Vous avez sans doute entendu parler de la nouvelle directive sur les services de paiement par carte de crédit et de ses répercussions potentielles sur notre secteur. Ce que vous ne savez peut-être pas, c’est que la DSP2 n’est pas nouvelle. En fait, elle a été mise en œuvre pour la première fois en 2015, même si toutes ses parties n’ont pas été promulguées simultanément. L’authentification forte du client, en particulier, ne devait entrer en vigueur que le 14 septembre 2019, soit quatre ans après l’approbation de la directive. On peut donc penser que l’industrie est prête, n’est-ce pas ? Enfin, pas tout à fait…
Connaissance, possession et inhérence
Qu’est-ce que la DSP2 ? Au fond, il s’agit simplement d’une version actualisée de l’actuelle directive sur les services de paiement. Avec l’introduction de la DSP2, les acheteurs qui effectuent des achats en ligne avec des cartes de crédit (ou des transactions bancaires) devront fournir deux moyens d’authentification distincts au moment de l’achat. “Pour qu’un achat soit autorisé, dans le cadre de la DSP2, souligne HospitalityNet dans un article sur le sujet, deux des trois différents types de méthodes d’authentification sont nécessaires, à savoir la connaissance (un mot de passe ou un code PIN), la possession (un téléphone ou une carte de crédit), et l’inhérence (biométrie : balayage du visage ou empreinte digitale)”. Cette méthode d’authentification à deux facteurs est connue sous le nom de Strong Customer Authentication (SCA), et son objectif principal est de renforcer la sécurité des transactions en ligne et de réduire les fraudes et les rétrocessions. La DSP2 affectera toutes les transactions impliquant des émetteurs de cartes de l’UE (y compris le Royaume-Uni, pour le moment).
À quoi ressemblera l’industrie post-PSD2 ?
Grâce à cette deuxième couche de sécurité supplémentaire, le SCA peut rendre les transactions en ligne par carte de crédit nettement plus sûres et peut même avoir un effet positif sur l’expérience utilisateur de l’acheteur. Actuellement, lorsque les utilisateurs saisissent les données de leur carte de crédit, ils sont redirigés vers ce que l’on appelle une page 3D Secure. Le problème est que ces pages intermédiaires n’ont pas été conçues pour les téléphones mobiles, ce qui augmente considérablement le taux d’abandon (entre 5 et 15 %, selon Worldpay). Dans le cadre de la DSP2, en revanche, l’expérience sera plus adaptée aux mobiles, ce qui augmentera théoriquement les taux de conversion. Néanmoins, certaines implications pourraient avoir (et auront très probablement) des répercussions négatives sur les activités quotidiennes des hôtels. La bonne nouvelle est qu’en raison du manque de préparation des commerçants, un délai sur l’original a été accordé : En juin 2019, avec seulement 3 mois avant la date limite du 14 septembre, les banques devaient publier leurs API ; seul un tiers l’a fait et, en septembre 2019, plus d’un tiers de ces API ne fonctionnent toujours pas correctement, créant un environnement difficile pour les fournisseurs tiers qui tentent de s’intégrer. Plus récemment, la plateforme bancaire et le fournisseur de données Tink ont testé les API de plus de 2 000 banques. Le résultat ? Aucun d’entre eux ne répondait aux nouvelles normes réglementaires. Le Royaume-Uni a déjà concédé 18 mois supplémentaires et, en octobre, la Commission européenne annoncera la nouvelle date de mise en conformité pour les autres pays. L’Autorité bancaire européenne, dans un document officiel a déclaré que “l’Autorité bancaire européenne (…) accepte qu’à titre exceptionnel et afin d’éviter des conséquences négatives imprévues pour certains utilisateurs de services de paiement après le 14 septembre 2019, (…) puisse décider (…) d’accorder un délai supplémentaire limité pour permettre aux émetteurs de migrer vers des approches d’authentification qui sont conformes à l’ACS”. De même, la Financial Conduct Authority du Royaume-Uni a déclaré qu’elle ne prendrait “aucune mesure à l’encontre des entreprises qui ne sont pas prêtes pour les règles en septembre, tant qu’il est prouvé qu’elles ont pris les mesures nécessaires pour respecter son plan de transition plus long, qui exigera des entreprises qu’elles soient entièrement conformes d’ici mars 2021”, de sorte qu’il n’est pas si exagéré de penser que la nouvelle date de conformité de l’UE se situera quelque part fin 2020/début 2021.
