Qu'est-ce-que le SCA (ou l'authentification forte du client) ?

Mise à jour majeure de notre premier article consacré au sujet du SCA en septembre 2019.

Depuis le 15 mai 2021, sur décision des autorités européennes, l'ensemble des consommateurs européens bénéficie d'une protection renforcée sur les achats et réservations réalisés via internet (SCA). Ce nouveau dispositif a inévitablement des conséquences sur vos réservations en ligne. Voici un résumé des enjeux et des solutions apportées par elloha.

1) Qu'est-ce-que le SCA ?

SCA est un nouveau protocole de sécurité des paiements en ligne (pour Strong Customer Authentification ou Authentification Renforcée du Consommateur) imposé par les autorités européennes. En clair, désormais, il ne suffira pas de donner son numéro de carte bancaire (16 chiffres + date de validité + 3 chiffes CVV) sur un espace sécurisé pour finaliser une réservation. Il faudra aussi que le client saisisse un code numérique sur son téléphone mobile et/ou une empreinte digitale et/ou une empreinte faciale (FaceID) comme le permettent de plus en plus de terminaux mobiles. C'est le principe de l'authentification renforcée.

Ce protocole va plus loin que le 3DSecure qui consistait à récupérer un code sur son mobile et à le saisir sur internet pour finaliser votre paiement en ligne. Avec le SCA, le client devra s'authentifier une seconde fois via son téléphone mobile soit par son empreinte digitale, soit par son empreinte faciale. Il devra donc passer non pas par un moyen d'authentification mais par deux moyens d'authentification.

Nota : ce nouveau protocole ne concerne que les paiements de plus de 30€. Au-delà de ce montant, le SCA peut également bénéficier de régimes dérogatoires que les banques (des porteurs de cartes, c'est-à-dire, les banques de vos clients) décideront à leur propre niveau. Il se peut donc qu'une réservation d'un montant supérieur à 30€ ne soit pas sujette au protocole SCA. Dans ce cas-là, tout se passera comme d'habitude.

Dans les autres cas, sans cette authentification renforcée, l'achat ou la réservation en ligne peut être rejeté par la banque de votre client; ce qui peut représenter des pertes importantes en termes de chiffres d'affaires.

2) Pourquoi le 15 mai 2021 ?

Initialement, la mise en place du SCA devait se faire à partir du 14 septembre 2019, mais trop peu de banques et de systèmes de paiement étaient prêts à cette date. C'est pour cette raison que les autorités européennes ont repoussé sa mise en place définitive au 15 mai 2021. Tous les acteurs ont dû s'y conformer; ce qui est le cas de Stripe et de elloha, rassurez-vous !

Quelques banques avaient déjà adopté le protocole SCA avant cette date du 15 mai 2021. Cette adoption - il faut le souligner - s'est faite de manière anarchique (les banques ne préviennent pas forcément tous les acteurs de la chaîne). Cela a donc pu avoir des incidences sur quelques unes de vos réservations.

3) Quel impact pour les entreprises du tourisme ?

Disons-le tout-de-go, en ce qui concerne les réservations de moins de 30€, l'impact sera nul car le SCA ne s'appliquera pas.

Autre cas aussi peu risqué: si vos offres sont plutôt vendues en mode prepaid, vous ne devriez pas avoir à souffrir de ce nouveau protocole. Pourquoi ? Car le client recevra la notification SCA de sa banque au même instant où il sera en train de finaliser la réservation (sur votre moteur de réservation ou avec vous, au téléphone). Pour lui, la tentative de paiement qu'il recevra sera donc évidente et il la validera. Vous ne prenez donc pas le risque d'essuyer un refus de paiement de sa part à cet instant.

Les cas de rejet de paiement peuvent se multiplier, toutefois, dans les cas où un client réserve chez vous en postpaid pour une somme supérieure à 30€. 

En général, vous proposez du postpaid pour faciliter certaines réservations sur le thème "Réservez maintenant, payez à l'arrivée" ou dans le cas où vous avez décidé de percevoir une partie de la somme au moment de la réservation (exemple: acompte de 30%) et le solde à l'arrivée (ou avec un paiement intermédiaire à l'arrivée).

