Stratégie antifraude e-commerce : mesurer, décider et apprendre sans bloquer les bons clients

La décision à prendre

Une stratégie antifraude e-commerce ne cherche pas le plus grand nombre de refus. Elle cherche le meilleur compromis documenté entre quatre résultats : pertes confirmées, commandes légitimes acceptées, expérience de paiement et coût des contrôles.

Ce compromis ne peut pas être copié depuis un taux national. Il dépend du catalogue, du panier, des pays, des canaux, des délais de livraison et du contrat avec le prestataire de paiement. La première décision consiste donc à définir ce que l’entreprise mesure avant de modifier son moteur de règles.

Ce que montrent les données publiques

Les statistiques des autorités donnent un contexte. Elles ne donnent pas un seuil de refus pour une boutique.

La note de l’OSMP sur le premier semestre 2025 mesure 618,4 millions d’euros de fraude sur 3,7 millions de transactions fraudées. Ce total couvre les moyens de paiement scripturaux suivis par l’Observatoire, pas uniquement les cartes ni les ventes e-commerce. Il est supérieur de 7,4 % au montant du premier semestre 2024. L’OSMP avertit que les comparaisons entre semestre et année pleine doivent être interprétées avec prudence en raison de la saisonnalité et de révisions de données.

Sur la carte, la même note indique que le taux de fraude en valeur passe sous 0,05 % au premier semestre 2025. Elle relie notamment cette évolution au plan de sécurisation des paiements à distance hors 3-D Secure. Ce constat agrégé ne signifie pas que tout marchand doit viser ce taux : le périmètre, les pays, le mix de transactions et les pertes comptabilisées peuvent différer fortement.

Le rapport annuel OSMP 2024 permet de préciser le risque à distance. En 2024, les paiements par carte sur internet représentaient 25 % des montants payés par carte mais 72 % de la fraude à la carte en valeur dans le périmètre national observé. Leur taux de fraude s’établissait à 0,155 %, contre 0,160 % en 2023.

À l’échelle européenne, le rapport conjoint EBA-BCE publié en décembre 2025 couvre les données 2022 à 2024 déclarées dans l’Espace économique européen. Pour 2024, il mesure 4,2 milliards d’euros de fraude tous instruments étudiés confondus, dont 2,5 milliards sur les virements et 1,3 milliard sur les cartes. Le taux en valeur présenté est de 0,001 % pour les virements et de 0,033 % pour les cartes. Là encore, ces taux décrivent des instruments dans un périmètre EEE, pas la performance attendue d’un site français.

Donnée publique	Période et périmètre	Lecture utile	Ce qu’elle ne permet pas de décider
618,4 M€ et 3,7 millions de transactions fraudées	Premier semestre 2025, moyens de paiement scripturaux suivis en France	La fraude reste un risque matériel et multi-instrument	Un budget ou un seuil de blocage marchand
Taux de fraude carte inférieur à 0,05 %	Premier semestre 2025, données OSMP	Le niveau agrégé baisse, notamment avec la sécurisation des paiements à distance	Le taux cible d’une catégorie, d’un pays ou d’un PSP
0,155 % sur les paiements par carte sur internet	Année 2024, périmètre national OSMP	Le canal internet est plus exposé que la carte dans son ensemble	La probabilité qu’une commande précise soit frauduleuse
4,2 Md€ de fraude déclarée	Année 2024, instruments étudiés dans l’EEE	Carte et virement doivent être distingués	Une comparaison directe avec les pertes comptables d’un marchand

Définir la fraude avant de la calculer

Un tableau de bord devient trompeur s’il mélange des objets différents sous une colonne « fraude ».

Paiement non autorisé

Le payeur conteste avoir donné son consentement. L’analyse relève du prestataire de paiement, des éléments d’authentification, du réseau de carte et du dossier de contestation. Un refus initial n’est pas une fraude confirmée et une contestation ne suffit pas, à elle seule, à établir le scénario.

Manipulation du payeur

Le fraudeur convainc la victime de valider ou d’émettre le paiement. L’avis de l’EBA du 29 avril 2024 constate que l’authentification forte a réduit les fraudes fondées sur le vol d’identifiants, mais que les fraudeurs se sont adaptés, notamment par l’ingénierie sociale. Une authentification réussie ne prouve donc pas que le contexte commercial est légitime.

Compte client compromis

Le fraudeur peut utiliser un compte existant, changer une adresse, exploiter un moyen enregistré ou détourner des avantages. L’entreprise doit distinguer l’accès au compte, la décision de paiement et l’exécution logistique afin de savoir quel contrôle a échoué.

Abus commercial et litige

Un retour non conforme, une promotion détournée, une réclamation ou une contestation après livraison peuvent produire une perte. Il faut les suivre, sans les qualifier automatiquement de fraude. Cette séparation évite de traiter un problème produit, logistique ou de service client comme un incident de paiement.

Construire une mesure exploitable

Le numérateur et le dénominateur doivent partager la même période, la même devise et le même périmètre. Une perte confirmée en août ne doit pas être divisée sans précaution par les seules ventes d’août si la commande initiale date de juin.

