L’authentification forte est un terme réglementaire avant d’être un argument commercial : il désigne une obligation précise pour les établissements de paiement. Cet article en rappelle la définition, les cas où elle s’applique, la valeur respective des méthodes (SMS, application, biométrie, clé) et ses limites face aux arnaques actuelles. Il se concentre sur l’usage bancaire des particuliers, sans promesse de protection absolue.
Qu’est-ce que l’authentification forte, exactement ?
Selon la Banque de France, la DSP2 exige la confirmation d’au moins deux facteurs appartenant à des catégories différentes, parmi la possession, la connaissance et l’inhérence. L’Autorité bancaire européenne a précisé en 2019, dans un avis, quels éléments entrent dans chaque catégorie.
| Catégorie | Exemples reconnus | Ne compte pas comme facteur |
|---|---|---|
| Connaissance | Mot de passe, code PIN, phrase de passe | Adresse e-mail, identifiant, données imprimées sur la carte |
| Possession | Code à usage unique généré ou reçu sur un appareil, application liée à l’appareil, lecteur de carte | Données imprimées sur la carte |
| Inhérence | Empreinte digitale, reconnaissance du visage, de la voix ou de l’iris | Données de protocole comme celles de 3-D Secure |
Les deux facteurs doivent être indépendants : la compromission de l’un ne doit pas compromettre l’autre. Un mot de passe associé aux seules données imprimées sur la carte ne forme donc pas une authentification forte : ces données ne sont reconnues comme facteur dans aucune catégorie.
Dans quels cas la banque doit-elle l’exiger ?
L’authentification forte s’applique à l’accès au compte en ligne et au déclenchement des paiements (Banque de France). Pour une carte sur Internet, elle passe par le dispositif 3D Secure, mis en œuvre en France depuis 2008 et rendu obligatoire dans la plupart des cas par la DSP2 (La Finance pour tous). Des dispenses existent : le paiement sans contact par carte en est un exemple, avec l’obligation en principe d’insérer la carte et de saisir le code au-delà de 50 euros, et un plafond cumulé fixé par la banque. Le paiement sans contact par mobile n’est pas soumis à ce plafond de 50 euros : seuls les plafonds de la carte ou du compte s’appliquent (économie.gouv.fr).
Pour la carte virtuelle, qui limite l’exposition du numéro de la carte principale, voir le guide de la carte virtuelle.
Quelles méthodes existent et que valent-elles ?
| Méthode | Catégorie | À savoir |
|---|---|---|
| Code reçu par SMS | Possession | Admis par l’ABE ; suppose que la banque ait le bon numéro ; trois codes erronés bloquent 3D Secure selon La Finance pour tous |
| Validation dans l’application bancaire | Possession, avec déverrouillage par code ou biométrie | Elle lie la validation à l’appareil enregistré |
| Biométrie (empreinte, visage) | Inhérence | Une donnée biométrique ne se réinitialise pas comme un mot de passe |
| Lecteur de carte, clé ou jeton matériel | Possession | Disponibilité selon l’offre de la banque |
L’ANSSI recommande de privilégier l’authentification multifacteur et, parmi les facteurs, ceux reposant sur la possession, ainsi que d’adapter la robustesse du mot de passe au contexte et d’utiliser un coffre-fort de mots de passe. Les méthodes disponibles dépendent de chaque banque. Sur la biométrie, voir l’article sur banques et biométrie ; sur la reconnaissance vocale, l’authentification vocale.
Authentification forte, 2FA, MFA : quelles différences ?
- 2FA (double authentification) : deux facteurs, soit le cas le plus simple d’authentification forte.
- MFA (multifacteur) : deux facteurs ou plus ; l’ANSSI emploie ce terme dans ses recommandations.
- Authentification forte (SCA) : le terme employé par la réglementation de paiement, qui fixe en plus des règles sur l’indépendance des facteurs et les cas d’application.
Un code à usage unique demandé après un mot de passe relève de la 2FA ; il constitue une authentification forte au sens de la DSP2 si les deux éléments respectent les critères ci-dessus.
