Le paiement en ligne par carte suppose presque toujours une double vérification : c’est l’authentification forte, exigée par la directive européenne DSP2, avec un code reçu par SMS, une validation dans l’application de la banque ou une empreinte digitale. Pour les virements, la banque vérifie depuis le 9 octobre 2025 que le nom du bénéficiaire correspond à l’IBAN. Ces protections portent leurs fruits : le taux de fraude sur les cartes est à un plus bas historique, à 47 euros pour 100 000 euros de paiement. La fraude par manipulation, celle du faux conseiller, atteint en revanche 516 millions d’euros en 2025. Voici comment fonctionnent ces dispositifs, comment payer avec son téléphone et que faire en cas de fraude.
L’essentiel en six points
- Authentification forte : la directive DSP2 l’exige pour la majorité des paiements en ligne en Europe, généralement via le protocole 3D Secure.
- Paiement mobile : il repose sur la technologie sans contact NFC, et une carte sur cinq est déjà réglée avec un téléphone au point de vente.
- Virements : la vérification du bénéficiaire est gratuite et systématique depuis le 9 octobre 2025.
- Chiffres 2025 : 1,241 milliard d’euros de fraude aux moyens de paiement, dont plus de 40 % par manipulation, selon la Banque de France.
- Remboursement : une opération non autorisée doit être signalée à la banque au plus tard 13 mois après le débit.
- Code confidentiel : personne ne doit jamais vous le demander, quelle que soit la raison invoquée.
Paiement en ligne : ce qu’impose l’authentification forte
La directive européenne DSP2 exige une authentification forte, ou double authentification, pour la majorité des paiements en ligne. En France, elle passe surtout par 3D Secure, un système créé par Visa et Mastercard et déployé depuis 2008. Le paiement se déroule en deux étapes. Vous saisissez d’abord le numéro de la carte, sa date de validité et le cryptogramme de trois chiffres. Une fenêtre s’ouvre ensuite, aux couleurs de votre banque, pour confirmer votre identité.
Selon La finance pour tous, plusieurs procédés existent. Le plus courant est la notification dans l’application bancaire, validée par un code personnel, une empreinte digitale ou la reconnaissance faciale. Sans smartphone, l’authentification combine le mot de passe de l’espace client en ligne et un code à usage unique reçu par SMS. Certaines banques fournissent aussi un boîtier ou un lecteur de QR code qui génère le code. Le ministère de l’Économie décrit les mêmes trois familles : SMS avec code personnel, application mobile, appareil physique.
Quelques précautions évitent les blocages. Vérifiez que le numéro de téléphone affiché correspond bien à votre mobile, et prévenez votre banque si vous en avez changé. Après trois échecs de saisie du code reçu par SMS, la transaction est annulée et la carte est bloquée pour les sites 3D Secure. Les paiements sur des sites sans 3D Secure et chez les commerçants restent possibles, et il faut contacter la banque pour débloquer l’usage en ligne.
Vous n’aurez pas toujours de code à saisir. La finance pour tous explique que certains sites sont exemptés si leur taux de fraude est faible, pour des paiements inférieurs à un montant fixé entre le commerçant et sa banque, ou que des dépenses régulières sur un même site peuvent n’exiger l’authentification que de temps en temps. Une absence de code n’est donc pas forcément un dysfonctionnement.
Paiement mobile : NFC, applications et plafonds
Le paiement sans contact avec un téléphone utilise la même technologie NFC que la carte. Le téléphone doit en être équipé et la banque doit proposer un service de paiement mobile, avec des applications comme Apple Pay, Samsung Pay, Google Pay ou Paylib. Il faut ensuite enregistrer les données de sa carte dans l’application. Pour payer, on approche l’appareil du terminal du commerçant, qui affiche le pictogramme sans contact.
Selon le ministère de l’Économie, le paiement mobile n’est pas soumis au plafond de 50 euros qui limite la carte sans contact : seules s’appliquent les limites de la carte ou du compte bancaire. Les banques peuvent toutefois fixer un montant maximum d’achats cumulés par jour, par semaine ou par mois, et un nombre maximum de transactions consécutives. Pour réinitialiser ces plafonds, il faut effectuer une opération avec saisie du code confidentiel, un retrait ou un paiement.
L’usage progresse vite. Selon le rapport 2025 de l’Observatoire de la sécurité des moyens de paiement, publié par la Banque de France le 9 septembre 2026, 19 % des paiements de proximité par carte sont désormais réalisés avec un portefeuille mobile, soit un sur cinq. Au premier semestre 2025, le nombre de paiements mobiles avait augmenté de 41 %.
Virements : la vérification du bénéficiaire
Depuis le 9 octobre 2025, toutes les banques de la zone euro doivent proposer la vérification du bénéficiaire, prévue par le règlement européen 2024/886. Le service est gratuit. Quand vous saisissez un virement, instantané ou classique, votre banque interroge en temps réel celle du bénéficiaire pour vérifier que le nom saisi correspond à l’IBAN. Il vise à limiter l’usurpation d’identité, la manipulation de RIB et les erreurs de saisie.
