E-commerce :

La sécurisation des paiements en ligne : Etats des lieux, risques, innovations

1 : La fraude aux paiements : Etat des lieux

Principal frein pour les consommateurs désireux d’acheter sur Internet, la fraude aux paiements en ligne, comme l’insécurité, n’est pas qu’un « sentiment ». En France, entre 2006 et 2010, le montant total des fraudes aux paiements (retrait, paiements à distance, paiements de proximité) est passé de 110 à 164 millions d’euros. Sur les paiements à distance (internet, courrier et téléphone), les montants de la fraude sur la même période sont passés de 33 à 101 millions d’euros. Concernant les paiements sur Internet, les montants des paiements frauduleux sont passés de 13 à 74 milliards d’euros. Telle est la vérité des chiffres issus du Rapport annuel 2010 (paru en juillet 2011) de l’Observatoire de la sécurité des Cartes de Paiement. Peut-on cependant se contenter de ce constat pour le moins alarmiste ? Selon nous, ces chiffres sont par trop réducteurs.

En effet, livrés ainsi, ces statistiques masquent une partie de la réalité : celle de la transformation profonde des échanges et de la sécurité réelle des transactions réalisées en ligne.

Un examen plus détaillé de ces chiffres, et l’adjonction d’autres données (issues des rapports annuels de la Fevad) à l’équation, nous permet de modifier le prisme au travers duquel ce constat doit être lu : le prisme commercial.

Tout d’abord, rappelons que le montant des transactions à distance, et des paiements afférents, a littéralement explosé entre 2006 et 2010, passant de 18,6 à 36,2 milliards d’euros. Cette explosion s’est accompagnée d’une inversion complète de tendance entre la VAD traditionnelle (courrier et téléphone) et le commerce en ligne (Internet). Leurs chiffres d’affaires respectifs sont passés, sur le période, de 7 à 5,2 milliards d’euros (VAD) et de 11,6 à 31 milliards d’euros (e-commerce). Toujours entre 2006 et 2011, le montant de la fraude au paiement sur internet est passé de 13 à 74 millions d’euros (dans un marché en croissance), tandis que la fraude sur la VAD classique passait de 20 à 27 millions d’euros (dans un marché en décroissance).

Et, globalement, le montant des fraudes sur la VAD classique a évolué de 0,29% à 0,52% des montants totaux des paiements, alors que pendant le même temps, le montant des fraudes sur les paiements en lignes ne passait que de 0,11% à 0,24%.

Donc, face à un quasi-doublement du chiffre d’affaires généré par le commerce électronique, le taux de fraude (dans le rapport CA / montant total de la fraude) a moins que doublé, alors qu’il continue à croître (en volume et en proportion) sur des canaux qui génèrent de moins en moins de CA.

La conclusion est donc évidente : les transactions électronique restent plu sûres que les transactions par courrier et par téléphone. Il n’en demeure pas moins que, même s’il est impossible de parvenir au « zéro fraude », l’objectif des VADistes (par la mise en place de systèmes de sécurisation des transactions), des pouvoirs publics (par la mise en place de réglementations adéquates) et des consommateurs (par des comportements plus « sécuritaires ») doit être de diminuer ces « mauvais chiffres ».

Typologie de la fraude

Comme pour toutes les années précédentes, l’usurpation de numéro de carte demeure toujours la première technique de fraude sur Internet (voir graphique ci-contre). Cette tendance, désormais lourde puisque cette typologie de fraude représente pour 2010, 60% de la valeur de l’ensemble des fraudes à la carte constatées, intéresse au premier plan les e-commerçants et les VADistes. En effet, ce type de fraude, comme le relève le rapport est utilisé « pour les paiements frauduleux à distance ». Nous sommes bien ici face au revers du succès de la vente à distance : plus de ventes, donc, plus de fraudes...

2 : La sécurisation des paiements sur Internet : Etat de l’Art

2010 aura essentiellement été l’année des bilans, notamment en ce qui concerne l’efficacité et l’ergonomie des solutions d’identification non rejouable, dont l’Observatoire de la sécurité des cartes de paiement avait recommandé « la généralisation progressive (...) pour les paiements sur Internet à chaque fois que cela était possible et pertinent, afin de permettre au commerçant d’être assuré de l’authenticité de la carte et du porteur, ainsi que du consentement de celui-ci ». Il n’en reste pas moins que la sécurité des paiements sur Internet nécessite une triple vigilance : de la part des banques, de la part des commerçants, et de la part des consommateurs.

Des banques qui « jouent le jeu »

La recommandation de l’Observatoire a été suivie d’effet en 2010, puisque la quasi-totalité des banques ont achevé le déploiement de ces dispositifs en juin 2010. Notons que parmi les solutions envisageables pour la mise en place d’un dispositif d’authentification non rejouable (mail, token, lecteurs de cartes...), c’est le SMS qui a recueilli le plus de suffrages.

De commerçants « en attente »

L’Observatoire note, au sujet des e-commerçants, que « le déploiement des dispositifs d’authentification reste limité mais devrait être plus visible en 2011 ». En effet, seuls la moitié des e-commerçants est actuellement équipée de dispositifs d’authentification du porteur de carte lors du paiement (de type 3D-Secure). Mais il convient de noter que ce ne sont que très rarement (voire jamais) les plus importants en terme de chiffre d’affaires, puisqu’ils ne représentent qu’environ 10 % des transactions et 15 % du chiffre d’affaires.

L’Observatoire a mené un certain nombre d’études sur cet attentisme. Dans les faits, il ressort de ces enquêtes que « les commerçants considèrent que cette technologie n’est pas à ce jour assez mature pour être généralisée, et qu’une démarche de mise en œuvre progressive et proportionnée, basée sur une approche par les risques, est à privilégier afin de lutter efficacement contre la fraude sans pénaliser le développement du commerce en ligne en France ». Logique : le coût et la complexité technique du déploiement de ces dispositifs a freiné les ardeurs des plus petits...