M. Dupont réserve une chambre d’hôtel : Quand l’ACS s’applique-t-elle ?
M. Smith réserve une chambre d’hôtel en ligne. Au moment du paiement, il saisit son numéro de carte de crédit et passe à la caisse. Une fois les données de la carte de crédit saisies, la transaction devra passer un test appelé analyse du risque de transaction (TRA), afin d’évaluer si le SCA est nécessaire ou non. Même dans le cadre de la PS2D, certaines transactions seront encore exemptées de l’ACS : les paiements sans contact et toutes les transactions où le propriétaire de la carte de crédit est physiquement présent au moment du paiement, par exemple, ne tomberont pas sous le coup du règlement ; ainsi, si M. Dupont arrive à l’hôtel pour réserver sa chambre et qu’il est présent lors de la transaction, aucune authentification ne sera nécessaire. Les achats effectués par téléphone ou par courrier électronique suivront la même logique. Ainsi, si M. Dupont appelle l’hôtel et communique les données de sa carte de crédit par téléphone, l’ACS ne sera pas nécessaire. N’oubliez pas que les exemptions sont nombreuses et que de nombreuses variables peuvent s’appliquer même à des cas similaires, mais, pour les besoins de cet article, nous ne couvrirons que les principales d’entre elles.
Revenons à M. Smith : le test TRA consiste maintenant à décider si une double authentification est nécessaire. Le test évalue le risque de fraude, de faible à élevé. Si la transaction porte sur un montant inférieur à 30 euros, par exemple, aucune authentification n’est nécessaire, à condition que la même carte n’ait pas été utilisée pour plus de cinq transactions (ou pour un total de plus de 100 euros) au cours des dernières 24 heures. Ainsi, si la chambre ou le surclassement coûte 29 euros et que M. Dupont n’a rien acheté d’autre le même jour, aucune authentification n’est nécessaire. Il convient de noter que, même dans le cas de transactions exemptées, la banque aura toujours le dernier mot, de sorte qu’elle pourrait décider que l’ACS est nécessaire même pour des achats à faible risque.
M. Dupont doit encore effectuer le paiement de la chambre qu’il souhaite réserver au début de l’exemple. Le montant total est de 500€, et il n’a jamais réservé cet hôtel auparavant. Le test TRA considère qu’il s’agit d’une transaction potentiellement risquée et demande à M. Smith de procéder à une double authentification. Il devra donc fournir deux des trois types d’authentification acceptés. Voici deux exemples :
- En déverrouillant son téléphone (“possession” = quelque chose “qu’il possède”) avec son empreinte digitale (“inhérence” = quelque chose “qu’il est”)
- En insérant un mot de passe (“connaissance” = quelque chose qu'”il sait”) et en reconnaissant un appareil mobile de confiance (“possession” = quelque chose qu'”il possède”).
Dans le cadre de la directive PSD2, la seule authentification par code PIN à usage unique via SMS sur un téléphone déverrouillé ne sera plus suffisante, car un voleur pourrait avoir accès aux deux en volant simplement le téléphone, ce qui fait que les deux facteurs relèvent de la même catégorie (preuve de “possession”), et ils seront toujours en mesure de fournir au moins un autre type d’authentification.
La DSP2 dans le secteur de l’hôtellerie et de la restauration
Certains ont déjà qualifié la DSP2 de “GDPR sur les stéroïdes”. Peut-être. Ce qui est certain, c’est que le sujet est vaste et plein de ramifications. Si vous cherchez une lecture exhaustive sur le sujet, je vous suggère de jeter un coup d’œil à cet article de Pablo Delgado et Daniel Badenas de Mirai. Cet article se concentre moins sur la théorie que sur la déconstruction de scénarios hôteliers possibles pour illustrer la façon dont la PSD2 pourrait se présenter dans la vie réelle. Tout d’abord, commençons par vous rassurer : contrairement au GDPR, les hôtels ne peuvent pas être condamnés à une amende s’ils ne se conforment pas à la directive. Seules les plateformes de paiement finales et les entreprises du modèle de commerçant pourraient être tenues pour responsables des violations. Quoi qu’il en soit, cela ne signifie pas que l’introduction de la DSP2 doit être prise à la légère, car il y a de (nombreux) cas où vos opérations quotidiennes devront être adaptées en conséquence.
Voici les scénarios les plus probables :
M. Smith réserve un tarif flexible ou un tarif non remboursable sur une OTA (modèle marchand)
Pour les réservations reçues par l’intermédiaire d’un OTA selon le modèle du commerçant (l’OTA perçoit l’argent au nom de l’hôtel), les processus existants ne changeront pas. Dans ce cas, c’est l’OTA qui perçoit l’argent du client final et fournit aux hôtels une carte virtuelle, de sorte que les hôtels n’ont pas besoin d’une double authentification pour traiter le paiement.
