DSP3 & open banking : comment l'orchestrateur sécurise les paiements et augmente les ventes

Un acheteur à qui l'on demande un code reçu par SMS avant de valider son panier, c'est une vente qui peut se perdre. À l'inverse, une transaction frauduleuse qui passe peut se solder par un remboursement à l'acheteur, et c'est souvent au marchand de l'assumer. La DSP3 renforce les contrôles exactement là où les acheteurs sont le moins patients : au moment de payer. Mais le même texte ouvre aussi, via l'open banking, des parcours de paiement plus courts. Absorber la contrainte pour exploiter l'opportunité : c'est précisément le rôle d'un orchestrateur de paiement.

DSP3 et PSR : ce qui change vraiment pour les e-commerçants

La DSP2 avait posé les fondations : authentification forte du client (SCA) et ouverture des données bancaires à des tiers agréés (AISP et PISP). Mais l'hétérogénéité des API a freiné l'interopérabilité.

Proposés par la Commission européenne en juin 2023, la DSP3 et son règlement jumeau RSP1 (Payment Services Regulation) forment un ensemble cohérent : la directive fixe l'agrément et la supervision des acteurs, que les États transposent ; le règlement, directement applicable, fixe les règles opérationnelles du quotidien (droits des utilisateurs, sécurité, open banking, transparence). Quatre objectifs structurent le paquet :

1. Renforcer la lutte contre la fraude : partage d'informations anti-fraude entre PSP (encadré par le RGPD), vérification de la concordance entre le nom du bénéficiaire et son IBAN avant exécution, et surtout extension de la responsabilité à toute la chaîne technique : une passerelle ou un fournisseur technologique qui ne supporte pas correctement les exigences de sécurité ne peut plus se retrancher derrière la seule banque du client. Ces mesures répondent à l'émergence de fraudes comme le spoofing, où le fraudeur se fait passer pour le prestataire de paiement du client pour le pousser à valider lui-même l'opération : la transaction étant techniquement autorisée par le porteur, l'authentification forte seule ne suffit pas à la détecter.
2. Clarifier et étendre la SCA (Strong Customer Authentication), sans la multiplier. C'est le point le plus intéressant pour un e-commerçant : l'authentification forte reste le socle, mais son application devient plus intelligente. Fini les « re-SCA » inutiles. Pour les transactions initiées par le commerçant (MIT), l'authentification renforcée peut se concentrer au moment de la mise en place du mandat plutôt qu'à chaque occurrence. La SCA est également simplifiée pour l'accès aux données de compte, et doit devenir accessible à tous, y compris sans smartphone.
3. Fiabiliser l'open banking : suppression de la dualité d'interfaces, API dédiées avec engagements de performance, tableaux de bord de consentement pour l'utilisateur.
4. Préparer l'open finance (via FiDA) : accès standardisé aux données financières au-delà du seul compte de paiement.

Où en est-on exactement ? Le Parlement et le Conseil sont parvenus à un accord politique provisoire le 27 novembre 2025, et le texte issu de ces négociations a été approuvé en commission ECON le 5 mai 2026. Restent le vote formel et la publication : une fois la directive adoptée, les États membres disposeront d'un délai de transposition, auquel s'ajoute un délai de mise en conformité pour les entreprises. Le bon réflexe n'est donc pas d'attendre une date ferme, mais de vérifier dès maintenant que votre architecture de paiement peut absorber ces évolutions sans chantier de refonte.

DSP2 vs DSP3 : le comparatif

Les trois risques concrets côté marchand

• Plus de friction au checkout. De nouvelles obligations d'authentification et de contrôle peuvent alourdir le parcours. Le risque : une baisse mécanique du taux de conversion.
• Une exigence de preuve. Comme le souligne l'analyse de Deloitte Avocats que nous détaillons ici, il faudra démontrer que des dispositifs anti-fraude documentés et vérifiables sont en place, et que vous travaillez efficacement avec vos PSP.
• Une dépendance technique accrue. Chaque évolution réglementaire se traduit par des développements. Multipliés par le nombre de PSP connectés, ces chantiers saturent la roadmap IT.

