Le principe est qu’un paiement par carte bancaire, sur un terminal de paiement, est irrévocable : le client valide le montant du paiement avec son code confidentiel à 4 chiffres, ce qui le rend définitif et régulier. La composition du code n’est même pas nécessaire en cas de paiement « sans contact » (jusqu’à 50 €).

Il est fréquent que les loueurs de véhicule ou les hébergeurs demandent une empreinte bancaire au client au moment de la réservation, comme un dépôt de garantie en cas de dégradations constatées en fin de location. Le professionnel pourra alors ensuite prélever une somme sur le compte du client, tant que ce montant reste dans la limite de l’empreinte bancaire. Il doit normalement justifier ce prélèvement par un devis ou une facture de réparation. C’est un fréquent objet de litiges.

Pourtant, dans ce cas, le client n’a pas pu accepter le débit, pour ce montant, à la date de l’opération : le procédé d’empreinte de la carte bancaire ne constitue pas une autorisation de paiement pour un montant précis, mais seulement une mise en réserve qui permet de bloquer une somme sur le compte bancaire du client afin de garantir un paiement futur.

La Cour de cassation a récemment jugé qu’une opération de paiement, même initiée par le payeur, n’est réputée autorisée que si le client a également consenti au montant du débit réellement enregistré sur le compte (Com., 30 novembre 2022, pourvoi N° 21-17614) : le procédé de l’empreinte bancaire n’est donc pas régulier.

En tout cas, le client pourra réclamer à sa banque le remboursement d’un tel débit.

Tout d’abord, il convient de vérifier que le site internet est un site sécurisé, grâce au pictogramme du cadenas qui apparaît sur la barre d’adresse url.

Le paiement en ligne doit faire l’objet de l’authentification forte, c’est-à-dire la combinaison d’au moins deux éléments d’authentification par le client : un élément que seul le payeur connait (mot de passe, code secret, question secrète), un élément que seul le payeur possède (téléphone portable, clé USB) et/ou un élément de biométrie (ce qu’est le payeur : reconnaissance faciale ou vocale, empreinte digitale).

Cela signifie qu’il n’est plus possible de régler sur internet en utilisant seulement les chiffres lisibles sur la carte bancaire. En général, la validation s’opère par l’intermédiaire d’une application bancaire sur téléphone mobile, ou sur clé USB d’ordinateur.

Le procédé habituel de type 3DSECURE n’est donc plus suffisant pour valider un paiement par carte bancaire : il doit être associé à un autre procédé d’authentification, comme le numéro client.

Les banques proposent désormais un service de e-carte bleue, ou carte bancaire virtuelle, qui permet de payer sur internet en toute sécurité, car les coordonnées de la vraie carte bancaire du client ne sont jamais données.

Certaines banques proposent ce service gratuitement ; pour d’autres, il faudra compter plus ou moins une dizaine d’euros par an.

La carte bancaire virtuelle a les mêmes caractéristiques que la carte bancaire habituelle du client (plafond de paiement, type de débit, assurance éventuelle) mais dispose d’un numéro de carte bancaire temporaire jetable et d’un cryptogramme unique.

C’est donc une bonne solution pour sécuriser ses paiements en ligne.