Depuis le 14 septembre 2019, chaque commerçant qui encaisse des paiements en ligne est concerné par la DSP2. Pourtant, entre le jargon technique, les exemptions à maîtriser et les évolutions réglementaires à venir, beaucoup de dirigeants de TPE et PME naviguent encore à vue. Résultat : des flux de paiement non conformes, des abandons de panier évitables et une exposition inutile à la fraude. Cet article vous donne une lecture claire et opérationnelle de la directive, de ce qu’elle impose concrètement et de ce que vous devez mettre en place dès aujourd’hui.
DSP2 : définition et objectifs de la directive européenne
La DSP2, ou Deuxième Directive européenne sur les Services de Paiement (en anglais : Payment Services Directive 2), est un texte réglementaire adopté par le Parlement européen en 2015 et entré en application dans les États membres à partir de 2018. En France, elle a été transposée par l’ordonnance du 9 août 2017 et le décret du 31 juillet 2018, sous la supervision de l’Autorité de Contrôle Prudentiel et de Résolution (ACPR) et de la Banque de France.
Elle succède à la première directive sur les services de paiement (DSP1) de 2007, dont le cadre était devenu inadapté face à l’essor du commerce en ligne et à l’émergence de nouveaux acteurs du paiement numérique.
Ses trois objectifs principaux :
La directive s’applique dès lors que la banque du payeur et la banque du commerçant sont toutes deux situées dans l’EEE. Elle concerne l’ensemble des prestataires de services de paiement : banques, établissements de paiement, établissements de monnaie électronique, mais aussi, indirectement, tous les commerçants qui acceptent des paiements par carte sur internet.
L’authentification forte (SCA) : le cœur de la DSP2
L’authentification forte du client, connue sous l’acronyme anglais SCA (Strong Customer Authentication), est la mesure la plus visible de la DSP2 pour les commerçants en ligne. Elle oblige à vérifier l’identité du payeur au moyen d’au moins deux facteurs distincts parmi les trois catégories suivantes :
Ces deux facteurs doivent appartenir à des catégories différentes et être indépendants l’un de l’autre : compromettre l’un ne doit pas permettre de compromettre l’autre. Ils doivent également être liés dynamiquement au montant de la transaction et à son bénéficiaire.
Concrètement, pour votre client : au moment de payer sur votre site, sa banque lui envoie une notification sur son application mobile. Il valide le paiement par son empreinte digitale ou son code de sécurité. C’est l’expérience la plus répandue aujourd’hui, rendue possible par le protocole 3-D Secure 2 (voir section 6).
La SCA s’applique à trois situations :
L’efficacité de cette mesure est mesurable. Selon le rapport annuel 2023 de l’Observatoire de la Sécurité des Moyens de Paiement (OSMP), piloté par la Banque de France, la carte bancaire affiche un taux de fraude historiquement bas de 0,053 % en 2023, son niveau le plus bas jamais enregistré. Le rapport souligne explicitement que ce résultat est permis par la robustesse de l’authentification forte.
Ce qui change concrètement pour les commerçants en ligne
Avant la DSP2, un simple numéro de carte bancaire, une date d’expiration et un cryptogramme suffisaient pour valider un achat en ligne. Cette époque est révolue. Voici ce que la directive a changé dans votre quotidien opérationnel.
Vous n’êtes pas directement responsable de l’authentification, mais vous en subissez les conséquences. C’est votre prestataire de paiement (PSP) qui met en œuvre techniquement la SCA. En revanche, c’est vous qui choisissez votre PSP, configurez vos flux de paiement et transmettez les données qui permettent à la banque de votre client d’évaluer le risque de la transaction.
Ce qui change pour vous, concrètement :
Depuis mai 2025, le Plan de l’Observatoire de la Sécurité des Moyens de Paiement (OSMP) a renforcé l’application de ces règles en France : toute transaction initiée sans authentification forte est désormais systématiquement rejetée, sauf exemption explicitement justifiée. Selon Payplug, les paiements sans 3-D Secure génèrent quatre fois plus de fraude que les paiements correctement authentifiés (0,358 % contre 0,095 %).
Les exemptions à l’authentification forte (petits montants, abonnements, MIT…)
La DSP2 ne réclame pas une authentification forte à chaque transaction. Plusieurs exemptions permettent de fluidifier le parcours d’achat sans sacrifier la sécurité. Voici les principales, telles que définies par la réglementation.
Exemption pour faible montant
Les paiements en ligne dont le montant ne dépasse pas 30 € peuvent être exemptés de SCA. Cette exemption s’applique sous deux conditions cumulatives :
Une fois l’un de ces seuils atteint, l’authentification forte redevient obligatoire pour la transaction suivante.
Exemption par analyse du risque de transaction (TRA)
Les prestataires de paiement qui maintiennent un taux de fraude suffisamment bas peuvent demander des exemptions pour des montants plus élevés. Les seuils réglementaires sont les suivants :
C’est le PSP acquéreur (celui du commerçant) ou la banque émettrice (celle du client) qui peut demander cette exemption. Si l’acquéreur la demande et que l’émetteur l’accepte, la responsabilité en cas de fraude incombe à l’acquéreur et, par extension, au commerçant.