Des consommateurs sereins

Le consommateur est en quelque sorte la clé de voûte du système de sécurité des transactions. En complexifiant les systèmes de sécurité des paiements en ligne, le risque était grand d’assister à une explosion des abandons de paniers. Cela ne semble pas avoir été le cas...

En préambule, notons que les Français font confiance au paiement en ligne : 77% d’entre eux n’éprouvent pas d’inquiétude en réalisant un achat sur Internet avec leur carte bancaire, même si « une légère appréhension peut subsister ». Détail intéressant : « les personnes ayant déjà utilisé au moins un système d’authentification se montrent moins inquiètes que la moyenne : elles ne sont que 19 % tous systèmes confondus, et même 17 % en cas d’utilisation d’un système d’authentification forte27, à se dire inquiètes contre 28 % des personnes n’ayant jamais utilisé le moindre dispositif d’authentification ».

Pour s’en assurer, l’Observatoire a fait mener une étude quantitative par l’institut de sondage Harris Interactive auprès de 1 000 personnes de 16 ans et plus résidant en France métropolitaine. Cette étude avait notamment pour objectif de déterminer la perception que les acheteurs en ligne avaient des six principaux systèmes d’authentification :

– saisie de la date de naissance comme identifiant de l’acheteur ; – réponse à une question secrète ; – saisie d’un code d’authentification envoyé par la banque par SMS et unique à chaque transaction ; – saisie d’un code d’authentification généré par un mini-lecteur de carte fourni par la banque du porteur ; – saisie d’un code d’authentification unique généré par un token ; – utilisation combinée d’une carte matricielle et d’un second code reçu par e-mail ou SMS.

Les résultats de cette enquête font apparaître des tendances lourdes :

  80% des acheteurs en ligne connaissent l’existence de ces dispositifs, ce taux montant à 86% chez les acheteurs en ligne régulier (un achat par mois et plus) ;
  moins de la moitié des cyberacheteurs (46%) a cependant été informé par sa banque de ces dispositifs de sécurisation ;
  une fois la première utilisation effectuée, les acheteurs en ligne les considèrent faciles à utiliser (seuls 10 % d’entre eux considèrent les dispositifs d’authentification forte difficiles à utiliser.

A noter que les mini-lecteurs de carte et les cartes matricielles sont désignés come les plus complexes d’utilisation, mais ils sont également les moins répandus...

Globalement, donc, les dispositifs d’authentification sont connus et ne font pas peur aux consommateurs. Les craintes que nous relevions donc il y a un an, exprimées par nombre de e-commerçants, relatives aux risques d’augmentation de l’abandon des paniers, ne semblent donc plus fondées...au moins pour les plus aguerris des cyberacheteurs.

Une tendance que vient confirmer le rapport de l’Observatoire.

L’absence de pénalisation des ventes

Cette question fut l’objet de nombreux débats : le renforcement de la sécurisation des transaction en ligne, et l’alourdissement des processus d’achat qui en découlerait nécessairement, ne risquaient-ils pas d’entraîner de nombreux abandons de paniers en cours de paiement. L’enquête de l’Observatoire fait en effet apparaître deux tendances complémentaires.

D’une part, les internautes ne jugent pas les dispositifs handicapants dans la mesure où le sentiment de sécurité des transactions en ligne se trouve, pour 76% d’entre eux, renforcé. Ce sentiment est très important (97%) pour les solutions de sécurisation complexe comme le token, mais également pour des dispositifs plus simples comme l’envoi d’un code confidentiel par SMS (94%).

D’autre part, les internautes considèrent la sécurité des transactions comme un argument commercial particulièrement efficace. En effet, l’enquête note que 19 % des internautes interrogés « déclarent que ces nouveaux dispositifs sont susceptibles de les amener à acheter davantage sur Internet. », tandis que 17 % déclarent « qu’ils feront leurs achats exclusivement sur des sites d’e-commerce présentant un tel dispositif et 54 % qu’ils les favoriseront, même s’ils pourront continuer à acheter sur un site n’en proposant pas ».

En revanche, 28 % déclarent qu’ils ne prêteront pas une attention particulière à la mise en place ou non de ces dispositifs sur les sites qu’ils fréquentent... Comme quoi, finalement, le cyberacheteur est peut-être le maillon faible dans la chaîne de la sécurité des transactions en ligne.

Interviews croisées

VAD & E-commerce : E-paiement et multicanal : quels constats, quels enjeux, quelles solutions ?

Pour Laurent Bailly, Directeur Marketing de Buyster : le constat est simple. L’e-paiement est un outil de l’e-commerce. « Aujourd’hui, nous ne sommes plus cantonné à un support le PC, mais plusieurs terminaux. L’e-commerce se développe sur le mobile où le consommateur peut acquérir, outre des applications, des biens et des services. » Et selon lui, les chiffres parlent d’eux-mêmes. En effet, plus de 13 millions de français sont équipés en smartphone et en 2014 se vendra plus de smartphone en Europe de l’est que de téléphones classiques. « En parallèle, note ce dernier, l’arrivée des tablettes, se rapproche, en termes d’usages aux mobiles ». A noter également que 4 millions de français ont acheté sur mobile pour un chiffre d’affaires de 500 millions d’euros. Un engouement ? « Non, répond Laurent Bailly, une tendance de fond puisque certains e-commerçants comme VentePrivées.com ou encore la SNCF ambitionnent de dépasser le seuil de 100 millions d’euros de CA sur ce support. Et puis enfin, constate ce dernier, il faut noter et relever la modification des comportements de consommation. « En effet, poursuit ce dernier, le mobile est au cœur du dispositif du commerce et peut s’utiliser en mobilité. Dans une enseigne, le téléphone en main peut amener de nouveaux comportements en poussant le consommateur à comparer les prix, trouver les bonnes affaires dans une zone définie grâce à la géolocalisation. Cet exemple en dit long sur la capacité du mobile à intégrer un contexte de proximité où finalement, le mobile devient le liant entre le monde virtuel et le monde physique. Et sur ce point, nous n’en sommes qu’au commencement. Si aujourd’hui, le premier usage du mobile est de remplir son panier mobile, ou encore scanner les produits qui nous intéressent (NFC, lecteur de code barre, code par 2d, reconnaissance d’images…) demain, on peut imaginer des commandes et paiements par mobile, avant d’aller chercher son bien ou service. Egalement, en perspective, le paiement sans contact fait partie intégrante des développements à venir ».

