Sécuriser l'expérience d'achat, c'est protéger le paiement, filtrer la fraude, protéger les comptes et maintenir la boutique. Mesures et checklist.
Pour rendre l’expérience d’achat en ligne plus sûre, un e-commerçant doit agir sur quatre fronts : confier le paiement à un prestataire certifié PCI DSS qui gère l’authentification forte (3D Secure), filtrer la fraude avant d’expédier, protéger les comptes clients, et tenir sa boutique à jour en surveillant les scripts de la page de paiement. Bien fait, cela protège vos clients sans alourdir le tunnel de commande.
L’enjeu grandit avec le marché : selon la Fevad, les ventes en ligne en France ont atteint 52,2 milliards d’euros au deuxième trimestre 2026, en hausse de 8,5 % sur un an. Plus il y a de transactions, plus les fraudeurs s’y intéressent. Voici, processus par processus, ce qu’il faut mettre en place et dans quel ordre.
- Pourquoi la sécurité fait-elle partie de l’expérience d’achat ?
- Comment sécuriser le paiement ?
- Comment détecter la fraude avant d’expédier ?
- Comment protéger les comptes clients ?
- Comment gérer les failles de la boutique ?
- Comment montrer la sécurité sans freiner l’achat ?
- Quelle checklist appliquer ?
- Questions fréquentes
- Sources
Pourquoi la sécurité fait-elle partie de l’expérience d’achat ?
Avec la fraude, un e-commerçant perd deux fois. Quand un paiement frauduleux est contesté par le vrai titulaire de la carte, le marchand rembourse la somme, supporte les frais de rétrofacturation et a souvent déjà expédié la marchandise. Et quand des données clients fuient, il s’expose en plus à une perte de confiance durable et à des obligations au titre du RGPD.
Côté client, la sécurité se ressent à chaque étape : un site en HTTPS, un paiement reconnu, une authentification dans l’application de sa banque, des e-mails de confirmation cohérents. Un doute à l’un de ces moments suffit à faire abandonner le panier. Sécurité et conversion vont donc ensemble, comme on l’explique dans notre article pour réduire l’abandon de panier.
Comment sécuriser le paiement ?
Ne jamais traiter les numéros de carte vous-même
Les données de carte sont la cible numéro un des fraudeurs. La norme PCI DSS s’applique à toute entité qui stocke, traite ou transmet ces données. Stripe rappelle qu’une entreprise qui manipule directement les numéros de carte peut avoir à respecter plus de 300 exigences de sécurité, avec audits annuels à la clé.
La solution la plus simple : une intégration où le client saisit sa carte sur une page hébergée par le prestataire de paiement, ou dans un champ sécurisé (iframe) fourni par lui. Les données partent directement chez le prestataire sans transiter par vos serveurs, ce qui réduit fortement vos obligations. Votre boutique ne conserve que des informations non sensibles, comme la marque de la carte, ses quatre derniers chiffres et sa date d’expiration. Notre article sur Stripe comme passerelle de paiement détaille ce fonctionnement.
Gérer l’authentification forte (DSP2 et 3D Secure)
Depuis le 14 septembre 2019, la directive européenne DSP2 impose l’authentification forte du client pour les paiements par carte dans l’Espace économique européen. En pratique, c’est 3D Secure : le client valide l’achat dans l’application de sa banque. Certaines transactions à faible risque peuvent être exemptées, mais c’est la banque qui décide.
Deux conséquences pour vous. D’abord, une intégration ancienne qui ne gère pas 3D Secure voit une partie de ses paiements refusés. Ensuite, un paiement authentifié par 3D Secure bénéficie en général du transfert de responsabilité : si le titulaire le conteste pour fraude, c’est la banque émettrice qui en porte la charge, pas vous.
Chiffrer toutes les pages
Tout le site, et pas seulement la page de paiement, doit être servi en HTTPS avec une version récente de TLS (1.2 ou plus), y compris les images, scripts et feuilles de style.
Comment détecter la fraude avant d’expédier ?
Un processus anti-fraude cherche à repérer un comportement suspect avant que la commande ne soit validée et expédiée. Tant qu’aucun paiement n’est accepté, il n’y a ni marchandise perdue ni rétrofacturation.
