La SCA (strong customer authentication, authentification forte du client) est l'exigence posée par la DSP2 — directive (UE) 2015/2366 — pour l'accès aux comptes de paiement et l'initiation d'opérations. Elle impose au moins deux facteurs issus de catégories distinctes — connaissance, possession, inhérence — indépendants entre eux, de sorte que la compromission de l'un ne compromette pas les autres.
Le lien dynamique, exigence spécifique au paiement
Pour une opération de paiement, le code d'authentification doit être dynamiquement lié au montant et au bénéficiaire. Toute modification de l'un ou de l'autre invalide le code. Le payeur doit par ailleurs se voir présenter ces éléments au moment où il valide.
Cette règle vise précisément la fraude par manipulation : un utilisateur trompé par un faux conseiller peut fournir un facteur valide, mais il doit alors voir le montant et le destinataire réels de ce qu'il autorise. C'est la différence entre authentifier une session et authentifier une transaction.
Exemptions et angle mort
La DSP2 prévoit des exemptions encadrées : opérations de faible montant, bénéficiaires enregistrés comme de confiance, paiements récurrents identiques, analyse de risque en temps réel sous conditions. Elles réduisent la friction, au prix d'une surface d'attaque à surveiller.
L'angle mort demeure l'écart entre ce que l'utilisateur croit valider et ce qu'il valide. Un challenge qui explicite l'action, et qui exige un raisonnement plutôt qu'une saisie de code, réduit cet écart.
Aller plus loin : définition de la DSP2 · authentification transactionnelle · sécuriser un virement avec facteur cognitif · l'authentification cognitive