Quel est l'effet réel du 3D Secure sur le taux de conversion ?

L'authentification forte du porteur de carte est devenue la règle sur les paiements en ligne européens, et elle ajoute une étape entre le clic sur le bouton de paiement et la confirmation de commande. Cette étape a un coût, parfaitement mesurable, et le 3D Secure et le taux de conversion forment pourtant l'un des sujets où circulent le plus de chiffres invérifiables, souvent repris de source en source sans que personne ne remonte à l'origine. Ce qui suit s'en tient à ce qui est établi : le cadre applicable, les cas où l'authentification peut être évitée légalement, les ordres de grandeur observés, et surtout la méthode pour mesurer l'effet sur sa propre boutique plutôt que de reprendre une statistique lue ailleurs.

Le cadre applicable

Avant de parler de conversion, il faut savoir ce qui est obligatoire et ce qui ne l'est pas, car une partie des pertes constatées vient d'une application plus stricte que ce que la réglementation exige réellement. Ce sujet touche directement à la construction du parcours d'achat que nous traitons dans la rubrique e-commerce.

L'origine de l'obligation

La deuxième directive européenne sur les services de paiement impose une authentification forte du client pour la plupart des paiements électroniques, avec une entrée en application progressive, achevée en France au cours de l'année 2021. L'authentification forte suppose deux facteurs parmi trois catégories : quelque chose que le client sait, quelque chose qu'il possède, quelque chose qu'il est. En pratique, cela se traduit par une validation depuis l'application bancaire, avec une reconnaissance biométrique ou la saisie d'un code, l'envoi par message ayant progressivement disparu.

Ce qui a changé avec les versions récentes

La première génération du protocole reposait sur un mot de passe statique ou un code envoyé par message, et produisait des taux d'échec très élevés. Les versions actuelles transmettent au commerçant et à la banque une quantité d'informations bien plus riche sur le contexte de la transaction, ce qui permet une authentification sans interaction quand le risque est jugé faible. Cette évolution change complètement les ordres de grandeur, et c'est précisément pourquoi les chiffres publiés avant cette transition, encore largement repris, n'ont plus aucune valeur aujourd'hui.

L'authentification sans friction

Le cas le plus fréquent aujourd'hui n'est pas la demande de code mais l'authentification silencieuse : la banque reçoit les éléments de contexte, estime le risque faible et valide sans rien demander au client. Le taux de transactions traitées ainsi dépend directement de la qualité des données transmises par la boutique et par le prestataire de paiement, et c'est le premier levier d'amélioration, bien avant toute considération d'ergonomie du tunnel ou de choix de prestataire.

Les exemptions prévues

La réglementation prévoit des cas où l'authentification peut être omise : les montants faibles dans certaines limites cumulées, les bénéficiaires enregistrés par le client dans son espace bancaire, les transactions initiées par le commerçant dans le cadre d'un abonnement, et l'analyse de risque de la transaction quand les taux de fraude du prestataire restent sous certains seuils. Ces exemptions ne s'appliquent pas d'elles mêmes, elles se demandent explicitement au moment de la transaction, et beaucoup de boutiques ne les demandent jamais, faute de les avoir paramétrées, ou simplement faute d'en connaître l'existence.

Le transfert de responsabilité

L'authentification a une contrepartie souvent oubliée dans le débat sur la conversion : lorsqu'elle a lieu, la responsabilité d'une fraude bascule sur la banque du porteur, alors qu'elle reste au commerçant lorsqu'il a demandé une exemption. Une boutique qui multiplie les exemptions pour améliorer sa conversion augmente donc mécaniquement son exposition aux impayés, et l'arbitrage doit se faire en tenant compte des deux plateaux de la balance. Sur un secteur exposé à la fraude, quelques points de conversion gagnés peuvent coûter bien davantage en impayés, et le calcul se fait en euros plutôt qu'en pourcentages.

Ce qui reste hors du champ

Il est utile de savoir ce que l'obligation ne couvre pas, car cela évite de chercher un problème là où il n'y en a pas. Les paiements où ni la banque du client ni celle du commerçant ne sont situées dans l'espace économique européen échappent au dispositif, ce qui concerne une part non négligeable des boutiques vendant à l'international. Les paiements par virement, par prélèvement dans le cadre d'un mandat déjà signé, ou par certains moyens de paiement fractionné obéissent à d'autres règles. Les transactions initiées par le commerçant sur la base d'un accord préalable, typiquement le renouvellement d'un abonnement, sont expressément prévues et ne demandent pas de nouvelle authentification, à condition d'avoir été correctement déclarées lors du premier paiement. C'est ce dernier point qui pose le plus de difficultés en pratique : un abonnement dont le premier paiement n'a pas été enregistré comme tel produit une demande d'authentification à chaque échéance, avec un taux d'échec considérable puisque le client n'est pas devant son écran.