Pour Niall Boylan, Directeur France de Realex Payments, l’e-paiement doit et intègre les habitudes d’achat multicanale. En effet, « pour vendre des services, des marchandises etc. et ainsi diversifier leurs revenus , les sociétés ont de multiples canaux – en ligne, la télévente, les points de distribution, le mobile et maintenant même sur Facebook, souligne ce dernier. La solution de paiement que l’on décide d’employer devra répondre aux spécificités des canaux sachant que chaque canal a ses propres attributs et exigences. Nous avons œuvré pour permettre à une compagnie aérienne d’offrir l’achat de billets sur tous les canaux (internet, mobile, téléphone), tout en convertissant de manière dynamique la monnaie et gérer la fraude. Par ailleurs, nous avons offert l’opportunité aux clients d’un opérateur de téléphonie mobile, d’acheter des recharges, des téléphones et de payer leurs factures, etc… en ligne, via un serveur vocal interactif néanmoins cet opérateur ne peut pas vendre tous ses produits à travers tous les canaux ». Pourquoi ? « Simplement parce que chaque canal apporte ses propres défis, par exemple la vente en ligne est mondial et exige des décisions clés sur les banques, les méthodes de paiement, le fournisseur de la solution de paiement, la gestion de la fraude, la gestion des devises qui seront utilisés. La télévente au contraire tend à être plus localisée, mais exige que les décisions clés similaires à la vente en ligne. La vente sur point de distribution exige encore la présence du client y compris la carte à puce et le NIP ».

Pour Christophe Nepveux, Directeur général FIA-NET Europe, le constat est simple. « Les comportements des consommateurs ont fortement évolué au cours de ces dernières années. Ils sont dans l’immédiateté. Lorsqu’ils décident d’effectuer un achat, ils doivent être en mesure de le réaliser quelque soit le lieu où ils se trouvent et l’accès à Internet dont ils disposent. De plus, davantage avertis qu’il y a quelques années, ils sont également très exigeants en termes de sécurité. C’est dans cette optique que Kwixo a été développé. Le service est accessible en multicanal (site Internet et Internet mobile, applications Smartphones, SMS et SVI). Kwixo bénéficie d’une sécurisation à plusieurs niveaux grâce au savoir-faire de FIA-NET en matière de lutte contre la fraude à la carte bancaire sur Internet et à l’expertise du Groupe Crédit Agricole pour la gestion des flux bancaires ».

VAD & E-commerce : E-paiement et fraude : comment y faire face ? Selon Patrick Flamant, « la fraude en ligne, aujourd’hui, s’organise autour de réseaux structurés dont la principale motivation est l’appât du gain. Avec une détermination proche de celle de « braqueurs de banque » dans la vie physique, et des méthodes « commando » : un maximum de puissance de frappe pour un nombre de cibles limité. Bien entendu, certains secteurs sont plus exposés. C’est le cas par exemple du tourisme et des compagnies aériennes, avec une forte implication dans la sécurité des Etats et des territoires : fuite d’un pays, terrorisme, trafic d’êtres humains, etc. Pour y faire face, les moyens ne manquent pas : « On peut acheter des informations de cartes de crédit volées (numéro, date de validité, code de sécurité) pour 2 à 5 € par carte. De plus, si les vols de numéros, date d’expiration et code de sécurité de carte, ont lieu dans la vie physique, de plus en plus de fraudeurs utilisent les réseaux sociaux pour obtenir les dates de naissance des porteurs de cartes (afin de s’affranchir d’une authentification 3D Secure faible). Enfin, l’organisation nécessaire à la réception des objets acquis frauduleusement est de plus en plus sophistiquée. Aujourd’hui, le point faible du e-commerce et de la VAD en général n’est pas tant la sécurité de la transaction que la logistique qui en découle : faux destinataires, récupération des colis dans les escaliers d’immeuble, etc. C’est toute la chaîne logistique qu’il faut sécuriser ».

Réseaux, mais aussi manque de frontières. Pour Niall Boylan, « ce manque dans le monde de l’e-commerce et l’anonymat des visiteurs sont les meilleurs armes des cybercriminels car toute entreprise peut être prise pour cible n’importe où dans le monde. Quand une partie ou la totalité de votre business model repose sur une activité e-commerce (supposant donc que vous prenez des paiements en non présentiel), la fraude à la carte est malheureusement une réalité qu’il vous faut gérer. Il n’y a pas de potion magique pour éliminer la fraude entièrement, toutefois en appliquant des politiques drastiques vous devriez limiter votre exposition. Il faut vous rappeler que les fraudeurs cherchent généralement une cible facile donc en démontrant votre engagement à combattre la fraude, vous pourrez décourager d’ordinaire toute activité frauduleuse sur votre site. » Et de préciser : « Afin d’y remédier, nous avons créé un « entonnoir » de fraude qui aide l’e-commerçant à identifier tous les contrôles nécessaires à chaque étape. Ces règles, que toute entreprise devrait appliquer, sont :

