Le 3D Secure est-il obligatoire au Maroc ?

Oui. Bank Al-Maghrib et le CMI imposent l'authentification 3D Secure pour toutes les transactions en ligne par carte bancaire au Maroc. C'est une mesure de protection contre la fraude qui s'applique aux cartes marocaines et internationales.

Quelle est la différence entre 3D Secure 1.0 et 2.0 ?

3D Secure 1.0 redirige vers une page bancaire pour saisir un code SMS. 3D Secure 2.0 est plus fluide : l'authentification se fait dans un iframe intégré, utilise la biométrie et l'analyse de risque, et peut approuver les transactions à faible risque sans intervention du client (frictionless flow).

Le 3D Secure réduit-il les conversions ?

3D Secure 1.0 pouvait réduire les conversions de 10-30% à cause de la friction. 3D Secure 2.0 réduit cet impact grâce au frictionless flow (70-80% des transactions approuvées sans intervention) et à une meilleure expérience utilisateur.

Comment intégrer le 3D Secure sur mon site e-commerce au Maroc ?

Le 3D Secure est géré par votre passerelle de paiement. Avec Chari Pay, le 3D Secure 2.0 est intégré nativement - vous n'avez rien à développer. La passerelle gère l'authentification, la redirection et le callback automatiquement.

3D Secure au Maroc : comment ça marche et pourquoi c'est obligatoire

Introduction : la sécurité des paiements en ligne au Maroc

Le commerce électronique marocain a franchi un cap décisif. Avec plus de 15 milliards de dirhams de transactions en ligne en 2025 et une croissance annuelle à deux chiffres, la sécurisation des paiements est devenue un enjeu central pour les commerçants, les consommateurs et les régulateurs. Au cœur de cette sécurisation se trouve un protocole que tout acheteur marocain connaît, parfois sans le nommer : le 3D Secure.

Ce mécanisme d'authentification forte est la couche de sécurité qui apparaît au moment du paiement, lorsque la banque vous demande de confirmer votre identité - généralement par un code SMS ou une validation biométrique. Au Maroc, le 3D Secure n'est pas une option : c'est une obligation réglementaire imposée par Bank Al-Maghrib et appliquée par le Centre Monétique Interbancaire (CMI) sur l'ensemble des transactions en ligne par carte bancaire.

Ce guide couvre le fonctionnement technique du 3D Secure, les différences entre les versions 1.0 et 2.0, son impact sur les taux de conversion, le cadre réglementaire marocain, et les bonnes pratiques d'intégration pour les commerçants et développeurs. Si vous gérez un site e-commerce ou intégrez une passerelle de paiement au Maroc, cette lecture est indispensable.

Qu'est-ce que le 3D Secure ?

Le 3D Secure (3DS) est un protocole de sécurité conçu pour authentifier le porteur d'une carte bancaire lors d'un paiement en ligne. Le terme "3D" fait référence aux trois domaines (domains) impliqués dans le processus :

Domaine acquéreur - la banque du commerçant et sa passerelle de paiement
Domaine émetteur - la banque du client qui a émis la carte
Domaine d'interopérabilité - le réseau de paiement (Visa, Mastercard) qui orchestre l'échange

Le protocole est géré par EMVCo, le consortium détenu par les principaux réseaux de cartes. Chaque réseau commercialise sa propre implémentation sous un nom spécifique :

Visa : Visa Secure (anciennement Verified by Visa)
Mastercard : Mastercard Identity Check (anciennement Mastercard SecureCode)
American Express : American Express SafeKey

L'objectif fondamental du 3D Secure est de vérifier que la personne qui effectue le paiement est bien le titulaire légitime de la carte. Sans cette vérification, un fraudeur en possession d'un numéro de carte, de sa date d'expiration et de son CVV pourrait effectuer des achats sans entrave.