Ce que l'on observe réellement

Les chiffres circulant sur ce sujet sont souvent anciens, rarement sourcés et presque toujours issus de contextes très différents de celui de la boutique qui les lit. Quelques ordres de grandeur restent malgré tout utiles, à condition de les traiter comme des repères et non comme des objectifs, dans l'esprit de la mesure honnête décrite dans notre article sur le tunnel de commande en une page contre plusieurs étapes.

Le taux d'abandon à l'étape d'authentification

Sur les boutiques correctement configurées, la part des transactions abandonnées pendant l'authentification se situe généralement entre trois et huit pour cent des paiements engagés, avec des écarts importants selon le public et le panier. Ce chiffre monte nettement quand l'authentification impose un basculement vers une application tierce sur un téléphone, et il descend nettement quand elle est silencieuse ou présentée dans un cadre intégré au parcours plutôt que dans une page distante.

La différence entre appareils

L'écart le plus marqué ne porte pas sur le type de boutique mais sur l'appareil. Sur ordinateur, l'authentification demande souvent au client d'aller chercher son téléphone, ce qui crée une rupture réelle dans le parcours et un abandon sensiblement plus élevé. Sur téléphone, le basculement d'une application à l'autre est plus fluide mais fait perdre le contexte du navigateur, avec des retours qui échouent parfois et un client qui se retrouve devant une page vide. Mesurer séparément ces deux populations est indispensable, une moyenne les mélangeant sans rien dire d'exploitable.

Les échecs techniques, distincts des abandons

Une part des transactions échoue non pas parce que le client renonce mais parce que quelque chose se passe mal en chemin : délai dépassé, retour vers la boutique perdu, cadre bloqué par un navigateur, application bancaire indisponible. Ces cas relèvent d'une correction technique et n'ont rien à voir avec l'ergonomie du tunnel de commande. Les confondre conduit à conclure que le client a renoncé alors qu'il a simplement été empêché, et à travailler sur le mauvais problème pendant des mois.

Le poids du panier

Le montant du panier influence le comportement dans les deux sens, ce qui est contre intuitif : les petits montants bénéficient plus souvent d'une exemption et sont donc moins concernés, tandis que sur les paniers élevés, le client accepte plus volontiers une étape supplémentaire qu'il perçoit comme une protection. Le creux se situe sur les montants intermédiaires, trop élevés pour bénéficier d'une exemption et pas assez pour que le client juge l'effort justifié. C'est sur cette tranche que les leviers décrits plus loin produisent le plus d'effet.

Ce que l'on ne peut pas savoir

Une limite honnête doit être posée d'emblée : ce qui se passe entre la sortie de la boutique et le retour du client échappe totalement à la mesure du commerçant, puisque l'échange a lieu entre le client et sa banque. On sait qu'une transaction a été engagée et qu'elle n'est pas revenue, on ne sait pas si le client a renoncé, s'il a échoué à s'authentifier ou si un incident technique s'est produit. Seuls les rapports du prestataire de paiement, qui distinguent précisément ces cas et en donnent les motifs, permettent de trancher, et il faut donc les demander explicitement au prestataire, qui ne les envoie presque jamais spontanément.

Se méfier des comparaisons trouvées en ligne

Une dernière précaution s'impose sur ce sujet plus que sur tout autre. Les chiffres les plus cités proviennent d'acteurs qui vendent une solution destinée à réduire la friction, ce qui ne les invalide pas mais invite à regarder la méthode. Les points à vérifier sont toujours les mêmes : la période, qui doit être postérieure à la généralisation des versions récentes du protocole, le périmètre géographique, les règles n'étant pas les mêmes partout, le mode de calcul du dénominateur, un abandon rapporté aux paniers créés n'ayant rien à voir avec un abandon rapporté aux paiements engagés, et enfin la distinction entre abandon volontaire et échec technique. Un chiffre publié sans ces quatre précisions ne permet aucune comparaison, et il vaut mieux ne pas l'utiliser du tout que de bâtir un arbitrage dessus.

Mesurer sur sa propre boutique

Aucune statistique générale ne remplace un relevé local, et celui ci est parfaitement accessible dès lors que le suivi du tunnel est correctement posé. Trois sources se croisent : la mesure d'audience, les rapports du prestataire de paiement et les commandes elles mêmes.

Instrumenter le passage au paiement

La mesure suppose de distinguer trois moments dans le parcours : l'entrée dans le paiement, le retour depuis l'authentification, et la commande effectivement payée. Chacun doit produire un événement daté, rattaché à la même session et au même identifiant de commande. Sans le deuxième, impossible de séparer les abandons survenus pendant l'authentification de ceux qui ont eu lieu avant même le passage au paiement, et toute conclusion devient hasardeuse. Cette instrumentation se met en place comme le reste du tunnel, sujet que nous détaillons dans notre article sur la manière de suivre le tunnel de conversion WooCommerce dans Google Analytics 4.

