
Quelles vérifications faire pour protéger votre accès bancaire ?
L’authentification forte renforce la sécurité, mais elle ne remplace pas la vigilance face aux tentatives de manipulation. Une validation faite sur votre téléphone peut avoir des conséquences si vous approuvez l’action présentée sans la lire. De même, un code robuste protège moins si vous le réutilisez sur plusieurs services ou si vous le saisissez sur un faux site.
- Gardez l’application bancaire et le système du téléphone à jour, et verrouillez l’appareil avec un code que les autres ne connaissent pas.
- N’installez pas d’application de prise en main à distance à la demande d’un prétendu conseiller bancaire.
- Vérifiez les notifications de connexion et d’opération, sans suivre les liens qu’elles contiennent en cas de doute.
- Prévenez la banque si votre numéro change ou si un téléphone associé au compte est perdu.
- Examinez régulièrement les opérations du compte et signalez sans tarder celles que vous ne reconnaissez pas.
La banque doit utiliser une authentification forte dans les situations prévues par les règles de paiement, sous réserve des exemptions autorisées. Elle doit aussi protéger les moyens d’accès et traiter les contestations selon les règles applicables. De votre côté, vous devez préserver vos dispositifs de sécurité et signaler rapidement une opération non autorisée. En cas de désaccord persistant, adressez d’abord une réclamation écrite au service compétent de la banque, puis vous pouvez saisir gratuitement le médiateur bancaire désigné par celle-ci.
Questions fréquentes
L’authentification forte est-elle obligatoire pour chaque paiement en ligne ?
Non, une authentification forte n’est pas nécessairement demandée pour chaque paiement en ligne. La réglementation prévoit des exemptions encadrées, par exemple pour certaines opérations de faible montant ou certains paiements récurrents. La banque peut toutefois choisir de demander une validation supplémentaire selon le contexte ou son analyse du risque. Avant d’approuver une demande, vérifiez toujours qu’elle correspond au paiement que vous venez de lancer.
Un code reçu par SMS suffit-il à prouver mon identité ?
Pas toujours. Un code SMS prouve généralement que vous avez accès au numéro de téléphone qui reçoit le message, ce qui relève de la possession. L’authentification forte exige au moins deux éléments de catégories différentes. Selon le parcours bancaire, un autre élément peut être utilisé en complément. Ne transmettez jamais le code à un interlocuteur qui vous appelle ou vous écrit, même s’il affirme travailler pour la banque.
Pourquoi ma banque me demande-t-elle une validation pour me connecter ?
La banque peut renforcer le contrôle lors d’une connexion depuis un nouvel appareil, après une période d’inactivité ou si elle détecte un contexte inhabituel. Elle peut aussi appliquer ses mesures de sécurité à certains accès ou changements de réglages. Si vous n’avez pas tenté de vous connecter, refusez toute demande d’approbation et contactez la banque par un canal officiel pour vérifier si quelqu’un a essayé d’accéder à votre compte.
Que faire si je valide par erreur une demande que je ne reconnais pas ?
Contactez immédiatement votre banque depuis l’application ou un numéro officiel et indiquez précisément ce que vous avez approuvé. Demandez la sécurisation de l’accès et des moyens de paiement concernés, puis vérifiez les opérations et bénéficiaires récents. Conservez les SMS, notifications et échanges avec l’interlocuteur. Si un débit non autorisé apparaît, signalez-le sans tarder : une validation obtenue par manipulation doit être expliquée à la banque.
Puis-je payer en ligne sans mon téléphone bancaire ?
Cela dépend des solutions prévues par votre banque et du paiement concerné. Certaines banques proposent une autre méthode de validation, tandis que d’autres demandent de réassocier un appareil ou de faire vérifier votre identité. Consultez l’application ou l’espace client depuis un appareil sûr, ou appelez la banque avec des coordonnées officielles. Évitez de faire répéter un paiement si son statut est incertain, car il pourrait être débité deux fois.
La reconnaissance faciale de mon téléphone est-elle une authentification forte ?
La reconnaissance faciale peut constituer un élément biométrique, mais son utilisation seule ne suffit pas à une authentification forte qui exige deux catégories d’éléments. Une application peut la combiner avec la possession du téléphone enregistré. Le traitement biométrique dépend de l’appareil et de la configuration choisie. Protégez aussi le téléphone avec un code et vérifiez quelles personnes peuvent enregistrer un visage ou une empreinte sur celui-ci.
