Le point sur la sécurité des paiements par carte de crédit
S'il était auparavant enfantin d'effectuer une opération sur le compte d'un autre, l'algorithme d'élaboration des numéros de carte ayant été livré sur des sites Internet, la généralisation du code de vérification au dos des cartes, chiffres indépendant du numéro de carte, a diminué sensiblement la fraude à grande échelle.
De plus, le processus de transfert de données en ligne est maintenant nettement mieux sécurisé, avec d'une part l'emploi des technologies de cryptage sur base de la technologie SSL et d'outils spécialement développés par les émetteurs de cartes de crédit, et d'autre part le recours à des sociétés spécialisées. Le cybercommerçant reçoit de celles-ci juste une autorisation ou non de transaction, et n'a donc pas connaissance des numéros de cartes de crédit des acheteurs, ce qui élimine le risque d'usage frauduleux par des employés malintentionnés ou par des personnes qui auraient piraté le site d'e-commerce.
Enfin, à côté de ces protections techniques, une protection juridique s'est ajoutée ces dernières années en Belgique.
La réglementation plafonne la responsabilité du consommateur à maximum 150 euros pour toutes les transactions qui auraient été effectuées via sa carte de crédit entre le moment de sa perte / vol et le moment où il avertit l'acquéreur de la carte (sauf en cas de faute grave ou de négligence de prévenir suffisamment rapidement). Ceci vaut pour les transactions qui auraient été effectuées avec la fourniture du code de vérification ou l'imitation de la signature envoyée par fax, c'est-à-dire lorsque la personne s'est appropriée la carte (dans le cas où une transaction aurait été enregistrée sans signature ni code de contrôle, c'est à dire juste avec la fourniture du numéro de la carte et de la date de validité, le détenteur lésé sera intégralement remboursé). A noter toutefois que seuls les particuliers sont protégés par la réglementation: ce plafond n'est donc pas d'application pour les cartes de crédit établies au nom d'une société. Celles-ci doivent donc être utilisées en ligne avec prudence, d'autant que le risque d'usurpation est augmenté dans un environnement où de multiples personnes peuvent connaître les numéros.
Une source importante de litiges provient de l'usage de cartes de crédit appartenant à des proches, à l'insu du titulaire. L'attention est attirée sur la pertinence pour le cybercommerçant de se réserver un maximum de preuves, quant à la réalité et la fiabilité de la transaction bien entendu, mais aussi quant à la réalité de la fourniture d'un produit ou d'un service et quant à l'identité du destinataire. Ainsi, quand le produit s'y prête, il est judicieux de (faire) recueillir une signature lors de la réception d'un colis. En effet, généralement dans les contrats standards, l' "acquéreur" de carte ne fournit aucune garantie de paiement.
En cas de contestation d'une opération par le titulaire d'une carte de crédit (répudiation) :
L'acquéreur peut se retourner auprès du cybercommerçant en lui demandant de montrer qu'il a bien eu une transaction en bonne et due forme et de communiquer à qui le produit ou service a été transmis. Même si l'opération a été acceptée automatiquement, l' "acquéreur" de la carte de crédit, en l'absence d'éléments probants de concordance d'identité entre le titulaire et le destinataire ou de précédents de fraude au niveau du titulaire, risque fort probablement de ne pas payer le commerçant qui aurait été imprudent de fournir un produit sans prendre de précautions! En effet, une obligation de prudence dans le chef du vendeur figure dans la plupart des contrats conclus avec les "acquéreurs" de cartes.
Certains "acquéreurs" proposent toutefois une formule plus sécurisée (par exemple: protocole 3D-Secure "Verified by Visa" et "MasterCard SecureCode". Ce dispositif peut être renforcé par l'obligation pour l'acheteur de s'authentifier en validant l'opération via l'interface de webbanking et son "digipass", comme cela se fait déjà en Belgique pour les clients de la banque FORTIS), sorte d'assurance qui garantit le paiement au commerçant jusqu'à un certain montant, mais uniquement dans le cas où le titulaire de la carte invoque pour unique motif ne pas avoir effectué la transaction et pour des cartes émises dans une zone intra-européenne. Cette formule optionnelle est donc recommandable.
Compte tenu des risques plus grands et de la plus grande difficulté de régler les éventuels litiges, il y a lieu de redoubler de prudence lors d'opérations à l'exportation. A noter aussi que le recours à des sociétés spécialisées en paiement électronique ne lève pas d'office ce risque: en effet le métier de celles-ci est de recueillir en ligne de façon sécurisée les données financières et non pas de contrôler l'identité de l'acheteur. Le message que le cybercommerçant reçoit après la transaction en ligne signifie simplement qu'il n'y a pas de dépassement de la limite de la carte de crédit indiquée et que la carte ne fait pas l'objet d'une opposition, mais celui-ci garantit absolument pas que le vendeur sera payé, dans le cas où l'acheteur n'est pas le titulaire de la carte, sauf si le cybercommerçant peut montrer qu'il n'est pas responsable et qu'il a pris des précautions minimales.
Rédacteur : Damien JACOB (octobre 2007)
Page précédente: Paiement en ligne
Page suivante: Quels modes de paiement choisir ?