 Récupérer le maximum d’information que possible (sans compromettre le processus de vente),
 S’assurer que les contrôles de validation soient fait sur tous les comptes et pas seulement sur les données de numéro de carte,
 Considérer l’implémentation de processus d’authentification (comme le 3D Secure, Vérifié par Visa et Mastercard Secure Code) ; de même, réduire les risques entraîne la réduction des coûts de traitement pour le marchand,
 Analyser et noter toutes les transactions pour le potentiel de fraude, à travers les listes noires/blanches et croiser les données (adresses IP, pays de provenance…) et explorer les modèles. Un seul contrôle ne pourra confirmer la fraude mais chacun peut mener à la meilleure identification de la fraude potentielle.
 Chercher toujours à avoir une autorisation parce qu’elle confirme que les fonds sont disponibles et si possible en incluant un code de sécurité CVC/CVV (3-4 chiffres au dos la carte)
 Vérifier manuellement les transactions quand c’est nécessaire

Réseaux structurés, manque de frontières, entreprises pas assez strictes, cybercriminels toujours plus nombreux, secteurs sensibles font que la fraude continue son développement. Laurent Bailly en témoigne : La banque de France présentait récemment une étude qui précisait que 8% des transactions sur les sites e-commerces sont réalisées par cartes bancaires et que ce volume, à lui seul, représente 80% des volumes de fraudes. Et ces chiffres augmentent. Lorsque l’on se place du côté du consommateur, selon une autre étude menée par Ipsos en partenariat avec Buyster, sur 38 millions d’internautes, 28 millions sont des cyberacheteurs. Ce qui signifie que 10 millions d’internautes ne paient pas sur internet. L’étude précisait qu’un tiers des sondés ne payait pas sur internet par manque de confiance dans les moyens de paiement. Enfin, 1 million d’internaute en plus chaque année se pose des questions sur le fait de payer ou non sur le net. Et pour une catégorie d’internautes, le paiement se réalise, mais uniquement sur des sites connus et visités. Il faut donc que les commerçants et acteurs rassurent les consommateurs autant sur des grandes marques (SNCF, La Redoute, rueducommerce…) que sur les petits commerces. Buyster s’est donc positionné sur cette réassurance en construisant la confiance autour de la Banque de France, des opérateurs mobiles et des grands E-commerçants. Notre moyen de paiement est associé à la carte bancaire de l’internaute, mais au moment de régler son panier réclame, en termes de données, uniquement le numéro de portable et un code confidentiel ».

Enfin, pour Christophe Nepveux, « les e-commerçants peuvent choisir d’avoir recourt à des solutions complètes pour limiter le risque de fraude. A titre d’exemple, Certissim, service de FIA-NET, propose aux e-commerçants d’identifier les commandes à risque sans perturber le processus d’achat. Les e-commerçants partenaires sont accompagnés tout au long du processus, de l’évaluation automatique des commandes (scoring) à l’authentification par des experts des commandes à risque. Certissim détecte automatiquement et en quasi temps réel le risque d’impayés des commandes, grâce à une base de données mutualisée et aux critères choisis par le e-commerçant. A la suite de cette première analyse, des experts retraitent les commandes présentant un risque significatif de fraude de façon à authentifier l’acheteur. A ce jour pour Kwixo, qui inclut d’office le service Certissim, aucune fraude n’a été signalée ».

VAD & E-commerce : Du e-paiement au m-paiement, les risques de fraude diffèrent-ils ? Quels sont les enjeux et les moyens mis en œuvre ?

« Le risque de fraude est présent, quelque soit le canal, indique Christophe Nepveux. Les fraudeurs s’adaptent au marché, aux usages et aux outils. Le point important en matière de sécurité des paiements est d’être réactif tout en anticipant les comportements frauduleux. FIA-NET Europe s’appuie sur une équipe dédiée à cette analyse des comportements afin de faire évoluer son système. La maîtrise de la fraude est un enjeu majeur dans le domaine des paiements sur Internet et mobile. L’intégration de dispositifs de sécurité dans nos traitements et organisations est donc pour nous une préoccupation permanente. Patrick Flamant va plus loin : « Le paiement par mobile, et tout l’essor à venir du m-commerce font entrevoir les mêmes problématiques : il s’agit également d’acquérir des biens et des services sur Internet, mais via un terminal d’une autre nature, le téléphone. A quoi faut-il s’attendre ? Pour Patrick Flamant, la réponse est simple : « A ce jour, le m-paiement en tant que tel n’existe pas : il ne s’agit ni plus ni moins que de e-paiement depuis le navigateur d’un terminal mobile. Les risques, enjeux et moyens sont donc exactement les mêmes. Et l’utilisation des réseaux GSM ne change rien. Bien sûr d’autres solutions tentent d’émerger mais ne sont pas mâtures ou peinent à s’imposer. A titre d’exemple, on parle de billing opérateurs (paiement par la carte SIM, débit sur la facture du téléphone) mais les acteurs de ce marché (banques et opérateurs téléphoniques) n’arrivent pas à s’entendre et le déploiement piétine. De même, la communication en champ proche (NFC : Near Field Communication) est loin d’être massivement adoptée. Pour ces deux techniques, la sécurité des transactions résidera surtout dans la sécurité du terminal mobile en lui-même : le problème sera donc la sécurité physique, pas la sécurité logique ». Laurent Bailly partage ces avis. « Il ne faut pas perdre de vue que la fraude touche les deux parties : les utilisateurs-fraudeurs et les e-commerçants fraudeurs. Ceci mis à part, les risques lorsque l’on paie sur un site web ou su un mobile sont identiques. Il n’existe pas de différence fondamentale, si ce n’est pour le paiement mobile, plus de traçabilité que sur le web. A l’inverse, le 3d secure n’est pas forcément adapté au paiement sur mobile et donc les e-commerçants sont plus exposés à des risques de fraude. On peut donc s’attendre à un report de la fraude du e-commerce sur le m-commerce d’où l’intérêt de notre solution qui permet de sécuriser les transactions avec une ergonomie adaptée au mobile aussi bien côté marchand que consommateur ». Niall Boylan est plus nuancé : « contrairement aux autres formes de paiement, le m-paiement introduit de nombreux nouveaux éléments qui compliquent le processus de vérification de l’utilisateur. Par exemple, les téléphones portables peuvent être loués ou être à rechargement, les cartes SIM peuvent être modifiées et de nombreux appareils mobiles ne nécessitent pas de vérification de l’utilisateur comme possesseur et acheteur dans leur protocole standard de paiement. Les appareils mobiles volés sont aussi dommageables que les cartes bancaires volées ou autres formes d’identification. Les consommateurs achètent davantage de biens livrés numériquement comme les applications, du contenu et des biens virtuels, qui sont téléchargés instantanément et ils s’attendent à des approbations immédiates. Le contrôle de la fraude se doit d’être aussi rapide ou plus rapide que l’approbation des paiements et plus précis que jamais. Néanmoins, nous regardons la fraude comme la fraude peu importe où il est commis, sur quel type d’appareil et par qui. La question n’a pas vraiment de sens que ce soit financièrement ou opérationnellement d’avoir des solutions différentes pour la fraude en ligne et pour le mobile. La meilleure stratégie et la plus rentable en usage aujourd’hui est de détecter et prévenir la fraude grâce à des solutions opérationnelles ou plates-formes qui se penchent sur la fraude de façon complètes et globale. Une bonne stratégie de prévention de fraude s’applique donc à tous les canaux et types de carte et les croisent avec les règles, les décisions et conditions générales de la société, voire du secteur d’activité ».