Indicateur interne	Définition à documenter	Limite à rendre visible
Taux de fraude en valeur	Pertes confirmées divisées par la valeur des paiements du même périmètre	Décalage entre commande, contestation et confirmation
Taux de fraude en volume	Transactions confirmées frauduleuses divisées par les transactions du périmètre	Les petites et grosses commandes ont le même poids
Taux de contestation	Contestations reçues divisées par les paiements correspondants	Une contestation n’est pas toujours une fraude confirmée
Taux de refus	Paiements ou commandes refusés divisés par les tentatives	Ne mesure pas les fraudes évitées
Faux positifs	Commandes légitimes bloquées ou annulées à tort	Souvent non mesurable sans échantillonnage et revue
Succès d’authentification	Authentifications abouties divisées par les authentifications déclenchées	Dépend aussi de l’émetteur, de l’appareil et du protocole
Coût de revue	Temps et coût des contrôles manuels par décision	Doit inclure les délais imposés au client et à l’expédition

Si l’entreprise ne sait pas réconcilier commande, tentative de paiement, authentification, capture, remboursement, contestation et perte finale, son coût réel de fraude est non mesurable. Il ne doit pas être remplacé par zéro.

Une stratégie en six couches

1. Sécuriser la collecte et les accès

Limiter les personnes et systèmes qui accèdent aux données de paiement. La CNIL rappelle que, par défaut, les données de carte nécessaires à un paiement à distance ne doivent pas être conservées au-delà de la transaction. Leur utilisation pour lutter contre la fraude n’autorise pas une collecte sans limite.

Pour un marchand, la recommandation opérationnelle consiste à confier la saisie des données sensibles au prestataire prévu, à journaliser les accès administratifs, à protéger les comptes internes par une authentification adaptée et à ne conserver que les références nécessaires à la réconciliation.

2. Qualifier correctement le flux de paiement

Le règlement délégué (UE) 2018/389 encadre l’authentification forte et ses exemptions. Il impose aux prestataires de services de paiement des mécanismes de surveillance des transactions et prévoit des conditions précises pour les exemptions fondées sur le risque.

Le marchand ne doit pas transformer une exemption en règle générale. Il doit documenter avec son PSP et son acquéreur qui demande l’exemption, qui l’accepte, quel motif est transmis, quel résultat revient et comment les pertes sont attribuées contractuellement.

La qualification est particulièrement importante pour :

• les paiements initiés par le client, ou CIT ;
• les paiements initiés par le marchand sur la base d’un mandat, ou MIT ;
• les commandes par courrier ou téléphone, ou MOTO ;
• les paiements récurrents et leurs premières authentifications ;
• les exemptions demandées et les authentifications effectivement déclenchées.

Le plan OSMP mis à jour le 8 janvier 2026 souligne que les paiements à distance hors 3-D Secure, dont les flux MIT et MOTO dans son périmètre, restent structurellement plus exposés. Il avertit aussi contre l’utilisation de ces catégories pour contourner l’authentification forte.

3. Combiner des signaux, sans transformer un signal en verdict

Un signal aide à demander une vérification supplémentaire. Pris isolément, il ne prouve pas une fraude.

Famille	Exemples de signaux à évaluer	Risque d’interprétation
Paiement	résultat 3-D Secure, motif d’exemption, tentatives, réponse PSP	Confondre échec technique et fraude
Compte	ancienneté, changement récent d’adresse ou de mot de passe, récupération de compte	Pénaliser systématiquement un nouveau client
Session	vitesse d’action, appareil nouveau, incohérences techniques, automatisation	Utiliser une géolocalisation imprécise comme preuve
Commande	rupture avec l’historique, quantité, valeur, produit ciblé, adresse modifiée	Confondre cadeau, voyage ou achat exceptionnel avec fraude
Réseau	répétition d’un identifiant, d’une adresse ou d’un appareil entre commandes	Bloquer un foyer, une entreprise ou un réseau partagé légitime
Après paiement	changement urgent, réexpédition, demande de modification du bénéficiaire	Retarder toutes les commandes sans justification

Les données personnelles doivent être pertinentes pour la finalité et conservées pendant une durée documentée. Lorsque le scoring conduit à une décision entièrement automatisée susceptible de produire un effet juridique ou significatif, le cadre plus restrictif décrit par la CNIL sur le profilage et les décisions automatisées doit être qualifié avec le DPO ou le conseil compétent.

4. Prévoir plusieurs réponses possibles

Une stratégie binaire accepte ou refuse trop tôt. Selon le risque et les capacités réelles, le moteur peut recommander :

1. accepter sans action supplémentaire ;
2. demander l’authentification prévue par le PSP ;
3. placer la commande en revue manuelle ;
4. demander une correction non sensible au client ;
5. différer une action logistique réversible ;
6. refuser le paiement ou annuler la commande avec un motif opérable ;
7. escalader vers le PSP, la sécurité ou le service client.

Ce sont des options de conception, pas une échelle universelle. L’entreprise doit tester leur effet sur les pertes, la conversion, le délai de traitement et les réclamations.