La banque vous transmet l’un de quatre résultats. En cas de concordance exacte, le virement est exécuté. En cas de non-concordance, vous êtes informé avant l’exécution. En cas de concordance partielle, la banque indique le nom associé à l’IBAN pour que vous décidiez. Si la vérification est impossible, par exemple pour un problème technique, on peut abandonner ou continuer. Vous restez libre d’exécuter le virement, mais en connaissance de cause. Service-Public recommande de saisir des noms complets et exacts, sans tournure familière.
Depuis mai 2026, un fichier national des comptes signalés pour risque de fraude complète ce dispositif, précise la Banque de France. Le virement instantané a par ailleurs doublé en montant entre 2024 et 2025 et représente 17 % des virements émis.
Fraude : ce que disent les chiffres de 2025
Le rapport de l’Observatoire, publié le 9 septembre 2026, dresse un bilan contrasté. Le montant annuel de la fraude a progressé de 3,8 % pour atteindre 1,241 milliard d’euros, alors que le nombre d’opérations frauduleuses a reculé de 8 %, à 7,2 millions. Le taux de fraude sur la carte est au plus bas historique, à 47 euros pour 100 000 euros de paiement, et celui des paiements par carte sur internet a été divisé par deux depuis 2020. La Banque de France attribue ces progrès aux plans d’action de l’Observatoire.
Les fraudeurs s’adaptent. La fraude par manipulation, qui regroupe le faux conseiller bancaire, la fraude au Président et la substitution d’IBAN, atteint 516 millions d’euros en 2025, soit un peu plus de 40 % de la fraude totale. Sa part a doublé en quatre ans. Dans ce type d’escroquerie, c’est le client lui-même que l’on manipule pour qu’il valide une opération. Notre guide des arnaques en ligne et par téléphone détaille ces schémas.
Que faire en cas de fraude ou de perte de la carte
En cas de perte, de vol ou de fraude, faites opposition au plus vite. Trois voies sont possibles : appeler votre banque, passer par votre espace client ou l’application, ou joindre le service interbancaire d’opposition au 0 892 705 705. Ce numéro est surtaxé et ouvert 7 jours sur 7, 24 heures sur 24. Conservez le numéro d’enregistrement qui vous est communiqué. Vérifiez ensuite votre compte et déposez plainte si un paiement suspect apparaît. Si seules les coordonnées de la carte ont été détournées, la plateforme Perceval, accessible par FranceConnect, permet de signaler la fraude sans se déplacer.
Vous avez jusqu’à 13 mois après le débit pour demander le remboursement à votre banque. Une opération qui n’a pas été vérifiée par l’authentification forte ne doit pas être supportée par vous. La banque est tenue de la rembourser, sauf si elle prouve une négligence grave de votre part, comme un code inscrit au dos de la carte. En cas de perte ou de vol, la franchise maximale est de 50 euros. Elle ne s’applique pas dans plusieurs cas, dont l’utilisation de la carte à votre insu sans données de sécurité personnalisées ou une contrefaçon.
Sept conseils pour payer en sécurité
Le ministère de l’Économie donne sept conseils, mis à jour en septembre 2025.
- Activer la double sécurité : choisir avec sa banque SMS et code personnel, application mobile ou appareil dédié.
- Utiliser une carte virtuelle : certaines banques en proposent une, généralement gratuite, pour un montant ou une période donnés.
- Vérifier le « https » et le cadenas : c’est nécessaire mais pas suffisant, car ils prouvent seulement que la connexion est chiffrée.
- Se méfier des offres trop belles : lire les avis, comparer les prix, vérifier la réputation du site.
- Ne pas enregistrer ses coordonnées bancaires dans un navigateur ou une application.
- Éviter les Wi-Fi publics pour saisir un numéro de carte.
- Soigner sa sécurité numérique globale, avec des appareils à jour.
Notre guide du droit de rétractation rappelle vos recours après un achat en ligne, et notre guide sur les données personnelles explique comment limiter les fuites. Notre dossier sur le Black Friday et Noël arrive à la période où le paiement en ligne se multiplie. D’autres repères figurent dans la rubrique argent et aides.
Questions fréquentes
Qu’est-ce que l’authentification forte ?
C’est une double vérification imposée par la directive DSP2 pour la majorité des paiements en ligne. Elle prend la forme d’un code reçu par SMS, d’une validation dans l’application de la banque, d’une empreinte digitale ou d’une reconnaissance faciale.
Pourquoi mon paiement en ligne n’a-t-il demandé aucun code ?
Certains sites ou certaines transactions sont exemptés. C’est le cas quand le taux de fraude du commerçant est faible, pour des paiements inférieurs à un montant fixé entre le commerçant et sa banque, ou pour des dépenses régulières sur un même site.
Peut-on payer plus de 50 euros avec son téléphone ?
Oui. Le ministère de l’Économie indique que le paiement mobile n’est pas soumis au plafond de 50 euros de la carte. Les limites sont celles de la carte ou du compte, et celles que la banque fixe pour les achats cumulés.
La vérification du bénéficiaire d’un virement est-elle payante ?
Non, elle est gratuite et concerne les virements instantanés comme les virements classiques depuis le 9 octobre 2025.
Sous quel délai signaler une opération frauduleuse ?
Immédiatement, et au plus tard 13 mois après le débit. Faire opposition rapidement protège aussi contre un refus de remboursement fondé sur une négligence.