VAD & E-commerce : E-paiement et commerçants : Quelles sont leurs attentes ? Leurs besoins ?

« Les attentes et besoins des commerçants pour le choix de leurs solutions de paiement se portent sur quatre données : la technologique (qui comprend la sécurité), l’aspect économique, l’aspect social et l’aspect règlementaire », analyse Niall Boylan. Concernant la technologie, la sécurité (authentification, confidentialité, vitesse de traitement, précision des données, non-répudiation, flexibilité) des transactions commerciales et des paiements est la donnée la plus importante pour les commerçants. Le coût est un des critères les plus importants à la fois du choix de l’utilisateur-acheteur et du marchand. Frais d’installation, les frais par transactions (commissions) surtout pour le règlement de petite somme d’argent sont des éléments déterminants pour les commerçants car ils impactent directement leurs revenus ».

Christophe Nepveux revient sur l’aspect économique : « En matière de e-paiement, les commerçants souhaitent plusieurs choses. Tout d’abord, que la solution choisie ne ralentisse pas le tunnel d’achat. En effet, plus le paiement est fluide moins la possibilité d’un abandon de panier est forte. A cette fin, un e-commerçant préférera proposer une solution simple et sécurisée à son client. Il peut également sélectionner une solution ayant des services additionnels à forte valeur ajoutée, comme le paiement après réception. »

Laurent Bailly porte davantage son analyse sur les comportements et usages. « Le paiement est un frein au développement du m-commerce. Les acteurs attendent donc des cinématiques de paiement fluide et d’avoir des garanties de paiement identiques à celles du web. De manière générale, les acteurs du m-commerce ont plus en plus d’expériences sur le développement d’applications et de sites mobiles. Cette courbe d’apprentissage de l’expérience utilisateur qui est longue. Ce qui est logique. Face à cet objectif de fluidité et cet état de fait d’apprentissage, il est donc indispensable que nous puissions accompagner les acteurs. C’est à cette fin que Buyster travaille sur l’idée d’un véritable laboratoire des pratiques où nous avons pour ambition de développer des systèmes pédagogiques pour l’ensemble de nos sujets. Par exemple, à travers la mise en place d’animation auprès des marchands pour développer les bonnes pratiques. En parallèle, l’enjeu pour les e-commerçants est d’accompagner le client là où il se trouve. Les trafics et usages se déplacent sur des dizaines de supports mobiles, tous en croissance exponentielle. Les consommateurs sont là donc les e-commerçants doivent proposer une offre mobile et des moyens de paiements adaptés tout en améliorant leur qualité de service ».

Et Niall Boylan de conclure sur une dimension internationale : « Les marchands transfrontaliers attendent d’une solution de paiement qu’elle fournisse une convertibilité des différentes devises. Suite aux différentes affaires sur le traitement des données personnelles, l’aspect social d’une solution de paiement est un facteur obligatoire à prendre en compte. Aussi les commerçants ont besoin d’une solution qui préserve l’anonymat et empêche la traçabilité, qui soit facile à utiliser et qui permet la mobilité sur différents dispositifs électroniques. Enfin, en raison de la différence des règlementations de nombreux pays, les marchands transfrontaliers par exemple attendent d’une solution de paiement qu’elle soit conforme aux règles nationales en matière de transactions commerciales en ligne , par téléphone…, certaines portant sur les signatures numérique, les transferts de fonds numérique, les contrats de vente à distance… »

VAD & E-commerce : Evolutions : comment l’e-paiement peut évoluer dans les prochaines années tant du point de vue consommateurs, que marchands, qu’acteurs ?

Il y a une tendance de fond, selon Laurent Bailly : « la généralisation des smartphones comme terminal numéro un des consultations, de la navigation et des achats. Mais aussi le mobile comme articulation entre le monde physique et les nouveaux usages d’internet comme la géolocalisation ».