Que ne protège pas l’authentification forte ?
Elle empêche l’usage de données volées sans le second facteur. Elle est contournée quand la victime fournit elle-même un code ou valide une opération. Selon l’Observatoire de la sécurité des moyens de paiement, cité par La Finance pour tous, la fraude par manipulation (faux conseiller, faux service antifraude) a atteint 516 millions d’euros en 2025, soit 41,6 % du montant total des fraudes aux moyens de paiement. Les fraudeurs combinent récupération d’accès par hameçonnage et manipulation pour obtenir une validation.
Les consignes officielles sont constantes : un conseiller bancaire ne demande jamais de mot de passe, de code de sécurité ou de validation par SMS ; en cas d’appel suspect, raccrocher et contacter la banque par son numéro officiel ; ne valider que les opérations que l’on a soi-même déclenchées, après avoir lu leur montant et leur bénéficiaire. Les démarches après une fraude (opposition, plainte, Perceval) sont décrites dans le guide pour sécuriser ses transactions bancaires en ligne et l’article sur la protection contre la fraude.
Comment sécuriser les autres comptes en ligne ?
La CNIL cite, pour les organismes qui conçoivent un service, un niveau de robustesse de 80 bits d’entropie sans mesure complémentaire, atteint par exemple avec 12 caractères de quatre types, 14 caractères de trois types ou une phrase de passe d’au moins 7 mots. Avec des mesures complémentaires (limitation des tentatives), elle admet des seuils plus bas. Pour un particulier, l’idée est qu’un mot de passe long et unique, un coffre-fort pour les retenir et un second facteur activé là où il est proposé forment un ensemble cohérent. Cybermalveillance.gouv.fr conseille aussi d’activer la double authentification quand elle existe.
À lire aussi
Questions fréquentes
L’authentification forte est-elle obligatoire pour tous les paiements en ligne ?
Elle l’est pour la plupart des paiements par carte sur Internet en Europe, avec des dispenses prévues par la réglementation pour certaines opérations. Selon l’opération, la banque peut donc demander ou non une validation.
Le SMS est-il considéré comme une authentification forte ?
Un code reçu sur un appareil est admis comme élément de possession dans l’avis de l’Autorité bancaire européenne de 2019. Il suppose que le numéro enregistré chez la banque soit le bon et que le code ne soit jamais communiqué à un tiers.
Que faire en cas de perte du téléphone servant de second facteur ?
Contacter la banque par un canal officiel pour bloquer l’accès et enregistrer un nouvel appareil, selon sa procédure. En cas de vol de la carte ou de soupçon de fraude, faire opposition, par exemple au 0 892 705 705.
Quelle différence entre authentification forte et mot de passe complexe ?
Un mot de passe, même long, ne représente qu’un seul facteur, de la catégorie connaissance. L’authentification forte exige un second élément d’une autre catégorie, comme un appareil enregistré ou une donnée biométrique.
La biométrie remplace-t-elle le mot de passe ?
Non, elle constitue un facteur d’inhérence qui s’ajoute à un autre. Sur un smartphone, elle sert souvent à déverrouiller l’application ou l’appareil, lequel constitue le facteur de possession.
Sources
- Banque de France — définition de l’authentification forte dans la DSP2, périmètre d’application
- Norton Rose Fulbright — synthèse de l’avis de l’Autorité bancaire européenne du 21 juin 2019 sur les éléments de l’authentification forte
- La Finance pour tous — 3D Secure, fraudes par manipulation (données de l’OSMP, 2025)
- ANSSI et CNIL — recommandations sur l’authentification multifacteur et les mots de passe
- Économie.gouv.fr et Cybermalveillance.gouv.fr — paiement sans contact, faux conseiller bancaire, réflexes de prévention
- Cybermalveillance.gouv.fr : que faire en cas de phishing ou d’hameçonnage ? — fiche réflexe sur l’hameçonnage
Article informatif ne constituant pas un conseil financier, juridique ou fiscal personnalisé. Les offres, frais et conditions évoluent : vérifiez les informations officielles et à jour de chaque établissement avant toute décision.