Exemption pour bénéficiaire de confiance
Un client peut demander à sa banque d’inscrire votre site dans une liste blanche. Les achats ultérieurs sur votre boutique seront alors exemptés de SCA. C’est une fonctionnalité utile pour fidéliser vos clients réguliers, mais c’est le client lui-même qui en fait la demande auprès de sa banque.
Exemption pour paiements récurrents (abonnements)
Pour un abonnement à montant fixe et au profit du même bénéficiaire, seule la première transaction est soumise à l’authentification forte. Les prélèvements suivants en sont exemptés, à condition que le montant et le bénéficiaire restent identiques.
Transactions initiées par le commerçant (MIT)
Les MIT (Merchant-Initiated Transactions) sont des paiements déclenchés par le commerçant sans interaction du client, dans le cadre d’un contrat préexistant. Elles couvrent les facturations récurrentes à montant variable, les frais de non-présentation (no-show), ou les paiements différés. Pour être valides, deux conditions doivent être réunies : un mandat contractuel clair et une transaction initiale authentifiée via 3-D Secure 2. Depuis le second trimestre 2025, les chaînages incomplets entre la transaction initiale et les MIT suivantes sont sanctionnés par un plafonnement à 0 € de vélocité pour les commerçants non conformes.
DSP2 et open banking : l’accès aux données bancaires
Au-delà de la sécurité des paiements, la DSP2 a introduit un second volet structurant : l’open banking. Ce mécanisme oblige les banques à ouvrir l’accès aux données de leurs clients à des prestataires tiers agréés, via des interfaces de programmation standardisées (API), et ce avec le consentement explicite du client.
Deux catégories d’acteurs tiers ont été créées :
Pour les commerçants, l’open banking représente une opportunité concrète : proposer un paiement par virement instantané, sans les frais d’interchange liés aux cartes bancaires, et sans risque de rétrofacturation (chargeback), puisque la transaction est irrévocable.
La réalité du terrain reste cependant perfectible. Une étude indépendante commandée par plusieurs fintechs françaises et publiée en janvier 2024 par le cabinet Frame révèle que seulement 44 % des paiements initiés via les API bancaires aboutissent, contre un taux de succès de 95 % pour la consultation de comptes. Dans 84 % des cas de rejet, les banques ne fournissent aucune explication à l’initiateur de paiement sur les raisons de l’échec, selon France FinTech.
Ces lacunes expliquent pourquoi l’open banking n’a pas encore tenu toutes ses promesses pour les commerçants. La DSP3, en cours d’adoption, vise précisément à corriger ces dysfonctionnements (voir section 8).
Comment mettre votre encaissement en conformité (3-D Secure 2, prestataires)
La mise en conformité avec la DSP2 repose sur quelques actions concrètes, accessibles même sans expertise technique approfondie.
Étape 1 : vérifier que votre PSP supporte le 3-D Secure 2
C’est le prérequis absolu. Les principaux prestataires de paiement du marché (Stripe, PayPal, et les solutions bancaires françaises) gèrent aujourd’hui le 3DS2 de façon native. Si vous utilisez un PSP plus ancien ou une solution maison, vérifiez explicitement que vos transactions transitent bien par le protocole 3DS2 et non par l’ancienne version.
Étape 2 : enrichir les données transmises à chaque transaction
Le protocole 3DS2 permet de transmettre plus de 100 champs de données à la banque émettrice. Plus votre requête est complète, plus la banque peut approuver le paiement en mode frictionless (sans que votre client ait à intervenir). Les données clés à transmettre sont : l’adresse e-mail du client, son adresse IP, le type de navigateur et de terminal, l’adresse de livraison, et l’historique d’achat sur votre site.
Étape 3 : mettre en place la gestion des soft declines
Votre système de paiement doit être capable de détecter un soft decline et de relancer automatiquement la transaction avec une demande d’authentification forte. Sans ce mécanisme, vous perdez des ventes que vous auriez pu conclure.
Étape 4 : sécuriser vos flux MIT et abonnements
Si vous proposez des abonnements ou des paiements récurrents, assurez-vous que chaque flux est rattaché à une transaction initiale authentifiée via 3DS2. Conservez la preuve du mandat (conditions générales acceptées, logs d’acceptation, contrat). Les identifiants vides ou génériques ne sont plus tolérés depuis 2025.
Étape 5 : choisir un PSP adapté à votre activité
Pour une TPE ou une PME, le choix du prestataire de paiement est déterminant. Un bon PSP gère la conformité DSP2 pour vous, optimise vos exemptions, et vous protège en cas de fraude. Il doit également vous fournir des indicateurs clairs sur vos taux d’authentification, de frictionless et d’échec.
L’impact sur le taux de conversion et comment le limiter
C’est la préoccupation numéro un des commerçants en ligne : l’authentification forte fait-elle fuir les clients ? La réponse honnête est : cela dépend de la qualité de votre implémentation.