S’appuyer sur un outil spécialisé
La détection de fraude demande des données et une expertise que peu de boutiques ont en interne. Les prestataires de paiement proposent des outils intégrés : Stripe Radar, par exemple, évalue chaque transaction en temps réel avec des algorithmes d’apprentissage automatique qui attribuent un niveau de risque. Ces outils analysent des signaux comme le moyen de paiement, la cohérence entre adresse de facturation et de livraison, la localisation ou l’historique d’achat.
Définir des règles et une revue manuelle
Le rejet automatique a un coût : bloquer un bon client est aussi une perte. D’où l’intérêt d’une règle à trois niveaux :
- Risque élevé : la transaction est refusée automatiquement.
- Risque faible : elle est acceptée automatiquement.
- Risque intermédiaire : elle est mise en attente pour une vérification manuelle, ou soumise à une authentification 3D Secure.
La personne chargée de la revue vérifie les commandes en attente, analyse les fraudes confirmées pour ajuster les règles, et fait le lien avec le prestataire de paiement. Les listes de blocage et d’autorisation (clients de confiance, adresses e-mail ou cartes déjà signalées) complètent le dispositif.
Connaître ses clients
Un nouveau client sans historique présente plus de risque qu’un client fidèle. Encourager la création de compte, sans l’imposer, aide à relier les commandes entre elles et à repérer les anomalies. Pour les produits à forte valeur ou très revendables, une vérification supplémentaire avant expédition peut être justifiée, à condition de rester proportionnée et conforme au RGPD.
Comment protéger les comptes clients ?
Un compte client avec des commandes, une adresse et parfois une carte enregistrée intéresse les fraudeurs. Une méthode très répandue consiste à tester en masse des couples identifiant et mot de passe issus de fuites d’autres sites.
- Des mots de passe robustes : la CNIL recommande, pour un site marchand où l’accès est restreint après plusieurs échecs, par exemple au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, ou 14 caractères sans caractères spéciaux, ou une phrase de passe d’au moins 7 mots.
- Un stockage sûr : les mots de passe ne sont jamais stockés en clair, mais avec une fonction de hachage adaptée, comme le préconise la CNIL.
- Un blocage des attaques par force brute : limitation des tentatives de connexion, temporisation, CAPTCHA en dernier recours.
- Un contrôle des mots de passe compromis : des services comme Have I Been Pwned permettent de vérifier si un mot de passe figure dans des fuites connues, sans envoyer ni le mot de passe ni son empreinte complète.
- L’authentification à plusieurs facteurs : proposez-la aux clients, et imposez-la à tous les comptes d’administration de la boutique.
Pensez aussi à l’hameçonnage. Indiquez à vos clients quelles adresses d’envoi et quels canaux vous utilisez, ne demandez jamais de mot de passe par e-mail, et prévoyez une adresse pour signaler les messages ou faux sites qui usurpent votre marque. Enfin, collectez le minimum de données personnelles : ce que vous ne stockez pas ne peut pas fuir. Notre article sur le RGPD rappelle les obligations qui s’appliquent aux données de vos clients.
Comment gérer les failles de la boutique ?
Des vulnérabilités sont découvertes en permanence dans les CMS, les extensions et les serveurs. Une boutique non maintenue finit tôt ou tard par être compromise.
Surveiller les scripts de la page de paiement
Les attaques de type e-skimming, popularisées par les groupes regroupés sous le nom Magecart, injectent un script malveillant dans le tunnel de commande pour copier les données saisies. Le PCI Security Standards Council note que les scripts exécutés dans le navigateur des clients sont devenus une cible importante. Depuis le 31 mars 2025, les exigences 6.4.3 et 11.6.1 de PCI DSS v4 imposent d’autoriser et de contrôler l’intégrité des scripts des pages de paiement, et de détecter toute modification non autorisée. En pratique : limitez les scripts tiers sur ces pages, mettez en place une politique de sécurité du contenu (CSP) et surveillez les changements.
Tenir la plateforme à jour
Appliquez rapidement les mises à jour de sécurité du CMS, du thème et des extensions, et remplacez tout composant qui n’est plus maintenu par son éditeur. Même chose pour la version de PHP ou de Node.js du serveur. Faites vos mises à jour d’abord sur une copie de test, avec des sauvegardes vérifiées. C’est précisément l’objet d’un contrat d’hébergement et maintenance.
