DSP2 et l'authentification forte
La directive européenne sur les services de paiement (DSP2), transposée en droit français depuis 2019, impose une authentification forte — appelée SCA, pour Strong Customer Authentication — pour tous les paiements en ligne et l'accès aux comptes bancaires.
La SCA exige la combinaison d'au moins deux facteurs parmi trois catégories : ce que vous savez (mot de passe, code PIN, question secrète), ce que vous avez (téléphone, token physique, carte à puce) et ce que vous êtes (empreinte digitale, reconnaissance faciale, voix).
Le mot de passe n'est donc pas un retour en arrière — c'est le premier facteur d'une authentification multi-facteur. Le deuxième facteur est généralement la notification push dans votre application bancaire ou un code SMS. C'est cette combinaison qui constitue l'authentification forte exigée par la réglementation.
Les banques françaises sont en retard
Plusieurs banques françaises traditionnelles maintiennent encore des mots de passe à 6 chiffres ou des codes numériques courts. Ce n'est pas une faiblesse technique délibérée — c'est une contrainte legacy d'implémentation. Les systèmes de core banking de certains établissements datent des années 1980-1990 et leur migration coûte des centaines de millions d'euros.
Les néobanques et banques en ligne — Revolut, N26, Lydia, Boursorama — ont migré vers des architectures modernes qui permettent la biométrie native, les notifications push instantanées et des codes dynamiques à usage unique. Leurs systèmes ont été conçus pour le mobile dès l'origine.
Ce décalage crée une perception injuste : les grandes banques semblent moins sécurisées alors qu'elles appliquent la même réglementation. La différence est dans l'expérience utilisateur, pas dans le niveau de protection réel.
Ce que vous pouvez faire
Quelle que soit votre banque, plusieurs actions simples maximisent votre niveau de protection réel.
- →Activer systématiquement la biométrie dans votre application bancaire si elle est disponible.
- →Utiliser un gestionnaire de mots de passe pour générer et stocker un mot de passe long et unique pour chaque banque.
- →Ne jamais réutiliser le code PIN de votre carte bancaire comme mot de passe pour un autre service — c'est l'erreur la plus fréquente.
- →Activer les notifications de transaction en temps réel pour détecter immédiatement toute opération non autorisée.
- →Vérifier régulièrement les sessions actives dans votre application — la plupart des banques permettent de voir et de fermer les connexions en cours.
La vraie protection ne réside pas dans la complexité du mot de passe mais dans l'activation du second facteur d'authentification. Un code à 4 chiffres combiné à une confirmation biométrique est objectivement plus sécurisé qu'un mot de passe de 20 caractères sans 2FA. Concentrez vos efforts sur le bon paramètre.
Vérifiez la sécurité de vos apps