Il y a les constats. Selon Christophe Nepveux actuellement, la solution de e-paiement la plus largement utilisée est la carte bancaire (80 % des paiements). Depuis 2007, le recourt à un portefeuille électronique connaît une forte croissance. Nous pensons que cette pratique va se généraliser. En effet, un nombre croissant de consommateurs est réticent à communiquer ses coordonnées bancaires sur Internet. L’utilisation d’un service tiers sécurisé apparaît donc comme une alternative sérieuse. En témoigne, l’émergence de nombreux acteurs sur ce segment et celui du m-commerce au cours de l’année 2011. Les marchands font donc face à une multiplication des solutions (bancaires et non bancaires), ils devront choisir les plus performantes et celles leur apportant le plus de clients ». « Ces derniers mois, nous avons constaté deux tendances, indique Patrick Flamant. L’émergence du commerce via les réseaux sociaux (en particulier Facebook, ou f-commerce), et du m-commerce, ou commerce sur mobile. Depuis octobre 2011, nos solutions de paiement sont intégrées à Boosket, solution de e-commerce sur Facebook, ce qui va permettre aux « f-marchands » de bénéficier, sans développement spécifique, de l’ensemble de nos services. Techniquement, il est possible de proposer les mêmes solutions de paiements sur Internet, sur le Web mobile et sur les réseaux sociaux. Mais, si le paiement par carte bancaire reste envisageable sur une tablette, la saisie du numéro de carte peut constituer un frein à l’achat sur un téléphone mobile. C’est pour cette raison que nombreuses initiatives de pour simplifier les paiements sur mobile ont vu le jour ces derniers mois ».

Et il y a l’avenir. Pour Christophe Nepveux, « le marché va probablement se réguler de lui-même. En effet, les consommateurs n’auront pas recourt à cinq ou six solutions différentes. Ils s’orienteront vers la solution la plus complète et la plus sécurisée. L’important est de se focaliser sur les besoins clients (particuliers et e-commerçants) ». « Tout ce que l’on sait avec certitude c’est que ce sera bien différent par rapport à aujourd’hui, prédit Niall Boylan. La technologie comme nous la considérons à Realex Payments va se développer dans des directions que l’on ne peut pas prévoir. De plus, les consommateurs vont immédiatement adopter certaines et résister à d’autres. Il serait dangereux de prédire l’avenir puisqu’il semble que des technologies émergentes aujourd’hui devraient croître dans les années à venir. Au niveau des consommateurs, l’adhésion aux portes monnaies électroniques devraient se confirmer. Dans cette optique, Realex Payments lancera au premier trimestre 2012 son porte-monnaie électronique baptisé, Carapay. En autre ; très peu de consommateurs possèdent une seule et unique carte bancaire, on devrait s’orienter vers une « smart card », c’est-à-dire une carte à puce qui regrouperait les informations de toutes vos cartes. Pour payer, les utilisateurs devront entrer leur numéro de carte et type, la date d’expiration et un moyen d’authentification de propriété de la carte. Il semble que ce procédé de smart card peut être aussi possible en transférant les données bancaires vers un téléphone portable. On peut imaginer aussi que les utilisateurs n’aient plus besoin de cartes et donc paieraient grâce à leur empreintes de doigts et un compte spécial de paiement sur leurs ordinateurs vu que beaucoup disposent déjà d’identification par empreinte. Néanmoins, une telle technologie aussi pratique qu’elle soit pour les consommateurs, ne pourra être étendue à moins que les marchands installent le nécessaire pour accepter de tels paiements. Au niveau des commerçants, l’authentification de l’acheteur continuera d’être un problème, on devrait s’attendre à ce que le « Vérifié par Visa » et « MasterCard Secure Code » soient modifiés en demandant aux acheteurs d’entrer un code préenregistré pour leurs assurer encore plus de sécurité. Les premières innovations devraient être apporter au niveau du mobile à travers le SoLoMo, permettant aux marchands d’envoyer en temps réel des coupons à des potentiels clients dans la zone d’achalandise et offrant clients le choix de payer par téléphone puis de venir chercher leurs commandes plus tard ».

« Quant à l’effervescence autour des nouvelles solutions de paiement (qui reposent aujourd’hui majoritairement sur la carte de paiement), elle a le mérite de mettre en évidence une évolution majeure du commerce, en général : la nécessité d’améliorer l’expérience du consommateur et de fluidifier l’acte d’achat, avec un paiement en deux clics, quel que soit le canal de vente, souligne Patrick Flamant. Nous proposons d’ailleurs, depuis de nombreuses années, un système qui permet au consommateur d’enregistrer préalablement ses coordonnées de carte bancaire sur le site Web du marchand. Un simple couple login/mot de passe suffit ensuite pour payer depuis n’importe quel terminal (PC, smartphone, tablette). Toujours pour fluidifier le paiement et éviter au consommateur de ressaisir ces informations à chaque achat, nous avons intégré à notre plateforme, en juin 2011, Checkout by Amazon. Cette solution de paiement permet aux clients Amazon d’effectuer des achats sur d’autres sites Web en utilisant l’adresse de livraison et le moyen de paiement enregistrés sur leur compte Amazon. Pour le moment, cette offre est disponible uniquement en Allemagne et au Royaume-Uni. Dans les années à venir, nous allons poursuivre nos développements pour simplifier les paiements, sans sacrifier la sécurité, quel que soit le canal de vente : e-commerce, m-commerce, f-commerce, centres d’appels, vente à distance et… commerce de proximité. En effet, nous constatons que les boutiques physiques ont aujourd’hui tendance à s’équiper de solutions qui, au départ, étaient réservées au commerce en ligne ».