Comment fonctionne le 3D Secure : le flux complet

Le processus d'authentification 3D Secure s'insère dans le flux de paiement standard entre le moment où le client valide son panier et celui où la transaction est autorisée. Voici les étapes détaillées :

Initiation du paiement - Le client saisit ses informations de carte sur le site du commerçant ou dans l'application
Envoi à la passerelle - Le commerçant transmet les données de paiement à sa passerelle de paiement (Chari Pay, CMI, etc.)
Requête au Directory Server - La passerelle envoie une requête au Directory Server du réseau (Visa ou Mastercard) pour vérifier si la carte est enrôlée en 3D Secure
Vérification par l'émetteur - Le Directory Server interroge l'ACS (Access Control Server) de la banque émettrice
Authentification du porteur - L'ACS détermine le niveau d'authentification requis : code OTP par SMS, validation biométrique (empreinte, reconnaissance faciale), ou approbation automatique (frictionless)
Résultat - L'ACS retourne le résultat d'authentification à la passerelle via le Directory Server
Autorisation - Si l'authentification réussit, la passerelle soumet la transaction pour autorisation auprès de la banque acquéreuse
Confirmation - Le commerçant reçoit la confirmation et le client voit son paiement validé

Ce flux se déroule en quelques secondes. Du point de vue du client, il ne voit que l'étape d'authentification (le pop-up ou la redirection vers sa banque). Toute la mécanique technique entre la passerelle, le Directory Server et l'ACS est invisible.

3D Secure 1.0 vs 2.0 : comparaison détaillée

La première version du 3D Secure, déployée au début des années 2000, a posé les bases de l'authentification en ligne. Mais elle présentait des limitations majeures qui affectaient l'expérience utilisateur et les taux de conversion. La version 2.0, ratifiée par EMVCo en 2017 et déployée progressivement au Maroc depuis 2022, apporte des améliorations fondamentales.

Tableau comparatif

Critère	3D Secure 1.0	3D Secure 2.0
Expérience utilisateur	Redirection vers une page bancaire externe, souvent lente	Authentification dans un iframe intégré, fluide
Méthodes d'authentification	Code SMS (OTP) uniquement	OTP, biométrie, push notification, frictionless
Support mobile	Mauvais - pages non responsives, redirections cassées	Natif - SDK mobile, pas de redirection
Données transmises	15 champs de données	Plus de 100 champs de données pour l'analyse de risque
Frictionless flow	Inexistant	70-80% des transactions approuvées sans intervention
Taux d'abandon	10-30% d'abandon supplémentaire	Réduction significative grâce au frictionless
Réduction de la fraude	Bonne	Excellente - analyse comportementale et contextuelle
Temps d'authentification	30-45 secondes en moyenne	1-5 secondes (frictionless) ou 15-25 secondes (challenge)

Les avancées clés de la version 2.0

La version 2.0 a été conçue pour résoudre le dilemme entre sécurité et conversion. Ses principales innovations :

Analyse de risque en temps réel - L'émetteur reçoit plus de 100 points de données (type d'appareil, géolocalisation, historique de transactions, heure, montant) qui lui permettent d'évaluer le risque de la transaction sans solliciter le client.

Frictionless flow - Pour les transactions à faible risque, l'authentification se fait en arrière-plan. Le client ne voit aucune étape supplémentaire. C'est un changement majeur pour les taux de conversion.

SDK mobile natif - Plus besoin de redirections qui cassent l'expérience sur mobile. Le SDK s'intègre directement dans l'application du commerçant.

Authentification biométrique - Au-delà du simple code SMS, la version 2.0 supporte la reconnaissance faciale, l'empreinte digitale et les notifications push de l'application bancaire.

Pourquoi le 3D Secure est obligatoire au Maroc

Le Maroc a adopté une position claire et stricte sur la sécurité des paiements en ligne. Le 3D Secure est obligatoire pour toutes les transactions e-commerce par carte bancaire, sans exception. Cette obligation repose sur plusieurs piliers réglementaires :

Directives de Bank Al-Maghrib

Bank Al-Maghrib, la banque centrale du Maroc, a émis des directives spécifiques exigeant l'authentification forte pour les paiements en ligne. Ces directives s'inscrivent dans le cadre plus large de la loi bancaire (loi 103-12) et des circulaires relatives à la sécurité des systèmes de paiement. L'objectif est double : protéger les consommateurs marocains et renforcer la confiance dans le commerce électronique.

