Encaisser par carte sur votre site sans mauvaises surprises : 3D Secure, fraude et rétrofacturations

Vendre en ligne implique d'encaisser par carte, et encaisser par carte implique deux risques que beaucoup de commerces découvrent trop tard : les commandes passées avec des cartes volées et les rétrofacturations, lorsque le titulaire conteste auprès de sa banque et que l'argent vous est repris. Aucun des deux ne disparaît complètement, mais on peut les réduire fortement avec des décisions simples.

Ne stockez pas de cartes : laissez la passerelle s'en charger

La première règle est que les données de carte ne transitent pas par votre serveur. Les passerelles de paiement connues (celle de la banque, Stripe, Redsys, PayPal et similaires) proposent leurs propres formulaires ou pages de paiement où le client saisit sa carte directement dans leurs systèmes. Votre site ne reçoit qu'une confirmation.

Ainsi, si un jour quelqu'un s'introduit dans votre site, il n'y trouve aucun numéro de carte à voler. Et vous vous épargnez des exigences de sécurité des paiements pensées pour des entreprises bien plus grandes. Si votre site enregistre des cartes dans sa propre base de données « pour que le client n'ait pas à la ressaisir », c'est le moment de revoir cela.

3D Secure : la confirmation demandée par la banque

Vous l'avez sûrement vu en tant qu'acheteur : vous payez et la banque vous demande de confirmer dans son application ou avec un code. C'est l'authentification forte qu'impose la réglementation européenne sur les paiements (connue sous le nom de PSD2) pour la plupart des achats en ligne, et en pratique elle passe par le système 3D Secure.

Pour le commerçant, elle a un avantage important : lorsque le paiement a été authentifié ainsi, dans de nombreux cas de fraude, la responsabilité passe du commerçant à la banque émettrice. C'est pourquoi il convient de vérifier qu'il est activé sur votre passerelle et de ne pas le désactiver pour « réduire la friction ».

Les signes d'une commande suspecte

Aucun système n'est parfait, il vaut donc la peine de vérifier à la main les commandes qui sortent de l'ordinaire, surtout en haute saison :

• Des montants très supérieurs à votre panier moyen, ou plusieurs exemplaires d'un même produit cher.
• Une adresse de livraison sans aucun rapport avec l'adresse de facturation, ou des envois express vers des points relais.
• Plusieurs tentatives de paiement échouées d'affilée avec des cartes différentes.
• Des adresses e-mail incohérentes ou tout juste créées, et des téléphones qui ne répondent pas.

En cas de doute, un appel au client avant l'expédition règle beaucoup de cas. Un acheteur légitime le comprend ; un escroc disparaît généralement.

Comment éviter les rétrofacturations qui ne sont pas de la fraude

Beaucoup de rétrofacturations ne viennent pas d'escrocs, mais de clients qui ne reconnaissent pas le prélèvement ou qui n'arrivent pas à vous joindre. Pour les réduire :

• Que le nom qui apparaît sur le relevé bancaire soit reconnaissable et ressemble à celui de votre site.
• Envoyez une confirmation de commande et d'expédition avec un numéro de suivi.
• Ayez un contact visible et répondez vite : mieux vaut un remboursement qu'une rétrofacturation.
• Conservez les preuves de livraison et des échanges avec le client, au cas où vous devriez vous défendre.

Vérifiez aussi les accès

Le compte de votre passerelle de paiement est aussi important que votre compte bancaire. Activez la validation en deux étapes, ne partagez l'identifiant principal avec personne et donnez à chacun uniquement les droits dont il a besoin. Un accès volé à la passerelle permet, par exemple, d'effectuer des remboursements vers les cartes d'autres personnes.

Si vous voulez que votre boutique encaisse en toute sécurité et sans vous compliquer la vie, sur pablopedrosa.com vous pouvez m'exposer votre cas sans engagement.