Ils se présentent

Realex Payments Niall Boylan,

Depuis les débuts de Realex Payments en 2000, nous offrons aux PME/TPE en Irlande, au Royaume Uni et maintenant en France et aux Pays Bas des solutions de paiement sécurisé multicanales et innovantes à travers RealPay, notre offre packagée sans commissions sur les transactions ni frais d’installation. RealPay permet de vendre à distance à partir de 29 € par mois pour 350 premières transactions (0.12 cents par transaction après). Ayant obtenu la certification, AIS décernée par VISA à très peu de sociétés européennes, nous prouvons notre engagement pour la sécurité optimale des paiement en fournissant aux clients les outils utiles pour gérer et réduire au maximum l’exposition à la fraude tels que le 3D secure, le CVC/CVV2, un système de fraud-scoring, et l’AVS. Au-delà de la sécurité, toujours à travers RealPay nous offrons : la customisation au look de votre site et l’hébergement de la page de paiement sur nos serveurs PIC DSS au niveau le plus élevé, la capacité multidevise, un accès au back office de vos paiement, la possibilité de connecter vos différents canaux de vente sur un seul abonnement et le stockage sécurisé maximum de 1000 cartes si vous vendez des abonnements. Aux marchands déjà bien établis sur leurs marchés nous offrons des solutions sur mesure très compétitives.

Dernières nouveautés : Notre dernière nouveauté est une application Facebook http://on.fb.me/uQLQ8S en partenariat avec la société VendorShop qui permet aux clients ayant une page société Facebook de créer en quelques clics une facebook-boutique mais de plus de transformer leurs fans en facebook-acheteurs, ces derniers achetant les produits par carte bancaire directement depuis la facebook-boutique. Aller plus loin : www.realexpayments.fr/

Fia-Net Christophe Nepveux

Kwixo est un moyen de paiement sécurisé, à deux facettes, qui permet d’une part d’effectuer ses achats en ligne sur les sites marchands partenaires et d’autre part de transférer de l’argent à ses proches.

L’achat en ligne avec Kwixo est simplifié par le fait que le cyberacheteur n’a pas besoin de ressaisir ses coordonnées bancaires. L’identifiant (adresse e-mail ou numéro de téléphone portable) et le mot de passe choisis lors de son inscription suffisent. Toute transaction lui est par ailleurs notifiée par e-mail. La partie transfert d’argent entre particuliers permet, par exemple, de rembourser un restaurant ou de faire un cadeau commun sans avoir besoin de connaître les coordonnées bancaires de ses amis ou d’avoir de l’argent liquide sur soi. Les utilisateurs de Smartphones peuvent le faire via les applications dédiées. Ils entrent le numéro de téléphone portable (ou l’adresse e-mail), le montant, leur message et l’argent est directement envoyé au destinataire sans passer par un compte tiers. Cet aspect du service est également accessible via les sites Internet et mobile, par SMS et Serveur Vocal Interactif.

Qu’il s’agisse d’achat en ligne ou de transfert d’argent entre particuliers, Kwixo a été développé afin de garantir un maximum de sécurité pour ses utilisateurs (particuliers et e-commerçants). Kwixo ne stocke pas l’argent, les flux ne font que transiter par notre solution. A aucun moment les données bancaires ne transitent en clair. Nous avons développé Kwixo dans un environnement répondant à des standards de sécurité (PCI-DSS) garantissant ainsi une sécurité forte des transactions. Par ailleurs, l’ensemble de la plateforme est hébergée chez Crédit Agricole. Kwixo bénéfice également de toute l’expertise de FIA-NET en termes de lutte contre la fraude à la Carte Bancaire sur Internet. Nous appliquons des procédures de scoring pour toutes les transactions, garantissant ainsi le particulier et l’e-commerçant.

Pour soutenir ces éléments techniques, nous avons également mis en place différents processus : des plafonds d’utilisation pour les membres, un ANR en cas de commandes à montants élevés, une alerte e-mail à chaque connexion à son espace membre. Pour lutter contre le phishing, nous proposons également la mise en place d’un code anti-phishing, choisi par l’internaute au moment de l’inscription, qu’il retrouvera dans toutes les communications qu’il recevra de Kwixo (si le code anti-phishing n’est pas présent, cela signifie que l’e-mail ne provient pas de nos services). Enfin, les solutions supportées par les banques et agrées au niveau européen, comme Kwixo, bénéficient d’une sécurité forte.

Dernières nouveautés : Depuis le début du mois de décembre, afin de répondre aux besoins et aux usages d’une cible plus jeune, nous avons décidé de rendre les transferts d’argent gratuits. Les utilisateurs peuvent également s’inscrire directement depuis les applications Kwixo pour iPhone et Android. Par ailleurs, nous travaillons sur un développement du service avec de nouvelles applications Smartphones et de nouvelles options dans la solution de paiement pour les e-commerçants. Aller plus loin : www.fia-net.com/

Ogone, par Patrick Flamant

Chez Ogone, nous abordons la sécurité des paiements sous deux angles. Le premier est la sécurisation des flux et des données qui transitent par notre plateforme. Le second concerne la lutte contre la fraude et les usurpations d’identité. La sécurisation des flux En 2011, nous avons renouvelé pour la 8ème année consécutive notre certification PCI-DSS (Payment Card Industry – Data Security Standard). Edictée par les principaux fournisseurs de cartes de paiement (Visa, MasterCard, American Express…), la norme PCI DSS définit l’ensemble des règles et processus de sécurité à respecter par les entreprises qui traitent, transmettent et stockent les données de cartes bancaires. Le renouvellement de cette accréditation récompense nos investissements permanents en vue d’améliorer la sécurité de notre plateforme de gestion des paiements en ligne, qui est désormais utilisée par 33.000 clients, sur les cinq continents.