Lors du déploiement initial de la SCA, certains commerçants ont observé des baisses de conversion de 10 à 25 % dans les premiers mois, principalement dues à des parcours mal optimisés et à des clients déstabilisés par ces nouvelles étapes. La situation s’est nettement améliorée depuis, grâce à la généralisation du mode frictionless du protocole 3DS2.
Aujourd’hui, entre 70 et 90 % des transactions 3DS2 s’effectuent en mode frictionless, c’est-à-dire sans aucune intervention demandée au client. La banque évalue le risque en arrière-plan, en moins d’une seconde, et approuve le paiement silencieusement. Le client ne voit rien. C’est l’expérience idéale à viser.
Les leviers pour maximiser votre taux de frictionless :
Vers la DSP3 : ce qui se prépare
La DSP2 n’est pas le dernier mot de la réglementation européenne sur les paiements. Le 27 novembre 2025, le Parlement européen et le Conseil ont conclu un accord politique sur la Troisième Directive sur les Services de Paiement (DSP3) et le Règlement sur les Services de Paiement (RSP), selon le Parlement européen. La publication formelle est attendue au premier semestre 2026, avec une première vague d’application entre fin 2026 et début 2027.
Ce qui change avec la DSP3 :
Selon la présidente de l’Afepame, le paquet DSP3/RSP représente « celui de la maturité : il prend acte des limites de la DSP2, se montre plus ferme sur les API et encourage davantage la coopération entre acteurs. »
Pour les commerçants, la DSP3 ne remet pas en cause les fondations posées par la DSP2 : elle les renforce. Les entreprises qui ont déjà optimisé leurs flux de paiement et sécurisé leurs données seront les mieux positionnées pour absorber ces nouvelles obligations.
Djaboo et la gestion de votre encaissement
Gérer la conformité DSP2 ne se résume pas à choisir le bon PSP. Elle s’inscrit dans une organisation plus large de votre activité : suivi des factures, gestion des paiements récurrents, traçabilité des mandats, et pilotage de votre relation client.
C’est précisément ce que Djaboo permet aux TPE et PME. La plateforme tout-en-un centralise la gestion financière, la facturation, le CRM et la gestion de projet en un seul espace de travail. Vous pouvez enregistrer un client et émettre une facture en moins de deux minutes, sans compétence technique ou comptable requise. Les paiements et les documents sont gérés directement depuis votre tableau de bord, ce qui vous donne une visibilité complète sur votre activité, y compris sur vos flux récurrents qui doivent être conformes aux exigences DSP2.
FAQ : vos questions sur la DSP2
La DSP2 s’applique-t-elle à mon site si mes clients sont en France et ma banque aussi ?
Oui. La DSP2 s’applique dès lors que la banque du payeur et la banque du commerçant sont toutes deux situées dans l’Espace économique européen. Si vous êtes un commerçant français et que vos clients paient avec des cartes émises par des banques françaises ou européennes, vous êtes pleinement concerné. En revanche, si l’un des deux acteurs (votre acquéreur ou la banque de votre client) est situé hors de l’EEE, la transaction est considérée comme « à une seule étape » et échappe aux obligations SCA.
Que se passe-t-il si je ne suis pas conforme à la DSP2 ?
Depuis mai 2025, toute transaction initiée sans authentification forte (et sans exemption justifiée) est systématiquement rejetée en soft decline par les émetteurs français. Au-delà de la perte de chiffre d’affaires, le risque principal est financier : en cas de fraude sur une transaction non authentifiée, la responsabilité vous incombe directement, et non à la banque émettrice. Votre PSP peut également vous sanctionner par un plafonnement de vélocité si vos flux MIT ne sont pas correctement chaînés.
Dois-je demander une authentification forte pour chaque paiement par abonnement ?
Non. Seule la première transaction d’un abonnement à montant fixe est soumise à la SCA. Les prélèvements suivants, au même montant et au profit du même bénéficiaire, en sont exemptés. En revanche, si le montant varie, la situation est plus complexe et dépend des pratiques de chaque établissement. Pour les MIT à montant variable, un mandat contractuel clair et une transaction initiale authentifiée sont indispensables. En cas de doute, consultez les ressources de la Banque de France ou de l’ACPR.
Quand la DSP3 entrera-t-elle en vigueur et dois-je m’y préparer maintenant ?
Un accord politique a été conclu en novembre 2025. La publication formelle est attendue au premier semestre 2026. Le Règlement sur les Services de Paiement (RSP), qui contient l’essentiel des obligations opérationnelles (SCA, fraude, open banking), sera directement applicable dans toute l’UE sans transposition nationale, environ 18 mois après sa publication, soit une première vague d’application attendue entre fin 2026 et début 2027. Vous n’avez pas à tout changer immédiatement, mais les décisions d’architecture et de choix de prestataires que vous prenez aujourd’hui conditionneront votre posture de conformité demain. Commencer par optimiser vos flux DSP2 actuels est la meilleure préparation possible.