Open banking : la nouvelle brique de conversion (et pas seulement de conformité)

L'open banking est trop souvent lu comme une contrainte réglementaire. C'est d'abord une opportunité de parcours.

Ce n'est pas un pari sur l'avenir. Le virement instantané progresse vite : + 84 % en 2023, même s'il ne représentait alors que 6,4 % du nombre de virements, relève la Banque de France. Le règlement européen sur les virements instantanés vise à généraliser son usage. Et la DSP3 lève précisément les freins qui limitaient leur adoption : fin de la double interface bancaire, liste des obstacles interdits à l'accès aux données, tableau de bord de consentement côté utilisateur. Les banques devront même publier des statistiques trimestrielles sur la disponibilité et la performance de leurs API : de quoi choisir ses partenaires sur des données mesurables plutôt que sur des promesses commerciales.

Dans un marché où l'expérience utilisateur compte autant que le prix, cette qualité d'intégration devient un facteur de différenciation. Encore faut-il pouvoir activer ces méthodes sans relancer un projet technique à chaque fois.

Le vrai coût du problème : l'abandon de panier

Selon le Baymard Institute, le taux moyen d'abandon de panier atteint 70 % (moyenne sur 49 études), un chiffre que nous analysons en détail dans Freins au paiement : pourquoi 70 % des paniers s'évaporent. Et une part significative de ces abandons se joue précisément sur les sujets couverts par la DSP3 :

• la méfiance vis-à-vis de la sécurité des informations bancaires, l'un des motifs d'abandon les plus fréquemment cités ;
• l'absence du moyen de paiement attendu, qui suffit à faire sortir un acheteur du parcours, un point que Purse adresse en connectant un large catalogue de PSP et de méthodes de paiement ;
• d'autres abandons s'expliquent par un parcours trop long, un 3DS déclenché sans discernement, ou un échec technique non rattrapé.

Autrement dit : trop de sécurité tue la vente, pas assez de sécurité aussi. L'enjeu n'est pas d'arbitrer entre les deux, mais d'adapter le niveau d'authentification au risque réel de chaque transaction.

Comment un orchestrateur de paiement résout l'équation

Un orchestrateur de paiement s'intercale entre votre SI et l'ensemble de vos prestataires (PSP, moyens de paiement, outils de fraude, ACS). Il devient le point de contrôle unique de vos flux, et donc le meilleur endroit pour absorber la réglementation sans pénaliser la conversion.

Le 3DS agnostique : authentifier au bon moment

Plutôt que de déclencher systématiquement le 3D Secure, l'orchestrateur calibre l'authentification selon le contexte réel : profil client, montant, pays, device, historique, niveau de risque. C'est exactement la logique d'authentification basée sur le risque que recommandent les acteurs de la fraude comme Cybersource : appliquer la SCA uniquement quand elle est nécessaire. Le résultat est un parcours frictionless pour les transactions sûres, et une authentification renforcée là où elle a de la valeur.

La DSP3 va plus loin en poussant les marchands à transmettre davantage de données contextuelles aux émetteurs (localisation, appareil, habitudes de dépense, historique, données de session). C'est exactement ce qu'un orchestrateur sait faire de manière systématique, et ce qui permet d'améliorer les taux d'approbation. EMVCo, l'organisme qui publie la spécification 3-D Secure, l'énonce clairement : des données plus riches améliorent la décision de l'émetteur et se traduisent par davantage de transactions approuvées et moins de refus injustifiés. Mieux informée, la banque émettrice distingue plus finement une transaction légitime d'une transaction suspecte. La conformité devient alors un gain de conversion, pas un coût. C'est ce qu'a obtenu Kiabi en orchestrant dynamiquement ses flux : un taux d'acceptation porté à 94 %, soit 2 à 3 points supplémentaires, en sortant de la dépendance à un PSP unique.

Les exemptions, pilotées finement

Pour les clients connus et réguliers, les banques peuvent autoriser la transaction sans authentification supplémentaire (analyse de risque, historique d'achat). Le programme Safer by CB vise par exemple à alléger l'authentification sur une partie des transactions, ses conditions précises étant à confirmer auprès de votre acquéreur.

