Ce document s’adresse aux commerçants et à leurs équipes techniques qui souhaitent mettre en place 3-D Secure sur leur site de commerce électronique, pour les moyens de paiement CB, VISA, MASTERCARD, Bancontact et AMEX.

Pour avoir une vue d’ensemble de la solution Sherlock's, nous vous conseillons de consulter les documents suivants :

• Présentation fonctionnelle
• Guide de configuration des fonctionnalités

3-D Secure est un protocole d’authentification destiné à réduire les risques de fraude liés au paiement sur Internet. Il a pour but de s’assurer que la carte est bien utilisée par son véritable porteur.

Lors d’un paiement 3-D Secure, il y a une étape supplémentaire qui consiste à authentifier le porteur de la carte.

Outre le renforcement de la sécurité, 3-D Secure vous permet de bénéficier du transfert de responsabilité vers la banque émettrice de la carte. En cas de paiement frauduleux, vous êtes garanti de percevoir les fonds, c’est la banque du porteur de la carte qui supporte cette responsabilité. Dans de rares cas, la banque du porteur de la carte peut accepter une demande d’autorisation mais refuser ce transfert de responsabilité, dans ce cas précis le paiement n’est donc plus garanti, et le champ holderAuthentRelegationCode est valorisé à Y.

Ces règles de transfert de responsabilité sont édictées par les réseaux CB, VISA, MASTERCARD et Bancontact. Lorsque le paiement est garanti, le champ guaranteeIndicator est valorisé à Y.

Pour plus de détails sur les cas d’éligibilité au transfert de responsabilité, veuillez vous référer au paragraphe Calcul du transfert de responsabilité.

Le 3-D Secure s'applique dans les cas suivants :

• Paiement simple (décrit dans cette documentation)
• Paiement en plusieurs fois
• Paiement multiple à l'expédition
• Paiement par abonnement (via wallet ou via duplication)

La Directive des Services de Paiement 2 (DSP2), rendant obligatoire la réalisation d’une authentification forte pour les paiements initiés par le client sur Internet ou via une application mobile. 3-D Secure permet d’être en conformité pour les paiements par cartes avec cette nouvelle réglementation. Sans activation du 3-D Secure, vous vous exposez à des refus d’autorisation pour le motif de transactions non authentifiées.

Par conséquent, sauf avis contraire de votre part, toute nouvelle boutique e-commerce est inscrite sur Sherlock's avec l’option 3-D Secure activée par défaut.

Si l’option 3-D Secure n’est pas activée sur votre boutique, veuillez contacter l'assistance technique de Sherlock's pour activer cette option.

L’activation de l’option 3-D Secure se fait en 2 temps :

• étape 1 = enrôlement de votre boutique sur les Directory Servers (CB, VISA, MASTERCARD, AMEX, Bancontact) ;
  • Pour CB, Visa et Bancontact, l'enrôlement est quasiment immédiat
  • Pour MASTERCARD, l'enrôlement est réalisé en 7 jours
  • Pour AMEX, l'enrôlement est réalisé en 3 semaines
• étape 2 = activation de 3-D Secure lorsque l’enrôlement sur le Directory Server est réalisé :

Ce paragraphe décrit comment mettre en œuvre 3-D Secure pour les paiements à l’acte.

Le protocole 3-D Secure v2 permet d'authentifier le client de manière passive, lorsque le risque de fraude est suffisamment bas. Ce type d'authentification est aussi appelée authentification « frictionless ». Lors d'un paiement « frictionless », l’opération est bien authentifiée, mais le client n’est pas sollicité. Dans un cas de frictionless, un cryptogramme d’authentification est fourni par l’émetteur et transmis dans la demande d’autorisation.

La DSP2 distingue plusieurs cas d'exemption :

• les exemptions pour petits montants (< 30 €) ;
• les exemptions suite à une analyse de risque acquéreur (Transaction Risk Analysis Acquéreur) ;
• les exemptions suite à une analyse de risque émetteur (Transaction Risk Analysis Emetteur) ;
• les exemptions dans le cadre d'un paiement chez un bénéficiaire de confiance ;
• les exemptions sur l'utilisation de cartes non-nominatives (cartes attribuées aux personnes morales).