Tester régulièrement
Faites auditer périodiquement le code, la configuration et les processus, et complétez par des tests d’intrusion sur les boutiques les plus exposées. Le guide de l’OWASP et son Top 10 donnent une bonne base pour savoir quoi vérifier. Notre article pour sécuriser un site web détaille les réglages de base.
Comment montrer la sécurité sans freiner l’achat ?
La meilleure sécurité est celle que le client remarque juste assez pour être rassuré :
- affichez les moyens de paiement acceptés dès la fiche produit et dans le panier ;
- gardez l’achat possible sans compte, en proposant d’en créer un après la commande ;
- rendez les mentions légales, les conditions de vente, la politique de retour et les coordonnées faciles à trouver ;
- envoyez des e-mails transactionnels cohérents (même expéditeur, même charte) pour que le client repère facilement un faux message ;
- laissez le prestataire déclencher 3D Secure seulement quand c’est nécessaire, plutôt que d’ajouter vos propres étapes de vérification.
Ces choix se prennent au moment de la conception de la boutique. Lors d’une création de site e-commerce, on les intègre dès le choix du module de paiement et du tunnel de commande.
Quelle checklist appliquer ?
| Processus | Mesure | Priorité |
|---|---|---|
| Paiement | Page ou champ de paiement hébergé par un prestataire certifié PCI DSS | Indispensable |
| Paiement | Intégration compatible authentification forte (3D Secure) | Indispensable |
| Site | HTTPS sur tout le site, TLS 1.2 ou plus | Indispensable |
| Fraude | Outil de scoring et règles avec revue manuelle | Fortement recommandé |
| Comptes | Mots de passe robustes, hachage, limitation des tentatives | Indispensable |
| Comptes | Double authentification pour l’administration | Indispensable |
| Maintenance | Mises à jour de sécurité rapides, sauvegardes testées | Indispensable |
| Maintenance | Contrôle des scripts de la page de paiement, CSP | Fortement recommandé |
| Audit | Audit ou test d’intrusion périodique | Selon l’exposition |
Questions fréquentes
Un petit site e-commerce doit-il être conforme PCI DSS ?
Oui, toute entreprise qui accepte des paiements par carte est concernée et doit attester de sa conformité. Mais si les données de carte ne passent jamais par vos serveurs, vos obligations sont bien plus légères.
3D Secure fait-il baisser les ventes ?
Il ajoute une étape, mais il est obligatoire pour les paiements par carte concernés dans l’Espace économique européen. Sans lui, les banques refusent une partie des paiements. Un module récent le déclenche seulement quand la banque l’exige.
Qui paie en cas de paiement frauduleux ?
Par défaut, souvent le marchand, via la rétrofacturation. Si le paiement a été authentifié par 3D Secure, la responsabilité passe en général à la banque émettrice de la carte.
Faut-il obliger les clients à créer un compte ?
Non. L’achat sans compte limite l’abandon de panier. Proposez plutôt la création de compte après la commande, et protégez bien les comptes existants.
À quelle fréquence mettre à jour la boutique ?
Les correctifs de sécurité s’appliquent dès leur publication, après un test rapide. Les mises à jour fonctionnelles peuvent être regroupées, mais une boutique ne doit jamais rester plusieurs mois sans maintenance.
Sources
- Fevad, le e-commerce progresse de 6,6 % au premier semestre 2026 (21 septembre 2026) : fevad.com
- Stripe, préparation à l’authentification forte du client : docs.stripe.com
- Stripe, guide de sécurité et conformité PCI : docs.stripe.com
- Stripe Radar : docs.stripe.com
- PCI Security Standards Council, sécurité des pages de paiement et e-skimming : pcisecuritystandards.org
- PCI Security Standards Council, exigences PCI DSS v4.x applicables au 31 mars 2025 : pcisecuritystandards.org
- CNIL, recommandation sur les mots de passe (octobre 2022) : cnil.fr
- Have I Been Pwned, Pwned Passwords : haveibeenpwned.com
- OWASP Top 10 : owasp.org