Les propositions DSP3 élargissent nettement ce terrain de jeu : les transactions initiées par le commerçant (abonnements, paiements récurrents) sortent du champ de la SCA, seule la première transaction l'exigeant, et les transactions MOTO en sont également exemptées. Un gain direct pour les secteurs de l'abonnement, du voyage et du recouvrement, à condition de savoir appliquer la bonne règle à la bonne transaction.

Encore faut-il connaître les règles du jeu. Plusieurs exemptions coexistent (analyse de risque transactionnelle, faible montant, bénéficiaire de confiance inscrit en liste blanche, paiement récurrent, MIT, MOTO et le TRA (Transaction Risk Analysis) Acquéreur), chacune avec ses propres conditions d'éligibilité. Certaines dépendent du montant de la transaction, d'autres du taux de fraude constaté de votre prestataire. Les seuils exacts sont fixés par les textes techniques et sont susceptibles d'évoluer avec la DSP3 : ils se vérifient auprès de vos PSP plutôt qu'ils ne se supposent.

Quatre conséquences opérationnelles que peu de marchands anticipent :

• Votre taux de fraude est un actif. Il conditionne votre éligibilité aux exemptions les plus larges. Le surveiller par PSP, et pas seulement globalement, permet de router les transactions exemptables vers le prestataire le mieux placé.
• L'émetteur garde le dernier mot. Une exemption demandée peut être refusée par un soft decline : la banque répond qu'elle exige une authentification. Sans mécanisme de rejeu automatique en 3DS, cette transaction est perdue alors qu'elle était parfaitement légitime.
• Le bénéficiaire de confiance est sous-exploité. Cette exemption s'active côté acheteur : c'est lui qui vous inscrit en liste blanche auprès de sa banque. Inciter vos clients récurrents à le faire est un levier de conversion durable, et gratuit.

C'est tout l'intérêt d'un point de contrôle unique : ces arbitrages se pilotent par règles, se mesurent, et s'ajustent sans redéploiement.

Le TRA Acquéreur TRA (analyse de risque des transactions) de l’acquéreur : en tant que marchand, vous pouvez demander une exemption pour les transactions que vous considérez présenter un faible risque. Étant donné que c’est la responsabilité de l’acquéreur qui est engagée, il analyse le portefeuille de transactions dans son ensemble (valeur des transactions, taux de fraude) et décide s’il y a lieu, d’accorder une exemption ou non. Vous pouvez contacter votre acquéreur pour obtenir plus d’informations.

⚠️ Demander systématiquement des exemptions peut dégrader votre scoring auprès des banques émettrices, et donc votre taux d'acceptation. C'est un réglage fin, pas un interrupteur.

Le smart routing et le fallback : ne plus perdre une vente pour une raison technique

Un refus n'est pas toujours un refus définitif. L'orchestrateur permet de router intelligemment chaque transaction vers le PSP le plus performant (BIN routing), de rejouer un paiement échoué (retry) et de basculer automatiquement vers un prestataire de secours en cas d'indisponibilité (fallback). Autant de paniers sauvés qui n'auraient jamais été comptabilisés comme des ventes.

Le Vault : souveraineté des données et conformité

En centralisant les données de paiement dans un coffre-fort unique, vous devenez agnostique du PSP. Vous pouvez en changer, en ajouter ou en retirer sans repartir de zéro, un atout majeur quand la réglementation impose de faire évoluer votre stack.

Cette centralisation a un effet secondaire précieux : la réconciliation. Chez Kiabi, elle a permis de clôturer 2025 sans aucun écart de réconciliation, contre 2,8 M€ auparavant, précisément le type de traçabilité que la DSP3 rendra opposable.

Une seule intégration pour absorber la réglementation

C'est peut-être le bénéfice le plus sous-estimé : avec une intégration unique, les mises en conformité sont portées par l'orchestrateur, pas par votre équipe technique. Votre roadmap produit reste disponible pour ce qui crée réellement de la valeur.

Pour le détail des obligations texte par texte, nous avons publié un guide dédié : DSP3 : comprendre la directive et assurer votre conformité.

Activer le paiement par virement sans projet technique

Tout ce qui précède reste théorique si l'ajout d'une méthode de paiement suppose six mois de développement. C'est là que le lien entre la réglementation et l'orchestration devient concret.