Exploiter les rapports du prestataire

Le prestataire de paiement dispose d'informations que la boutique n'aura jamais : part des transactions authentifiées sans friction, part avec demande de code, motifs d'échec détaillés, taux d'exemption accordées. Ces rapports existent presque toujours dans l'espace de gestion du prestataire et ne sont presque jamais consultés par les commerçants. Les demander et les lire une fois par trimestre apporte plus que n'importe quelle optimisation menée à l'aveugle, et coûte une demi heure.

Segmenter la lecture

Les seules segmentations qui comptent réellement ici sont l'appareil utilisé, la tranche de montant et le fait d'être un client déjà venu ou non. Un taux global d'abandon au paiement est presque inexploitable, alors que la même donnée découpée selon ces trois axes désigne immédiatement où se situe le problème et permet de dire s'il relève d'un paramétrage, d'un incident technique ou du comportement du public.

Comparer dans le temps, pas à un chiffre externe

La comparaison avec une moyenne de secteur n'apprend à peu près rien, tant les contextes, les publics et les paniers diffèrent d'une boutique à l'autre. La comparaison avec son propre relevé du trimestre précédent, en revanche, dit très clairement si une modification a produit un effet et de quelle ampleur. Cette discipline suppose de ne pas changer plusieurs choses à la fois, ce qui est la difficulté habituelle sur une boutique où plusieurs chantiers avancent en parallèle et où personne ne tient de journal des modifications.

Ce qu'il est possible d'améliorer

Une fois la mesure en place, les leviers disponibles sont peu nombreux mais bien réels, et aucun d'entre eux ne consiste à contourner la réglementation, ce qui serait de toute façon sans issue.

Transmettre davantage de données

C'est le levier le plus efficace et le plus négligé. Plus la boutique transmet d'éléments de contexte, adresse de facturation et de livraison, historique de commandes du client, ancienneté du compte, moyen de paiement déjà utilisé, cohérence entre les informations saisies, plus la banque dispose de matière pour estimer un risque faible et valider sans rien demander. Beaucoup d'intégrations se contentent de transmettre le strict minimum exigé, ce qui pousse mécaniquement la banque vers l'authentification interactive puisqu'elle n'a rien pour décider autrement. Vérifier avec le prestataire quels champs sont réellement envoyés est un exercice d'une heure qui produit souvent un gain immédiat et durable, sans aucune modification du parcours visible par le client.

Demander les exemptions auxquelles on a droit

Les exemptions ne s'appliquent pas automatiquement, elles se demandent transaction par transaction. Une boutique dont le panier moyen est faible et dont le taux de fraude reste bas peut légitimement en bénéficier sur une part significative de ses paiements, à la seule condition que son intégration prévoie de les demander. C'est un paramétrage, pas un développement, et il se discute avec le prestataire en tenant compte du transfert de responsabilité, arbitrage qui relève du dirigeant plutôt que du technicien.

Fiabiliser le retour vers la boutique

Une part des pertes vient d'un retour mal géré plutôt que d'un refus du client : page de confirmation qui ne s'affiche pas, session perdue au passage, commande créée en double, client renvoyé sur un panier vide alors que le paiement a bien été encaissé. Ces incidents se corrigent entièrement et représentent souvent plus de points de conversion que toute réflexion sur le format du tunnel ou sur le nombre de champs du formulaire. Ils ont en outre un coût caché, chaque commande en double ou chaque paiement encaissé sans commande créée demandant un traitement manuel. Le contrôle consiste à parcourir le retour dans plusieurs configurations, dont un téléphone avec basculement d'application, un navigateur restrictif quant aux cookies tiers, et un retour effectué après un long délai.

Proposer d'autres moyens de paiement

Les portefeuilles électroniques intègrent leur propre authentification, souvent biométrique et immédiate, et évitent l'étape ressentie comme une friction. Les proposer à côté de la carte détourne une partie du flux vers un parcours nettement plus fluide, sans rien enlever à la sécurité ni au transfert de responsabilité, l'authentification y étant bien réelle. Le coût des commissions, souvent supérieur à celui de la carte, doit entrer dans le calcul, mais l'écart de taux de finalisation le justifie fréquemment sur les paniers où l'abandon est le plus marqué. La comparaison se fait en marge nette par commande plutôt qu'en pourcentage de commission. Ces moyens ont par ailleurs l'avantage de préremplir l'adresse de livraison, ce qui supprime plusieurs champs du formulaire. Ce gain de champs se mesure d'ailleurs de la même manière que le reste du tunnel, en comparant le taux d'aboutissement des commandes réglées par ces moyens à celui des commandes réglées par carte sur la même période et le même type d'appareil.