Le paiement frictionless se décline de 2 manières :

• frictionless commerçant, que vous demandez explicitement dans la requête de paiement, via le champ faudData.challengeMode3DS. Même si vous demandez une authentification « frictionless » la décision définitive d’accorder ou pas cette authentification frictionless reste du ressort de l’émetteur de la carte. Il est important de noter que si l’émetteur accorde l'authentification frictionless, dans ce cas, vous perdez la garantie de paiement, c’est alors vous qui supportez le risque d’impayé et non plus l’émetteur de la carte. Si l’émetteur n'accorde pas l'authenification « frictionless », il supporte le risque d'impayé.
• frictionless émetteur décidé par l’émetteur de la carte en fonction des données de contexte de la transaction que vous aurez renseignées dans la requête. Même si l’émetteur accorde l'authentification frictionless, vous conservez la garantie de paiement, c’est donc l’émetteur de la carte qui supporte le risque d’impayé.

Afin de favoriser le paiement « frictionless » et par conséquent optimiser votre taux de conversion, vous devez renseigner certains champs de la requête de paiement recommandés par les réseaux CB, VISA et MASTERCARD. Ces champs optionnels sont transmis au Directory Server du réseau ainsi qu’à l’émetteur de la carte qui décide ou pas d’accorder l'authentification frictionless.

Ce paragraphe liste les champs des connecteurs Sherlock's qui, s’ils sont alimentés, sont transmis au réseau de la carte ainsi qu’à l’émetteur dans la demande d’authentification. Ces données, définies par la norme EMVco, sont utilisées pour la lutte contre la fraude et favorisent l’obtention d'une authentification frictionless.

Seuls sont indiqués dans le tableau suivant les réseaux ayant explicitement donné des informations sur les champs ayant un impact sur l'obtention d'une authentification frictionless.

Parmi ces champs on peut distinguer :

• R - champs Recommandés par le réseau : ces champs facultatifs ont été identifiés par le réseau comme étant important pour le scoring de la transaction. Ainsi le réseau recommande leur alimentation par le commerçant si l’information est disponible.
• Rx - champs Recommandés par le réseau CB et ayant une pertinence majeure pour le scoring du DS CB : ces champs facultatifs ont été identifiés par le réseau CB comme étant très important pour le scoring de la transaction. Ainsi le réseau CB recommande leur alimentation par le commerçant si l’information est disponible. L'ordre d'importance est traduit par le chiffre derrière la lettre R. Les champs les plus importants sont classés en R1 et ainsi de suite.
• F - champs Facultatifs : ces champs sont purement facultatifs, le réseau n’a pas indiqué de recommandation pour leur alimentation.
• A - champs Absents : ces champs ne sont pas transmis au réseau.

Dans les 3 cas suivants:

• Problème technique
• BIN carte non éligible (BIN absent du message Pres du DS)
• Carte non enrôlée 3DSv2 (dans le message Ares du DS)

Sherlock's poursuit avec une Demande d’Autorisation CB2A 160 2019 avec flag d’indisponibilité avec les champs suivants:

• Champ 59 type 0407 = 09 (VAD)
• Champ 56 type 0033 = Octet1 bit ‘5’ activé «indisponibilité technique de mettre en œuvre l’authentification»

Les champs concernés sont valorisés de la manière suivante:

En fonction des options complémentaires auxquelles vous avez souscris, Sherlock's applique les règles suivantes :

En fonction de votre cas d’usage, suivez les recommandations d’intégration décrites dans un des chapitres précédents.

Une fois la mise en œuvre des connecteurs Sherlock's réalisée, vous pouvez effectuer des tests pour valider votre intégration de Sherlock's.

Si votre boutique n’a pas encore été inscrite au service 3-D Secure, vous devez en faire la demande auprès de votre interlocuteur habituel, en indiquant pour quels moyens de paiement le service 3-D Secure doit être activé (CB/VISA/MASTERCARD et/ou AMEX).

L’activation du service 3-D Secure est à présent opérationnelle en production.

Afin de vous assurer qu’il n’y a pas de régression, contrôlez l’évolution de votre taux de transformation. Il est normal que le taux de transformation réduise légèrement, mais si vous constatez une réduction importante de votre taux de transformation, avertissez rapidement votre contact habituel, afin qu’il réalise avec vous le diagnostic du problème rencontré.