L'initiation de paiement, créée par la DSP2, permet à l'acheteur de payer par virement depuis son compte bancaire, sans saisir de carte et donc sans 3D Secure. Jusqu'ici, ce canal restait fragile en production : chaque banque implémentait les API à sa manière, et l'interface de secours obligatoire entretenait les ruptures de parcours. C'est précisément ce que la DSP3 corrige, avec une interface dédiée unique, une liste d'obstacles interdits et des statistiques de performance publiées par les banques.

Purse est connecté à Fintecture, solution française de paiement de compte à compte, disponible en production sur la plateforme. Pour un marchand, l'activation relève du paramétrage, pas du développement : c'est ainsi que Kiabi a ajouté Fintecture à son parcours de paiement, aux côtés de Bizum.

La preuve par le terrain

iQera : la performance de paiement dans un contexte de recouvrement

Spécialiste de la gestion de créances pour compte de tiers, iQera devait sécuriser ses encaissements e-commerce et MO/TO tout en suivant les évolutions réglementaires (DSP2, DSP3) et en pilotant la performance de ses PSP. Avec Purse :

• +2 points de taux d'acceptation net
• 4 nouveaux moyens de paiement déployés (PayPal, SlimPay, Scellius et XPAY, ce dernier en cours de déploiement), là où seules les cartes CB, Visa et Mastercard étaient acceptées au départ
• Centralisation des règles de routage et pilotage unifié de la performance

👉 Découvrir le cas client iQera

Vertbaudet : les moyens de paiement locaux au service du cross-border

Présent dans 9 pays européens, Vertbaudet a unifié 8 PSP et 13 moyens de paiement derrière une API unique, sans refonte ni développement spécifique à chaque marché. En 12 mois : +4 points de taux d'acceptation sur les cartes bancaires, et une adoption massive des méthodes locales. 60 % des transactions belges passent désormais par Bancontact, contre 10 % auparavant, 50 % des transactions suisses par Twint, 54 % des clients portugais par MB Way.

L'orchestration permet en outre d'adapter dynamiquement le déclenchement du 3D Secure selon le marché et le comportement de l'utilisateur, ce qui réduit les interruptions inutiles. Nous détaillons cette approche dans notre guide Optimiser vos paiements e-commerce. Preuve qu'un catalogue de moyens de paiement piloté par l'orchestration se déploie à la vitesse du business, pas à celle de la roadmap IT. (Source : Vertbaudet, mai 2025.)

Votre plan d'action en 5 étapes

1. Cartographiez vos abandons. Distinguez abandon en amont du paiement, abandon en cours de checkout, refus technique et refus pour suspicion de fraude. Sans cette segmentation, aucune action n'est priorisable.
2. Auditez vos règles d'authentification. Quel pourcentage de vos transactions déclenche un 3DS ? Quelle part pourrait légitimement bénéficier d'une exemption ?
3. Mesurez votre taux d'acceptation par PSP, par BIN et par pays. Les écarts sont souvent supérieurs à ce que l'on imagine.
4. Testez un parcours A2A / open banking sur un segment (paniers élevés, clients récurrents, un pays pilote).
5. Évaluez votre dépendance technique. Combien de jours-homme coûterait l'ajout d'un PSP ou la mise en conformité DSP3 avec votre architecture actuelle ?

Ce qu'il faut retenir

• La DSP3 et le PSR ne sont pas qu'un sujet de conformité. Ils redéfinissent les règles à l'endroit exact où se jouent vos ventes : le checkout.
• La sécurité mal calibrée coûte plus cher que la fraude. Avec près de 7 paniers sur 10 abandonnés, chaque étape d'authentification inutile se paie en chiffre d'affaires.
• L'open banking est un levier de conversion, pas seulement une obligation : parcours plus courts, alternative à la carte, encaissement immédiat.
• L'orchestrateur est le bon point de contrôle : authentification au risque réel, exemptions pilotées, smart routing et fallback pour rattraper les échecs techniques.
• Une seule intégration, et la conformité est portée pour vous. Votre roadmap IT reste disponible pour ce qui crée de la valeur.