Cela veut dire que votre client recevra une notification SCA chaque fois que vous tenterez de débiter sa carte :

• au moment de la réservation, pour l'acompte : comme vu plus haut, cela ne devrait pas poser de souci car le client sera notifié sur le moment même où il réserve chez vous. Il sait donc pour quelle raison il doit accepter la validation SCA.
• lorsque vous tenterez de débiter sa carte avant son arrivée : là, il se peut que votre client ne se souvienne pas que vous deviez le débiter plus tard. Il reçoit une notification (alors qu'il est peut-être en train de dîner ou de faire du sport), il la voit ou non, il la relie ou non dans sa tête à la réservation qu'il a faite chez vous et ... s'il ne s'en souvient pas, ce dernier peut penser qu'il s'agit d'une tentative de fraude et donc, il peut rejeter votre demande de paiement.
• idem, si vous tentez de débiter sa carte bancaire après son départ de chez vous : pour de bonnes ou de mauvaises raisons, votre client peut décider de rejeter le paiement lorsque la notification SCA lui sera envoyée par sa banque sur son mobile ...

Dans tous ces cas de figure, à part de recontacter votre client et de procéder à un paiement de régularisation avec lui par téléphone, il se peut que vous soyez largement démuni(e) pour récupérer le solde de vos réservations.

Il se peut aussi que vous n'ayez plus accès aux CVV pour les saisir via un encaissement manuel sur votre terminal de paiement physique: la banque du client, en effet, aura pu décider de ne plus les accepter comme moyen de sécurisation du paiement.

4) Comment se prémunir ?

Pour éviter ces désagréments (mais sans garantie que cela vous protège systématiquement car, d'une banque à l'autre, on l'a vu, les protocoles et les dérogations peuvent être différents), nous avons mis en place plusieurs solutions très pratiques :

• d'une part, la possibilité de sélectionner vos modes de paiement (prepaid ou postpaid) en fonction de vos offres et non pas au niveau de toutes les offres de votre compte elloha : cela vous permettra d'imposer le prepaid sur les offres les plus "sensibles" et de laisser la liberté du postpaid sur les offres "moins risquées". En savoir plus ici
• d'autre part, nous avons déployé un nouveau système de mails qui notifie aussi vos clients dès que vous procédez à un encaissement ultérieur de tout ou partie de sa réservation. En étant ainsi prévenu, votre client aura plus de facilité à accepter la notification que lui aura adressée sa banque car il se souviendra qu'elle est en rapport avec sa réservation,
• enfin, grâce à notre connexion avec Stripe, vous bénéficiez d'un système de suivi de vos paiements qui indique aux banques si vous êtes un commerçant "fréquentable" ou non. L'expression est un peu exagérée mais elle est importante pour le SCA. En effet, si Stripe (qui voit toutes vos transactions) relève que vous avez subi peu de contestation de la part des porteurs de carte, il demande aussi à la banque de vous faire profiter d'une dérogation de SCA même pour des montants supérieurs à 30€. Cette demande de dérogation se fait en l'espace de quelques millièmes de secondes au moment où vous vous apprêtez à débiter la carte du client.

Nota : vous devez utiliser Stripe comme méthode de paiement pour bénéficier de ce système de demande de dérogation (Lire ici pour activer Stripe sur votre compte elloha). Attention, la demande de dérogation en temps réel n'est pas systématique et les règles de notation par Stripe peuvent changer selon les périodes et les opérateurs. elloha ne s'engage donc pas sur le fait que Stripe puisse activer systématiquement ces demandes de dérogation sur vos transactions bancaires. elloha ne s'engage pas non plus s'agissant des autres plateformes de paiement sécurisées de type Paybox ou Payzen.

En conclusion

Autant dire que ces modifications qui sont entrées en vigueur le 31 décembre dernier (et que certaines banques appliquent d'ores et déjà sans forcément communiquer dessus) risquent de perturber le business des pros du tourisme. 

Depuis plusieurs mois, les équipes de elloha travaillent activement sur ce sujet en relation avec nos partenaires fintech; au premier rang desquels Stripe (voir vidéo ci-dessus). Toutefois, le sujet n'est pas techniquement simple car, comme vous pouvez le lire sur cet article d'hier des Echos, personne (des banques aux plateformes technologiques) n'est et ne sera prêt en même temps. 

Du côté de elloha, les développements techniques sont prêts s'agissant de :

• la possibilité de gérer des modes de paiement différents (postpaid et prepaid) selon vos offres pour limiter vos risques de paiement en fonction de vos offres commerciales,
• l'envoi systématique (quand le mail est saisi) d'un message d'alerte à vos clients dès qu'un encaissement "différé" est en cours sur leur dossier de réservation et/ou leur carte bancaire (ou lorsque vous avez reçu leur chèque, par exemple).