Définition
La Strong Customer Authentication (SCA) — ou Authentification Forte du Client (AFC) en français — est une exigence réglementaire imposée par la DSP2 (Directive sur les Services de Paiement 2) de l’Union européenne. Elle oblige les prestataires de paiement à vérifier l’identité de l’acheteur lors des transactions électroniques en combinant au moins deux facteurs indépendants parmi trois catégories :
1. Connaissance : quelque chose que le client *sait* (mot de passe, code PIN).
2. Possession : quelque chose que le client *possède* (smartphone, carte bancaire, token physique).
3. Inhérence : quelque chose que le client *est* (empreinte digitale, reconnaissance faciale).
Depuis le 14 septembre 2019, la SCA s’applique à la quasi-totalité des paiements en ligne dans l’Espace économique européen (EEE). Pour un e-commerçant, cela signifie concrètement que chaque transaction doit déclencher une validation supplémentaire (3D Secure 2, validation biométrique, code à usage unique…) sauf exemption légale.
Analogie
Imaginez une boîte de nuit sélecte à Paris. Pour entrer, le videur ne se contente pas de votre carte d’identité : il vérifie aussi votre nom sur la liste VIP et scanne votre bracelet. Deux preuves différentes, sinon la porte reste fermée. La SCA fonctionne exactement ainsi : votre banque joue le rôle du videur, et sans deux preuves concordantes, le paiement est bloqué.
Formule
La SCA repose sur une logique combinatoire simple :
SCA = 2 facteurs parmi {Connaissance, Possession, Inhérence}
Exemple concret :
- Facteur 1 (Connaissance) : mot de passe du compte bancaire.
- Facteur 2 (Possession) : code OTP envoyé par SMS.
- Résultat : 1 + 1 = 2 facteurs → SCA validée ✅
Si un seul facteur est présent :
- Facteur 1 uniquement (mot de passe seul) → 1 < 2 → SCA refusée ❌
Tableau comparatif : SCA vs Non-SCA
| Critère | Transaction avec SCA | Transaction sans SCA (exemptée ou hors UE) |
|---|---|---|
| Facteurs requis | 2 parmi 3 | 1 seul suffit |
| Taux de conversion moyen | 75–85 % | 90–95 % |
| Taux de friction client | Élevé (redirection, OTP) | Faible |
| Responsabilité fraude | Banque émettrice | Commerçant (chargeback) |
| Conformité DSP2 | Obligatoire | Risque de sanction |
| Exemples d’usage | Paiement carte > 30 € | Abonnements récurrents < 30 €, low-value |
| Impact sur le panier moyen | Baisse de 5 à 15 % | Stable |
**Donnée clé** : Selon une étude Stripe (2023), **27 % des acheteurs européens abandonnent leur panier** lorsqu’une étape SCA supplémentaire apparaît.
Application en DTC / E-commerce
Pour un marchand DTC opérant en France ou en Europe, la SCA impacte directement trois zones :
1. Taux de conversion au checkout
Chaque redirection 3DS2 ajoute 10 à 25 secondes au parcours. Sur mobile, chaque seconde supplémentaire coûte environ 7 % de conversion (donnée Baymard Institute). Un checkout SCA mal optimisé peut faire chuter le taux de conversion de 12 à 18 points.
2. Exemptions à activer intelligemment
La DSP2 prévoit des exemptions :
- Low-value : transactions < 30 € (plafond cumulé de 100 € ou 5 transactions).
- TRA (Transaction Risk Analysis) : si le risque de fraude est faible (< 0,13 % pour les banques), exemption possible.
- Abonnements : paiement récurrent de même montant.
Un marchand DTC doit configurer ces exemptions via son PSP (Stripe, Adyen, Mollie…) pour réduire la friction sans augmenter la fraude.
3. Optimisation 3DS2
- Privilégier 3DS2 frictionless (validation en arrière-plan sans action client).
- Activer l’authentification biométrique (Face ID, empreinte) quand disponible.
- Éviter les redirections vers des pages bancaires mal adaptées au mobile.
Chiffre concret : Un marchand français de cosmétiques bio a réduit son taux d’échec SCA de 22 % à 9 % en activant TRA et 3DS2 frictionless sur mobile.
Common Pitfalls (Erreurs fréquentes)
1. Croire que la SCA s’applique à tous les paiements : les transactions < 30 €, les abonnements et les paiements hors UE peuvent être exemptés.
2. Ignorer le poids du mobile : 70 % du trafic DTC européen est mobile, mais les parcours SCA sont souvent conçus pour desktop.
3. Ne pas négocier avec son PSP : les exemptions TRA ne sont pas automatiques ; il faut les activer et surveiller les seuils.
4. Confondre SCA et 3D Secure : 3DS2 est un *outil* pour respecter la SCA, pas la SCA elle-même.
5. Sous-estimer l’impact sur le LTV : un client bloqué à la première commande ne revient souvent pas.
Termes liés
- DSP2 : Directive européenne encadrant les services de paiement.
- 3D Secure 2 (3DS2) : Protocole d’authentification compatible SCA.
- PSP : Prestataire de services de paiement (Stripe, Adyen, PayPal…).
- TRA : Transaction Risk Analysis, exemption basée sur le risque.
- Exemption Low-Value : Dispense pour les paniers < 30 €.
- Authentification frictionless : Validation sans action client.
- Chargeback : Contestation de paiement, risque accru sans SCA.
- PSD2 : Version anglaise de DSP2.
En résumé pour le marchand DTC
La SCA n’est pas une option : c’est une contrainte réglementaire européenne qui pèse sur votre tunnel de conversion. Les marchands qui gagnent sont ceux qui :
- activent les exemptions intelligentes,
- optimisent 3DS2 frictionless,
- surveillent leur taux d’échec SCA comme un KPI critique.
Un checkout SCA bien maîtrisé peut maintenir un taux de conversion supérieur à 82 %, même sur mobile.