5. Mesurer les faux positifs

Un système peut faire baisser la fraude apparente simplement en refusant davantage de clients. Sans mesure des commandes légitimes perdues, ce résultat est incomplet.

La mesure peut combiner :

• revue d’un échantillon de refus ;
• rapprochement avec les décisions ultérieures du PSP ;
• suivi des clients qui réussissent après une nouvelle tentative ;
• analyse des contacts au service client ;
• comparaison contrôlée de règles, lorsque le risque et le volume le permettent ;
• estimation séparée de la marge perdue et du coût de revue.

Le vrai faux positif reste difficile à observer, car le client refusé peut partir sans se signaler. La valeur manquante doit rester non mesurable ou être présentée comme une estimation avec sa méthode.

6. Apprendre des incidents confirmés

Chaque incident confirmé doit alimenter une boucle de retour, pas seulement une liste noire.

Conserver au minimum : scénario, canal, chronologie, contrôles déclenchés, décision, livraison, contestation, montant de perte, données disponibles au moment de la décision et correction mise en place. Une revue périodique recherche ensuite les règles inutiles, les contournements et les segments où la perte se déplace.

Plan de mise en œuvre sur 90 jours

Jours 1 à 30 : rendre la situation mesurable

1. Écrire les définitions de fraude confirmée, contestation, abus, refus et faux positif.
2. Cartographier PSP, acquéreur, 3-D Secure, moteur de règles, service client et logistique.
3. Réconcilier un échantillon de commandes avec le paiement et l’issue finale.
4. Segmenter par pays, canal, type de flux et authentification.
5. Lister les données manquantes et les limites de conservation.

Jours 31 à 60 : tester les contrôles prioritaires

1. Vérifier les classifications CIT, MIT, MOTO et récurrence avec le PSP.
2. Examiner les règles qui génèrent beaucoup de refus ou de revues.
3. Ajouter des réponses graduées lorsque le refus immédiat n’est pas nécessaire.
4. Définir une revue humaine traçable avec motif et délai.
5. Tester les parcours d’authentification, d’échec et de nouvelle tentative.

Jours 61 à 90 : installer la gouvernance

1. Réunir paiement, fraude, finance, service client, logistique, sécurité et DPO.
2. Comparer chaque nombre attendu au nombre effectivement réconcilié.
3. Suivre pertes, acceptation, authentification, revue et faux positifs dans le même tableau.
4. Versionner les règles et relier chaque changement à une hypothèse testable.
5. Fixer une cadence de revue et un responsable d’arrêt en cas de régression.

Questions à poser au prestataire de paiement

• Quels événements et résultats 3-D Secure sont exportables au niveau transactionnel ?
• Comment les exemptions sont-elles demandées, acceptées et restituées ?
• Comment CIT, MIT, MOTO et récurrence sont-ils qualifiés dans les flux ?
• Quels motifs de refus sont disponibles et à quel niveau de précision ?
• Comment rapprocher tentative, autorisation, capture, remboursement et contestation ?
• Quel délai sépare l’incident, la contestation et la perte finale ?
• Quelles données restent chez le PSP et lesquelles sont transmises au marchand ?
• Comment tester une modification de règles sans masquer les faux positifs ?

Une réponse commerciale générale n’est pas une preuve. Demander la documentation applicable au contrat, aux pays et à l’intégration réellement utilisés.

Impact pour un entrepreneur en France

La priorité n’est pas d’acheter immédiatement un nouvel outil. Elle est de rendre les décisions explicables et les résultats réconciliables. Un outil supplémentaire ne corrigera pas une mauvaise qualification du flux, un dossier de contestation incomplet ou l’absence de mesure des commandes légitimes perdues.

Le dossier sur la conformité e-commerce européenne complète ce cadre pour les rôles, produits et parcours. La rubrique Paiements & fraude rassemble les autres contenus du site sur cette décision. La méthodologie ClickyCommerce explique comment le site sépare faits confirmés, inconnues et recommandations.

À confirmer dans chaque entreprise

Les données publiques ne permettent pas de connaître :

• la perte nette après récupération, assurance ou partage contractuel ;
• le coût des faux positifs et des clients qui abandonnent sans contacter le support ;
• les taux par catégorie, pays, appareil, PSP ou protocole de l’entreprise ;
• l’effet causal d’une règle sur la fraude et la conversion ;
• les responsabilités contractuelles en cas de contestation ;
• le statut juridique exact d’un profilage ou d’une décision automatisée ;
• le coût total d’un outil, d’une revue humaine ou d’un contrôle supplémentaire.

Ces éléments restent non mesurables tant que les données internes, les contrats et les processus n’ont pas été examinés. Aucun taux public présenté dans ce dossier ne constitue un seuil de déclenchement, une tolérance de perte ou un conseil financier.

Historique

• 23 août 2026 : création à partir des données OSMP France, du rapport EBA-BCE, du règlement SCA, de l’avis EBA sur les nouvelles fraudes et des recommandations CNIL ; seuils universels explicitement exclus.