M. Smith réserve un tarif non remboursable sur une OTA (modèle d’agence)
En ce qui concerne les réservations non remboursables reçues par l’intermédiaire d’un OTA avec le modèle d’agence, votre hôtel devra modifier (assez radicalement) ses processus et systèmes internes pour garantir la validation du paiement : tout d’abord, l’hôtel doit traiter ces paiements via une passerelle de paiement en ligne conforme à la directive PSD2. Si vous ne disposez pas d’une passerelle conforme aux normes de sécurité, l’alternative n’est pas idéale : vous n’autorisez pas la carte pour une partie du tarif et vous croisez les doigts pour que les invités finissent par arriver. Lorsque l’invité arrive, le paiement peut être traité comme une “carte présente”, ce qui permet d’éviter l’ACS.
RELATED:
Néanmoins, les hôtels ne pourront pas facturer les absences ou les pénalités pour les annulations tardives : les débits manuels sur des lecteurs de cartes physiques ne fonctionneront pas, car le seul numéro de carte de crédit pourrait ne pas suffire à traiter le paiement, et les clients pourraient toujours contester le débit et entraîner une éventuelle rétrofacturation de la part de l’hôtel. Pour remédier à ce problème, Expedia a récemment lancé un outil gratuit de gestion des frais d’annulation: “Lorsqu’un voyageur effectue une réservation Hotel Collect, le groupe Expedia valide la carte du client et saisit les informations d’authentification nécessaires. Un numéro de carte virtuelle Expedia (EVC) vous sera fourni, de sorte que vous ne verrez plus de numéro de carte d’invité. [If Expedia is not able] de débiter la carte parce qu’elle n’est pas suffisamment approvisionnée ou qu’elle est devenue invalide, [it will] de supprimer les frais et la commission sur la réservation.
M. Smith réserve un tarif flexible de 4 mois pour la première fois sur Brand.com
Même si les fenêtres de réservation des voyageurs se raccourcissent chaque année, les réservations anticipées restent fréquentes dans certains cas (stations balnéaires, hôtels MICE…). Ces réservations s’accompagnent généralement d’avantages importants pour les clients, tels que des tarifs fortement réduits, mais, dans le cadre de la DSP2, le traitement du paiement peut s’avérer difficile, car l’ACS a une date d’expiration : la double authentification ne dure que 90 jours, de sorte que les hôtels devront acquérir plusieurs authentifications pour la même réservation. Une solution de contournement consiste à utiliser les transactions initiées par le commerçant (MIT), à condition que les conditions soient claires sur le moteur de réservation, car les informations de paiement du client devront être déjà présentes (et autorisées) dans le PMS, le moteur de réservation ou le CRS de l’hôtel. Même si chaque achat initial DEVRAIT être authentifié par le biais de l’ACS, les transactions ultérieures effectuées avec la même carte pourraient être considérées comme des MIT, et donc exemptées des exigences de l’ACS. C’est un scénario particulièrement favorable pour les membres des programmes de fidélisation, par exemple.
M. Smith réserve un tarif flexible sur Brand.com, mais ne se présente pas.
Selon une étude de VISA, le taux moyen de non-présentation dans l’industrie hôtelière est de “un à deux pour cent de toutes les réservations”, ce qui signifie “une dépense estimée à 50 à 100 millions de dollars par an pour l’industrie hôtelière”. Dans le cadre de la DSP2, vous ne pourrez pas traiter les cartes de crédit des clients s’ils ne sont pas physiquement présents à l’hôtel (card-present) ou s’ils ne procèdent pas à une double authentification de la transaction (card not present). Il est peu probable qu’un client accepte de payer pour quelque chose qu’il n’a pas utilisé. À moins que la pénalité pour non-présentation n’ait été facturée au cours du processus de réservation (ce qui est rare), il est peu probable que le client qui ne se présente pas l’autorise deux fois. La solution consiste à utiliser la solution de contournement du MIT.
Conclusions :
Il ne s’agit là que de quelques-uns des scénarios possibles, et d’autres apparaîtront une fois que la directive sera appliquée. À première vue, il semble que, du point de vue des hôteliers, les inconvénients l’emportent sur les avantages. Nous suggérons de mettre en œuvre la stratégie suivante :
- Mettre en place une passerelle de paiement sans présentation de carte pour alléger les opérations quotidiennes. Si vous disposez d’un PMS, vous avez probablement déjà une passerelle, mais elle ne vous sera d’aucune utilité si vous n’avez pas accès à la carte physique de l’invité ;
- Offrir aux clients la possibilité d’enregistrer leurs méthodes de paiement pour une utilisation ultérieure, ce qui exempte la transaction de l’ACS ;
- Intégrez des formes alternatives de paiement dans votre écosystème, car elles ne relèvent pas de la directive PSD2. Même si elles sont peu utilisées dans notre secteur, les méthodes de paiement telles que Apple Pay, Google Pay, Amazon Pay, WeChat et AliPay sont en plein essor.
Cet article a été rédigé à l'origine par l'équipe de MyCheck. It has been moved here as part of the Shiji Group family of hospitality technology brands.
