Cartes bleues, DSP2 et 3D Secure : un sujet technique, flou… et pourtant crucial

‍

‍Vous vous êtes déjà demandé si vos paiements par carte bleue étaient vraiment conformes à la réglementation ?

‍

C’est normal : ce sujet est un labyrinthe de sigles obscurs, de normes européennes et de pratiques parfois très éloignées de la réalité terrain d’un hôtelier. Beaucoup de professionnels, y compris des experts, peinent à répondre clairement à une simple question : “Est-ce que je suis en règle quand j’encaisse une carte bancaire ?”

Et pourtant, ne pas comprendre ce sujet, c’est risquer beaucoup plus que ce qu’on croit. Des paiements annulés, des frais cachés, une image ternie, et parfois des pertes financières qu’on ne remarque même pas.

Alors aujourd’hui, je vais tout vous expliquer. En clair. En concret. Et toujours avec un regard d’hôtelier.

‍

Un jargon compliqué… mais des conséquences bien réelles

Le paiement, en apparence, c’est simple : le client réserve, vous encaissez. Mais en coulisse, c’est tout un écosystème technique et juridique, avec des règles précises. Le problème ? Ces règles sont souvent floues, mal vulgarisées, et donc mal appliquées. Et dans ce flou, les erreurs s’accumulent… avec des conséquences invisibles, mais bien réelles.

Si vous encaissez une carte “comme avant”, c’est-à-dire à la main, sans authentification, sans outil adapté, vous risquez de perdre le paiement, de ne pas pouvoir facturer des extras après le séjour, ou même d’être accusé de fraude.

Heureusement, tout ça peut se comprendre. Et surtout, tout ça peut s’éviter.

‍

Comprendre les termes et ce que dit la loi (en clair)

DSP2

Ce que c’est : Une directive européenne qui encadre la sécurité des paiements.
Ce que ça veut dire : Toute transaction par carte doit désormais inclure une double authentification.
Ce que dit la loi : Si un paiement est fait sans preuve que le client est bien à l’origine de la transaction, il peut être annulé à tout moment. La banque donnera raison au client, pas à vous.

En clair : les paiements manuels (où vous saisissez les numéros vous-même), sans 3D Secure, ne sont plus valables juridiquement. Vous pouvez perdre l’argent du jour au lendemain.

‍

3D Secure / Authentification forte

Ce que c’est : Une étape de vérification du client au moment du paiement. Un code par SMS, une validation sur appli, un scan biométrique…
Ce que ça veut dire : C’est ce qui prouve que le client est bien celui qui paye.
Ce que dit la loi : Sans cette authentification, un client peut contester un paiement et être remboursé immédiatement.

En pratique, c’est votre meilleure assurance. Mais encore faut-il que votre système de paiement le déclenche automatiquement. Sinon, vous êtes à risque.

‍

Carte tokenisée

Ce que c’est : Un système qui permet d’enregistrer une carte bancaire sous forme sécurisée, sans stocker les chiffres directement.
Ce que ça veut dire : Vous pouvez ensuite utiliser cette carte pour facturer un minibar, un no-show, ou des extras post-séjour.
Ce que dit la loi : Seuls les outils certifiés PCI peuvent le faire. Stocker une carte dans un fichier Excel ou dans votre PMS sans système sécurisé, c’est strictement interdit.

Et attention : sans tokenisation, impossible de débiter une carte après le départ du client. Même si vous pensez “avoir le droit”.

‍

Transaction manuelle

Ce que c’est : Vous tapez les chiffres d’une carte dans un terminal ou un back-office.
Ce que ça veut dire : La transaction n’est pas sécurisée, et peut être rejetée.
Ce que dit la loi : Si vous ne pouvez pas prouver que c’est bien le client qui a validé la transaction, la banque tranchera contre vous.

Je vous le dis très franchement : ces pratiques sont encore fréquentes. Mais elles sont dépassées. Et surtout, elles sont dangereuses pour votre trésorerie.

‍

Pourquoi ça peut vous coûter cher (sans que vous ne vous en rendiez compte)

Voici des situations que je vois souvent dans les hôtels :
‍

• Un client conteste un paiement non authentifié. Résultat : remboursement immédiat. Vous perdez l’argent et ne pouvez rien faire.
  
  
• Vous facturez un extra après le séjour. La carte n’est pas tokenisée ? Elle est rejetée. Pertes sèches.
  
  
• Vous acceptez une carte virtuelle Booking. Elle coûte parfois 3 % en plus. Ajoutez ça aux 17 % de commission OTA : vous atteignez 20 % de frais sur une seule réservation.
  
  
• Vous stockez une carte dans votre PMS. Vous pensez être à l’abri… jusqu’à ce qu’un contrôle RGPD ou PCI vous tombe dessus.
  
  
• Votre client reçoit un mail d’authentification étrange. Il ne paye pas, ou pire, il pense à une arnaque. Vous perdez la réservation.

‍

Ces pertes sont souvent invisibles. Elles ne se voient pas sur un tableau Excel. Mais elles s’accumulent. Et elles coûtent cher.

‍

Ce que vous pouvez faire dès maintenant

Pas besoin de tout changer du jour au lendemain. Voici des actions concrètes, à votre portée :
‍

• Vérifiez votre prestataire de paiement. Est-ce qu’il déclenche systématiquement le 3D Secure ? Posez-lui la question noir sur blanc.
  
  
• N’utilisez plus de saisie manuelle. Si vous tapez des numéros de carte à la main, arrêtez immédiatement.
  
  
• Demandez si la tokenisation est incluse. Cela vous permettra de gérer les extras et les litiges.
  
  
• Refusez les paiements sans double authentification. Même si le client insiste, c’est votre sécurité.
  
  
• Vérifiez où sont stockées les cartes. Si c’est dans un outil non certifié, ou même sur papier, vous êtes en infraction.
  

‍

Conclusion – Ce n’est pas (que) un sujet technique, c’est un sujet de performance

Je le vois tous les jours : ce qui semble être un détail technique est en réalité un levier de rentabilité. Comprendre comment fonctionnent la DSP2, le 3D Secure et la tokenisation vous protège, vous fait gagner du temps, et vous évite de mauvaises surprises.

On ne vous demande pas d’être juriste, ni expert en cybersécurité. Mais vous devez maîtriser les bases. Parce que chaque réservation mal traitée, chaque carte mal encaissée, peut coûter bien plus que quelques euros.

Je vous encourage donc à prendre ce sujet au sérieux, à poser les bonnes questions à vos prestataires, et à faire évoluer vos outils. Ce n’est pas du confort. C’est de la performance.

‍

👉 Vous avez trouvé cet article utile ? Abonnez-vous à la newsletter de Doyield pour recevoir tous les contenus publiés par nos experts : https://www.doyield.com/blog