La prévention des fraudes Pour lutter contre la fraude et les usurpations d’identité, la plateforme Ogone intègre le système d’authentification du porteur de carte 3D Secure (Verified By Visa et MasterCard SecureCode). Nous avons aussi développé Fraud Detection Module Advanced, une solution pour évaluer en temps réel, sans ajouter d’étapes supplémentaires pour le consommateur, le niveau de risque de chaque transaction en fonction de critères prédéfinis et paramétrables par le marchand. En 2011, nous avons apporté des améliorations à notre module, qui comporte désormais 2 niveaux de détection, et intègre des données en provenance de bases de données externes. • Une check list de 60 critères paramétrable Le premier niveau, baptisé FDMA Check List, permet de déterminer plus de 60 critères, règles ou limites, fournis en standard par Ogone ou propres à chaque marchand. Chaque transaction est soumise à ces différents paramètres. En cas de détection d’un conflit avec l’un des critères définis, la transaction est bloquée (rouge) ou soumise à vérification (orange) en fonction du paramétrage du marchand. Avec ce module, par exemple, toutes les transactions enregistrées le mercredi et le dimanche entre minuit et 4 heures du matin, seront soumises à vérification. • La pondération de plusieurs critères Pour évaluer encore plus précisément le niveau de risque de chaque transaction aller, et surtout tenir compte des spécificités sectorielles, géographiques ou de typologie de clientèle des marchands en ligne, FDMA Scoring permet de pondérer l’importance relative de chaque critère. En fonction du score obtenu, la transaction est acceptée (vert), soumise à vérification (orange) ou bloquée (rouge). Par exemple, avec cette option, un site de vente de voyages peut, automatiquement bloquer ou soumettre à vérification la transaction d’un internaute basé en Russie qui commanderait un billet à 3 heures du matin, pour un Paris / New-York le lendemain, avec une carte de paiement italienne. • L’intégration de bases de données externes En complément de ces évolutions, Ogone s’interface désormais avec deux services collaboratifs de recueil et mise à disposition d’informations liées aux fraudes et tentatives de fraudes sur Internet : IATA Perseuss, spécialisée dans le secteur des compagnies aériennes, et Ethoca, service généraliste qui compte parmi ses adhérents des sociétés telles que Royal Bank of Scotland, British Airways, Meetic, Dabs.com, Transavia ou Bwin.

Dernières nouveautés : En 2011, nous avons accéléré notre stratégie de développement à l’international. Le principal fait marquant a été l’acquisition, en septembre 2011, de 100% du capital d’EBS (E-Billing Solutions), numéro deux des services de paiements en ligne en Inde. Avec cette première opération de croissance externe, Ogone s’est implanté pour la première fois en dehors de l’Europe. Nous avons aussi noué un partenariat avec cashU, pour le Moyen-Orient et l’Afrique du Nord, qui propose une version localisée de notre plateforme. Cette dernière bénéficie d’une connectivité bancaire à l’échelle mondiale, et permet désormais de consolider la gestion de plus de 45 moyens de paiement internationaux et locaux (cartes bancaires, cartes privatives, virement, PayPal, crédits en ligne…). Ogone sont aujourd’hui disponibles en plus de 20 langues. Aller plus loin : www.ogone.fr

Buyster Laurent Bailly Nous avons créé Buyster en février 2011 – pour un lancement en septembre 2011- avec un objectif clair : développer et commercialiser un service de paiement en ligne innovant basé sur le mobile. En ce sens, la société a été fondée par les trois opérateurs français majeurs de la téléphonie mobile : Orange, Bouygues et SFR. Concrètement pour l’utilisateur, le déroulement est très simple et sécurisé. Tout d’abord, l’utilisateur s’inscrit gratuitement sur le site www.buyster.fr. En quelques clics, vous associez simplement votre carte bancaire à votre numéro de mobile lors d’un processus d’inscription sécurisé durant lequel vous choisissez votre Code Confidentiel Buyster (6 chiffres). Au moment de payer votre achat sur un site marchand, vous n’aurez qu’à saisir sur votre ordinateur votre numéro de mobile et votre Code Confidentiel Buyster. Vous recevrez alors instantanément un code à usage unique par SMS qui vous permettra de valider la transaction. Grâce à Buyster, vous n’aurez donc plus besoin de saisir votre numéro de carte bancaire sur Internet pour vos futurs achats. Pour payer sur un site Internet mobile ou une application mobile, c’est encore plus simple car vous saisirez uniquement votre Code Confidentiel Buyster, votre identification étant effectuée automatiquement par le réseau mobile de l’opérateur.

En termes de sécurité, Buyster sécurise vos transactions grâce à une authentification forte : pour payer avec Buyster, il faut être en possession de son téléphone mobile (« ce que je possède »), et connaître le Code Confidentiel Buyster associé à ce mobile (« ce que je connais »). Ainsi, même si un fraudeur réussissait à dérober votre Code Confidentiel Buyster, il ne pourrait pas l’utiliser pour payer sans votre mobile, et réciproquement, en cas de perte ou vol de votre mobile, ce dernier ne pourra pas être utilisé pour payer sans votre Code Confidentiel Buyster.

Dernières nouveautés : En deux mois d’activité, nous sommes passés de 20 à une centaine de partenaires, avec de grands noms de l’e-commerce (Rueducommerce, Téléthon, Kiabi, Brandalay, But, Micromania, Surcouf, Orange, SFR, Bouygues, Barrière poker, Partouche…). Par ailleurs, nous souhaitons, travailler en 2012, sur plusieurs projets : développer le trafic des enseignes partenaires et continuer à développer autour de notre métier les bonnes pratiques. Pour le premier nous développons des outils de référencement de sites internet mobiles et d’application et souhaitons travailler sur des animations commerciales autour de notre application mobile pour permettre le téléchargement d’applications des marchands, de la mise en avant des promotion et actualités, et cela relayés par les opérateurs mobiles. Pour le second, nous nous positionnons dans une logique de laboratoire. Nous travaillons à l’élaboration de supports et d’animations pédagogiques avec des agences spécialisées, les web agencies, les start-up positionnées dans des domaines innovants (tagage NFC ou reconnaissance d’image)… avec un objectif : développer les bonnes pratiques. Aller plus loin : buyster.fr