Le 9 septembre 2026, la Banque de France a publié le rapport 2025 de l’Observatoire de la sécurité des moyens de paiement (OSMP). Le constat global tient en deux chiffres qui vont dans des directions opposées. Le rapport 2025 de l’OSMP mesure un montant annuel de fraude en progression de 3,8 %, à 1,241 milliard d’euros, tandis que le nombre de transactions frauduleuses recule de 8 %, à 7,2 millions d’opérations. La carte bancaire affiche 47 euros de fraude pour 100 000 euros de paiements, son plus bas niveau historique, toujours selon l’Observatoire. Pour une TPE qui vend en ligne, l’information utile est ailleurs : dans un plan d’action ciblé sur les paiements à distance qui échappent au protocole de sécurité standard, et dans la montée des litiges commerciaux traités comme de la fraude.
Ce que mesure l’Observatoire en 2025
Le tableau ci-dessous reprend les indicateurs publiés dans le rapport 2025 de l’OSMP.
| Indicateur 2025 | Valeur | Évolution |
|---|---|---|
| Fraude annuelle tous moyens de paiement | 1,241 Md€ | +3,8 % |
| Transactions frauduleuses | 7,2 millions | −8 % |
| Taux de fraude sur la carte | 47 € / 100 000 € | Historiquement bas |
| Taux de fraude sur le chèque | 69 € / 100 000 € | Plan de sécurité en cours |
| Fraude par manipulation (faux conseiller, substitution d’IBAN) | 516 M€ | Part doublée en quatre ans |
| Source : OSMP, rapport 2025 (Banque de France) | ||
Ces manipulations atteignent ainsi un peu plus de 40 % du montant total de la fraude. Elle frappe surtout le virement et le faux conseiller bancaire, pas la carte en boutique. Sur les paiements par carte sur internet, le taux de fraude sur internet a diminué de moitié depuis 2020, d’après les données de l’Observatoire. C’est le résultat direct de la généralisation de l’authentification forte.
Les paiements hors 3-D Secure limités à un euro depuis mai 2025
3-D Secure est le protocole technique qui porte l’authentification forte entre le commerçant, le porteur de carte et leurs prestataires de services de paiement. L’Observatoire y a consacré une recommandation mise à jour en janvier 2026. Le principe est brutal : depuis le 12 mai 2025, un paiement internet hors 3-D Secure de plus de 1 euro n’est plus admis en France, selon la recommandation de l’OSMP. L’Observatoire décrit un seuil d’exclusion descendu par étapes, de 500 euros en juin 2024 jusqu’à 1,01 euro en mai 2025, avec un passage à 0,01 euro prévu le 12 janvier 2026 pour les demandes de vérification de carte.
Résultat : tout achat en ligne par carte transite désormais par le protocole 3-D Secure, même quand une exemption dispense le client de s’authentifier. Les rares flux qui passent encore hors 3-D Secure sont des paiements initiés par le commerçant, pas par l’acheteur. Un e-commerçant qui constaterait des autorisations au-delà d’un euro sans 3-D Secure aurait un problème de configuration chez son prestataire de paiement, et le rapport de l’Observatoire invite explicitement à vérifier la qualification de ces demandes.
Exemptions, faible montant, faible risque
L’authentification forte, obligatoire en France pour tout achat en ligne, impose au client deux des trois facteurs prévus par la DSP2, un code, un téléphone ou une donnée biométrique. La fiche France Num dédiée aux paiements en ligne précise les exemptions possibles pour les achats de faible valeur, inférieurs à 30 euros, quand le cumul des opérations depuis la dernière authentification ne dépasse pas 100 euros ou cinq transactions.
Le point technique intéressant pour un marchand : c’est le protocole 3-D Secure lui-même qui porte les demandes d’exemption. Un paiement de 25 euros peut bénéficier d’une exemption, mais s’il transite par 3-D Secure, l’émetteur garde la possibilité de demander l’authentification quand le risque paraît élevé. Les recommandations de l’Observatoire poussent dans ce sens, présenter les paiements exemptables via 3-D Secure plutôt que de les court-circuiter. Le taux de fraude reste maîtrisé sur ces paiements exemptés, précise le rapport 2025.
Abonnements et réservations, le terrain des litiges commerciaux
Les paiements initiés par le marchand (les « MIT », Merchant Initiated Transactions) servent les abonnements, le paiement en plusieurs fois et les réservations. Les flux qui en font partie affichent un taux de fraude structurellement plus élevé, et l’Observatoire a découvert en interrogant les commerçants à risque une cause inattendue. Une part significative de ces opérations est en réalité composée de litiges commerciaux. Un client qui conteste avoir souscrit un abonnement signale la transaction comme frauduleuse auprès de sa banque, la banque rembourse son client puis émet une rétrofacturation (chargeback) auprès du commerçant, faute d’authentification forte sur ce paiement.
Le coût tombe donc sur le marchand, même quand la vente était réelle et livrée. La réponse de l’Observatoire passe par une nouvelle recommandation sur la sécurisation des MIT, avec un point d’appui pratique. Pour la souscription initiale d’un abonnement, une authentification systématique, sans exemption possible, est préconisée. Pour un e-commerçant qui vend des abonnements, le premier paiement du client mérite donc d’être faire authentifier le premier paiement du client par 3-D Secure, authentifié par 3-D Secure, car cette référence de chaînage solidifie ensuite les prélèvements suivants.
Ce qu’une TPE e-commerçante a à vérifier
Trois vérifications découlent directement du rapport, à mener auprès de son prestataire de paiement et dans son back-office. Si l’encaissement à distance est encore à construire, l’article sur le lien de paiement décrit le point de départ.
- S’assurer que les paiements initiés par le client passent tous par 3-D Secure, y compris les petits montants exemptables, plutôt que d’être court-circuités.
- Si le site vend des abonnements ou des réservations, vérifier que le premier paiement du client est authentifié fortement avant les prélèvements suivants.
- Examiner les demandes d’autorisation à 0 ou 1 euro (vérifications de carte, pré-autorisations) pour confirmer qu’elles sont correctement qualifiées, le seuil prévu par l’OSMP changeant en janvier 2026.
Ces réglages ne coûtent rien, et s’inscrivent à côté des mises à jour de sécurité dans l’hygiène de base d’un site marchand. Ils tombent au moment où l’Observatoire poursuit son plan d’action sur la carte à distance jusqu’en 2026, selon le rapport 2025.
Ce que les chiffres ne disent pas
Le rapport publie des taux agrégés, pas de ventilation par taille de commerçant ni par plateforme de vente. Impossible de savoir depuis ces données si une petite boutique en ligne subit proportionnellement plus ou moins de fraude qu’un grand site. Les litiges commerciaux, eux, ne sont chiffrés qu’à travers les échanges qualitatifs avec les commerçants ayant accepté un plan d’action, pas par une statistique nationale. Enfin, la fraude par manipulation, qui dépasse désormais 40 % du total selon l’OSMP, concerne surtout les virements bancaires et le faux conseiller, un risque pour la trésorerie de toute TPE, au-delà du e-commerce.
Mise à jour le 17 octobre 2026. Données : rapport annuel 2025 de l’OSMP et recommandation sur les paiements à distance, consultables sur le site de la Banque de France, fiche France Num.