Une petite boutique a-t-elle besoin d'un outil antifraude à base d'IA ?

Rarement en premier. La première protection est de faire passer tous les paiements par carte sur internet par le protocole 3-D Secure, comme le recommande l'Observatoire de la sécurité des moyens de paiement. L'analyse de risque automatique est souvent déjà assurée par votre prestataire de paiement.

Peut-on prendre un numéro de carte par téléphone pour une commande passée sur le site ?

L'Observatoire recommande de ne jamais recourir à un paiement saisi à distance hors 3-D Secure lorsque le paiement s'effectue par internet et a été initié par le client.

L'analyse de risque permet-elle d'éviter l'authentification du client ?

Elle permet de demander une exemption, mais la banque du porteur de carte garde toujours la faculté d'exiger l'authentification forte.

Fraude au paiement en ligne : le rôle de l'IA

Pour une petite boutique en ligne, la lutte contre la fraude à la carte repose d'abord sur un protocole, pas sur un outil d'IA : faire passer les paiements par 3-D Secure, le dispositif qui permet à la banque du client de l'authentifier. L'analyse automatique du risque, qui repose sur des modèles statistiques ou d'apprentissage automatique, intervient ensuite, le plus souvent chez votre prestataire de paiement. Ce guide s'appuie sur la note de l'Observatoire de la sécurité des moyens de paiement (OSMP), publiée sur le site de la Banque de France, sur la prévention de la fraude hors 3-D Secure, dont la dernière mise à jour date du 14/09/2026.

Le cadre : l'authentification forte

La deuxième directive européenne sur les services de paiement, dite DSP2, prévoit une authentification forte du payeur pour les paiements électroniques à distance. Concrètement, le client confirme son paiement auprès de sa banque (application, code…). Le protocole 3-D Secure, dans sa version 2, gère ces échanges entre le commerçant, le porteur de la carte et leurs prestataires de paiement.

Le règlement européen qui précise la DSP2 prévoit des exemptions : bénéficiaire de confiance, paiements récurrents, paiements de faible montant, opérations à faible niveau de risque. C'est sur ce dernier point que l'analyse automatique du risque entre en jeu : le prestataire évalue la transaction et peut demander une exemption.

Deux précisions de l'OSMP comptent pour vous :

les demandes d'exemption ont vocation à passer elles aussi par 3-D Secure ;
la banque émettrice de la carte garde en tout état de cause la faculté d'imposer l'authentification forte, même quand une exemption est demandée.

Le point faible : les paiements hors 3-D Secure

L'OSMP constate que le taux de fraude reste structurellement plus élevé sur les paiements à distance faits hors 3-D Secure, en particulier :

les paiements MOTO (« mail order, telephone order ») : le client communique son numéro de carte par téléphone, courriel ou courrier, et quelqu'un le saisit ;
les paiements MIT (« merchant initiated transaction ») : des paiements déclenchés par le commerçant, par exemple pour un abonnement, à partir d'une carte déjà enregistrée.

Ces paiements ne donnent lieu à aucune authentification au moment où ils sont émis. Quiconque connaît les données de la carte peut les initier.

Ce que recommande l'Observatoire aux commerçants

La recommandation n° 1 de la note est claire :

n'accepter des paiements MOTO que pour les contrats conclus par un autre canal qu'internet (téléphone, courrier), et privilégier un paiement sécurisé par internet quand c'est possible ;
n'accepter les paiements par internet que par le canal sécurisé 3-D Secure, sauf exceptions (portefeuille mobile qui intègre l'authentification forte, paiements de type MIT) ;
ne jamais recourir à un paiement hors 3-D Secure ou MOTO lorsque le paiement se fait par internet et a été initié par le client.

Pour une petite boutique, la tentation existe : un client n'arrive pas à payer en ligne, il propose de donner sa carte par téléphone. C'est exactement le cas que la note demande d'éviter. Proposez plutôt un lien de paiement sécurisé.

Où l'IA intervient vraiment

Niveau	Qui	Ce que fait l'automatisation
Analyse de risque de la transaction	Votre prestataire de paiement	Note la transaction, demande ou non une exemption
Authentification	La banque du client	Décide d'exiger ou non l'authentification forte
Contrôle de la commande	Vous, ou un module de votre plateforme	Repère des signaux inhabituels dans les commandes

Au troisième niveau, des règles simples font déjà beaucoup, et un outil d'IA peut les compléter : commandes répétées avec des cartes différentes, adresse de livraison sans lien avec l'historique du client, montant inhabituel pour un nouveau compte. Ce sont des signaux à examiner, pas des preuves.

Les précautions

Pas de refus automatique sans regard humain pour les cas limites : un bon client bloqué par erreur est un client perdu, et la décision vous revient.
Demandez à votre prestataire comment fonctionne son analyse de risque, quelles exemptions il demande, et comment vous voyez les transactions refusées.
Ne stockez jamais vous-même les numéros de carte dans un fichier, un e-mail ou un outil d'IA.
Formez la personne qui prend les commandes au refus poli du paiement par téléphone pour une commande internet.

Pour aller plus loin, la note complète de l'OSMP est publiée sur le site de la Banque de France, et votre prestataire de paiement est votre premier interlocuteur.