DSP2 et authentification forte (SCA) : le guide de la signature électronique conforme

Qu'est-ce que l'authentification forte du client (SCA) au sens de la DSP2 ?

L'article 97 de la directive (UE) 2015/2366 (DSP2) impose l'authentification forte du client. Ses modalités techniques sont précisées par le règlement délégué (UE) 2018/389 (Regulatory Technical Standards, RTS). Le SCA repose sur au moins deux éléments indépendants appartenant à des catégories différentes.

Pour passer de la théorie à la pratique, découvrez la solution de signature électronique Certyneo et son offre dédiée à votre secteur — conformes eIDAS, sans installation.

• Connaissance : un élément que seul le client connaît (mot de passe, code)
• Possession : un élément que seul le client détient (téléphone recevant un OTP SMS)
• Inhérence : un élément que le client est (biométrie) — optionnel si les deux autres sont réunis
• Lien dynamique : pour un paiement, le code doit être lié au montant et au bénéficiaire (art. 5 RTS UE 2018/389)

Quels actes bancaires relèvent de l'authentification forte ?

À quoi ressemble un parcours de signature conforme SCA ?

1. 1

   Identifier le client (connaissance)

   Le client accède à l'enveloppe via un lien sécurisé et s'authentifie par un premier facteur (email + mot de passe, ou identifiant Certyneo). C'est l'élément de connaissance.

2. 2

   Vérifier la possession (OTP)

   Un code à usage unique (OTP) est envoyé par SMS sur le téléphone préalablement vérifié du client. La saisie du code prouve la possession — deuxième facteur indépendant.

3. 3

   Signer avec horodatage qualifié

   Le client appose sa signature avancée (AES). Certyneo génère un certificat de signature unique et un horodatage qualifié conforme à l'article 26 du règlement eIDAS.

4. 4

   Produire l'audit trail SCA

   Le PDF de preuve documente les deux facteurs, l'horodatage qualifié, le hash SHA-256 et l'IP — opposable à l'ACPR pour démontrer la conformité SCA du parcours.

Questions fréquentes — DSP2 & authentification forte

La signature avancée (AES) suffit-elle à satisfaire le SCA de la DSP2 ?

Oui, lorsqu'elle combine deux facteurs indépendants. La signature avancée Certyneo couvre la connaissance (mot de passe / email de signature) et la possession (OTP SMS sur un téléphone vérifié) : deux éléments de catégories différentes, conformes à l'article 97 de la DSP2 et au règlement délégué (UE) 2018/389. La biométrie (inhérence) n'est pas nécessaire dès lors que ces deux facteurs sont réunis.

Quelle différence entre authentification forte (SCA) et signature électronique ?

Le SCA authentifie l'accès et l'intention du client au moment d'une opération sensible ; la signature électronique scelle un document avec une valeur probante durable. Certyneo combine les deux : le parcours d'authentification forte alimente directement l'audit trail de la signature, de sorte que la preuve d'authentification et la preuve de consentement forment un tout opposable.

Qu'est-ce que le lien dynamique exigé pour les paiements ?

L'article 5 du règlement délégué (UE) 2018/389 impose, pour une opération de paiement, que le code d'authentification soit spécifiquement lié au montant et au bénéficiaire. Toute modification de ces données invalide le code. Pour la signature d'un mandat ou d'un ordre, l'intégrité garantie par le hash SHA-256 du document remplit une fonction équivalente de non-altération.

Existe-t-il des exemptions à l'authentification forte ?

Oui. Le règlement délégué (UE) 2018/389 prévoit des exemptions (paiements de faible montant, opérations récurrentes, bénéficiaires de confiance, analyse du risque de transaction). Elles concernent l'exécution de paiements, non la signature d'un acte contractuel : la signature d'une convention de compte ou d'un mandat reste soumise aux exigences probatoires de l'article 1367 du Code civil.

L'audit trail est-il opposable à l'ACPR en cas de contrôle ?

Oui. L'audit trail Certyneo documente les deux facteurs d'authentification, l'horodatage qualifié, l'intégrité du document et l'identité du signataire. Exportable en PDF certifié, il permet de démontrer à l'Autorité de contrôle prudentiel et de résolution (ACPR) que le parcours respecte les exigences SCA de la DSP2.

Guides et solutions liés

Explorez les ressources connexes de notre cocon signature électronique.

• Guide signature banque & assurance
• Guide KYC & LCB-FT dématérialisé
• Solution banque & assurance
• Guide eIDAS — SES, AES, QES
• Vérification d'identité en ligne