PSD3 security and compliance: everything e-commerce merchants need to know

Carte bancaire européenne reliée aux méthodes d'authentification forte : code, empreinte, visage

La Directive sur les services de paiement 3 (DSP3) est la prochaine grande évolution réglementaire européenne en matière de paiements. Après la DSP2, qui a imposé l’authentification forte (SCA) et ouvert la voie à l’open banking, la DSP3 vise à renforcer la sécurité des paiements, améliorer la concurrence et clarifier les règles de responsabilité en cas de fraude.

Pour les e-commerçants, responsables paiement, DSI et DAF, cette directive n’est pas qu’une nouvelle contrainte : c’est aussi une opportunité d’optimiser ses parcours de paiement et de renforcer la confiance des clients.

Dans cet article, nous faisons le point sur la DSP3, ses nouveautés, ses impacts pour le commerce en ligne et les bonnes pratiques pour se préparer.

Qu’est-ce que la DSP3 ?

La DSP3 (Directive sur les services de paiement 3) est la troisième directive européenne encadrant les services de paiement. Elle vient compléter et mettre à jour la DSP2, en vigueur depuis 2018.

Ses objectifs principaux sont :

Renforcer la sécurité des paiements en ligne grâce à un encadrement plus strict des prestataires.
Améliorer la protection des consommateurs, notamment en cas de fraude ou de litige.
Encadrer davantage l’open banking, afin d’assurer une concurrence équitable entre banques, fintechs et nouveaux acteurs.
Uniformiser les règles au sein de l’Union européenne, pour limiter les différences d’application entre pays.

En résumé, la DSP3 est une évolution réglementaire qui vise à adapter le cadre légal à un marché où les paiements se diversifient et où la cybercriminalité se complexifie.

DSP3 vs DSP2 : quelles différences ?

La DSP2 avait marqué un tournant en imposant l’authentification forte (SCA), devenue obligatoire sur la plupart des paiements en ligne. Elle avait également introduit les services d’agrégation et d’initiation de paiement via API, ouvrant le marché à de nouveaux acteurs.

Avec la DSP3, on passe à l’étape suivante :

Plus de sécurité et de contrôle : les prestataires de services de paiement (PSP, fintechs, banques) devront se soumettre à des contrôles renforcés, notamment sur la gouvernance et la cybersécurité.
Plus de clarté sur les responsabilités : en cas de fraude, la responsabilité sera mieux définie entre le marchand, la banque et le prestataire. Par exemple, la Commission européenne envisage d’imposer un remboursement automatique des consommateurs victimes de fraude, sauf preuve de négligence grave.
Encadrement renforcé de l’open banking : les API devront répondre à des standards plus homogènes, pour assurer une concurrence loyale entre banques et fintechs.
Focus sur la lutte contre la fraude : obligations de reporting accrues, meilleure coopération entre acteurs, et rôle renforcé des superviseurs nationaux.
Encadrement des frais de paiement par carte : la DSP3 pourrait plafonner certains frais facturés aux marchands pour éviter les disparités et pratiques abusives, notamment sur les cartes interbancaires.

Les impacts de la DSP3 pour les e-commerçants

1. Sécurité renforcée = plus de frictions possibles

De nouvelles obligations d’authentification et de contrôle peuvent complexifier le parcours client. Le risque : une baisse du taux de conversion si les étapes de paiement deviennent trop lourdes.

2. Lutte contre la fraude plus exigeante

La conformité DSP3 implique une surveillance accrue des transactions. Les commerçants devront prouver qu’ils collaborent efficacement avec leurs PSP et qu’ils appliquent les bonnes pratiques.
👉 Selon Deloitte Avocats, cela pourrait passer par une obligation de mise en place de plans anti-fraude documentés et vérifiables, avec des contrôles réguliers.

3. Nouvelles opportunités via l’open banking

La DSP3 consolide le cadre de l’open banking. Cela ouvre des perspectives pour :

l’initiation de virement instantané,
les solutions de paiement alternatives à la carte bancaire,
l’intégration plus fluide de wallets et d’agrégateurs.

4. Responsabilités mieux définies

En cas de litige ou de fraude, les règles seront plus claires pour déterminer qui rembourse l’utilisateur. Cela peut réduire les risques juridiques mais aussi exiger une vigilance accrue côté commerçant.

Comment se préparer à la DSP3 ?

La DSP3 ne sera pas immédiatement applicable : comme toute directive européenne, elle devra être transposée en droit national. Mais attendre serait une erreur stratégique.

Étape 1 : Auditer vos parcours de paiement

Identifier les points de friction liés à l’authentification forte.
Mesurer l’impact potentiel sur vos taux de conversion.

Étape 2 : Renforcer vos dispositifs anti-fraude

Vérifier l’efficacité de vos règles de 3DSecure et d’exemptions.
Ajouter des plans anti-fraude
Évaluer vos solutions de scoring et de monitoring.

Étape 3 : Diversifier vos moyens de paiement

Explorer le virement instantané et les solutions d’open banking.
Intégrer des wallets pour répondre aux attentes des clients.

Étape 4 : S’appuyer sur un partenaire expert

Se préparer à la conformité DSP3 nécessite une approche globale mêlant technique, réglementaire et business.

Les questions les plus fréquentes

Quand la DSP3 entrera-t-elle en vigueur ?
La directive doit encore être validée puis transposée par chaque pays de l’UE. Son entrée en vigueur est attendue à l’horizon 2026.

La DSP3 remplace-t-elle la DSP2 ?
Oui, la DSP3 viendra compléter et remplacer progressivement la DSP2, tout en reprenant ses acquis (authentification forte, open banking).

Quels sont les principaux changements de la DSP3 ?

Renforcement de la lutte contre la fraude (plans anti-fraude obligatoires, reporting accru),
Clarification des responsabilités en cas de fraude avec remboursement quasi-automatique des victimes,
Encadrement des frais de paiement par carte,
Supervision renforcée de l’open banking et des PSP.

Comment un e-commerçant peut-il se préparer à la DSP3 ?
En auditant ses parcours de paiement, en renforçant ses outils anti-fraude (notamment avec un plan documenté), en diversifiant ses moyens de paiement et en s’appuyant sur un partenaire comme Purse.

Conclusion

La DSP3 n’est pas seulement une nouvelle contrainte réglementaire. Pour les e-commerçants et les responsables paiement, elle représente une chance de renforcer la sécurité, d’ouvrir de nouvelles options de paiement et de bâtir la confiance des clients.

En anticipant la PSD3 compliance, you can turn this directive into a competitive advantage. And with Purse, you have a partner capable of simplifying regulatory complexity to optimize your payments.

👉 Want to get ahead of PSD3 and optimize your payments?

‍