Services de paiement : PSD2 en vigueur, PSD3 et PSR à venir

Décision rapide

Au 23 août 2026, un marchand doit piloter ses paiements sur la base de PSD2, du droit français qui la transpose et du règlement délégué sur l’authentification forte. PSD3 et le futur règlement sur les services de paiement, ou PSR, ont franchi l’étape de l’accord politique, mais ne constituent pas encore un nouveau socle applicable démontré par les sources consultées.

La bonne décision n’est donc ni d’attendre la réforme, ni de la présenter comme déjà en vigueur. Il faut fiabiliser le dispositif actuel et préparer une veille séparée sur le texte final, son calendrier et les changements contractuels des prestataires.

État du droit au 23 août 2026

La directive (UE) 2015/2366, dite PSD2, reste le cœur du cadre européen actuel. Elle encadre les prestataires de services de paiement, l’information des utilisateurs, les droits et obligations liés aux opérations et l’authentification forte.

Le Parlement européen et le Conseil sont parvenus à un accord politique provisoire le 27 novembre 2025 sur deux futurs textes :

• PSD3, centrée notamment sur l’autorisation et la supervision des établissements de paiement ;
• le PSR, destiné à harmoniser directement une partie des règles applicables aux services de paiement et à renforcer la prévention de la fraude, la transparence et l’open banking.

Le document d’avancement du Conseil indique une confirmation de l’accord par le Coreper le 22 avril 2026. Les sources officielles consultées attestent cet accord provisoire et sa confirmation, mais pas une adoption formelle ni une publication au Journal officiel. Tant que l’adoption, la publication et les dispositions transitoires ne sont pas vérifiées, ces textes restent un cadre à venir.

Marchand et prestataire de paiement : rôles différents

Un e-commerçant qui accepte un paiement par l’intermédiaire d’un prestataire n’est pas automatiquement lui-même prestataire de services de paiement. La qualification dépend des fonds détenus, des instructions exécutées, du mandat, du flux et des services réellement fournis.

En pratique, le marchand reste responsable de ses décisions commerciales, de l’information du client, du parcours de commande, de ses intégrations et de ses contrats. Le prestataire autorisé porte les obligations réglementaires attachées aux services de paiement qu’il fournit.

Depuis le 1er juillet 2026, l’ACPR met à disposition un registre public unique, mis à jour quotidiennement, pour vérifier les acteurs autorisés à exercer en France et leur périmètre d’agrément. Un nom commercial, un module disponible dans une plateforme ou une présence dans un catalogue d’applications ne prouve pas cet agrément.

Authentification forte : règle et responsabilités

L’article 97 de PSD2 prévoit que le prestataire applique une authentification forte lorsque le payeur :

• accède à son compte de paiement en ligne ;
• initie une opération de paiement électronique ;
• exécute à distance une action susceptible de comporter un risque de fraude ou d’autre abus.

Pour une opération électronique à distance, l’authentification doit établir un lien dynamique avec le montant et le bénéficiaire. En France, l’article L133-44 du Code monétaire et financier reprend ces situations et exige également que les méthodes d’authentification fournies respectent les exigences d’accessibilité applicables.

Le marchand doit rendre ce parcours techniquement possible et compréhensible, mais il ne décide pas seul qu’une transaction bénéficie d’une exemption. La décision et les contrôles réglementaires appartiennent aux prestataires concernés selon le flux.

Les exemptions ne sont pas des contournements

Le règlement délégué (UE) 2018/389 prévoit des exemptions encadrées, notamment pour certaines transactions récurrentes, de faible valeur ou considérées à faible risque après analyse en temps réel.

Ces exemptions comportent des conditions, des seuils et des mécanismes de surveillance. Leur présence dans l’intégration ne signifie pas que le marchand peut désactiver systématiquement l’authentification forte.

Flux	Question de qualification	Preuve utile
achat initié par le client	qui initie et quel PSP authentifie ?	résultat d’authentification et réponse du PSP
paiement récurrent	première opération authentifiée et série définie ?	mandat, montant, bénéficiaire et historique
paiement initié par le marchand	mandat valide et flux réellement hors présence du payeur ?	contrat et référence du mandat
transaction à faible risque	exemption demandée et acceptée par quel PSP ?	motif transmis, décision et taux suivi par le PSP
paiement refusé	échec d’authentification, risque, fonds ou technique ?	code de réponse documenté et journal corrélé

Présenter un flux comme « MIT », « récurrent » ou « à faible risque » sans mandat ni classification du prestataire crée une étiquette technique, pas une preuve réglementaire.

Contrôles opérationnels pour une boutique

Vérifier les prestataires

Pour chaque acteur, relever l’entité contractante, son pays, son statut dans le registre, les services autorisés, ses sous-traitants critiques et le canal de support. Répéter ce contrôle lors d’un changement de contrat ou d’entité.

Cartographier le cycle complet

Relier commande, tentative, authentification, autorisation, capture, remboursement, contestation et perte finale avec des identifiants corrélables. Sans cette chaîne, le taux d’acceptation réel, la fraude et le coût des échecs restent non mesurables.

Tester les scénarios dégradés

Tester sur mobile et ordinateur l’annulation, le retour depuis l’application bancaire, l’expiration, le changement de montant, le refus du PSP, le double clic et la reprise après erreur. Une page de succès ne doit jamais être affichée avant confirmation fiable de l’état du paiement.

Préserver l’accessibilité

Le parcours 3-D Secure, les codes, les redirections et les messages d’erreur participent au service de paiement. Le dossier Accessibilité e-commerce détaille les contrôles complémentaires du parcours d’achat.

Préparer PSD3 et le PSR sans anticiper le texte final

Les annonces officielles sur l’accord politique mentionnent notamment la prévention de la fraude, la transparence des frais, la vérification du bénéficiaire et l’open banking. Ces orientations justifient une veille, pas l’affirmation d’une obligation déjà applicable.

Préparation recommandée :

1. identifier les clauses contractuelles susceptibles d’évoluer ;
2. demander au prestataire son calendrier de migration seulement après publication du texte final ;
3. séparer les exigences réglementaires confirmées des fonctions commerciales annoncées ;
4. tester les changements en environnement de préproduction avant activation ;
5. dater chaque décision et conserver la version du texte qui la soutient.

Le dossier Stratégie antifraude e-commerce traite la mesure des pertes et des refus. Il complète ce cadre sans confondre risque commercial, authentification réglementaire et qualification d’un service de paiement.

À confirmer

La nature de chaque flux, les mandats, les contrats et la répartition des responsabilités doivent être validés avec les prestataires. Les règles de cartes, les contestations et les procédures contractuelles peuvent compléter le droit des services de paiement sans s’y confondre.

L’adoption formelle, le texte définitif, l’entrée en vigueur et les dates d’application de PSD3 et du PSR restent à confirmer après publication officielle. Aucun calendrier de migration ne doit être inventé à partir du seul accord politique.

Historique

• 23 août 2026 : création avec séparation explicite entre PSD2 applicable, authentification forte actuelle et réforme PSD3-PSR encore en cours d’adoption.