Application par le CMI

Le Centre Monétique Interbancaire (CMI), qui opère l'infrastructure de paiement par carte au Maroc, applique systématiquement le 3D Secure sur toutes les transactions en ligne. Tout commerçant souhaitant accepter les paiements par carte via le CMI doit supporter le protocole 3D Secure. Les passerelles de paiement agréées, y compris celles comparées dans notre guide, intègrent toutes cette obligation.

Résultats concrets

L'imposition du 3D Secure au Maroc a produit des résultats mesurables. Le taux de fraude sur les paiements en ligne par carte bancaire a été réduit de manière significative depuis l'adoption généralisée du protocole. Les litiges liés aux transactions non autorisées ont diminué, et la confiance des consommateurs dans le paiement en ligne s'est renforcée - un facteur clé dans la croissance du e-commerce marocain.

Impact sur les conversions : données et optimisation

L'un des sujets les plus débattus autour du 3D Secure est son impact sur les taux de conversion. La réalité est nuancée et dépend fortement de la version déployée.

Le problème de la version 1.0

Avec le 3D Secure 1.0, les études internationales montrent un taux d'abandon supplémentaire de 10 à 30% au moment de l'authentification. Les causes principales :

Redirection vers une page bancaire externe qui inspire la méfiance
Pages non optimisées pour mobile
Temps de chargement lent
Codes SMS qui arrivent en retard ou pas du tout
Interface confuse pour les clients non familiers avec le processus

L'amélioration avec la version 2.0

Le 3D Secure 2.0 change la donne. Grâce au frictionless flow, 70 à 80% des transactions sont approuvées sans aucune intervention du client. Le taux d'abandon sur les transactions restantes (celles qui nécessitent un challenge) est aussi réduit grâce à une interface mieux conçue et des méthodes d'authentification plus pratiques.

Comment optimiser vos conversions

Pour les commerçants marocains, plusieurs leviers permettent de maximiser les conversions tout en respectant l'obligation 3D Secure :

Migrer vers le 3D Secure 2.0 - Si votre passerelle utilise encore la version 1.0, la migration est prioritaire
Transmettre un maximum de données - Plus vous envoyez de champs à la passerelle, meilleure sera l'analyse de risque et plus fréquent sera le frictionless flow
Optimiser l'expérience mobile - Utilisez un SDK mobile natif plutôt qu'une redirection web
Informer vos clients - Un message clair expliquant l'étape de vérification réduit l'anxiété et l'abandon

Le frictionless flow en détail

Le frictionless flow est l'innovation la plus importante du 3D Secure 2.0. Il permet de valider l'authentification du porteur sans lui demander aucune action.

Comment l'émetteur décide

Lorsque la banque émettrice reçoit la requête d'authentification, son ACS analyse un ensemble de données pour évaluer le risque de la transaction. Si le risque est jugé faible, la transaction est approuvée en mode frictionless. Voici les principaux points de données utilisés :

Historique du porteur - Fréquence d'achat chez ce commerçant, montants habituels
Appareil - L'appareil est-il connu ? A-t-il déjà été utilisé pour des transactions réussies ?
Géolocalisation - L'achat est-il effectué depuis une localisation cohérente avec le profil du porteur ?
Montant - Le montant est-il dans la fourchette habituelle du porteur ?
Horaire - L'achat est-il effectué à un horaire cohérent ?
Données du navigateur - Empreinte numérique, langue, fuseau horaire
Adresse de livraison - Est-ce une adresse déjà utilisée ?

Taux de frictionless au Maroc

Les banques marocaines ajustent progressivement leurs modèles de risque pour optimiser le ratio entre sécurité et fluidité. En 2026, les taux de frictionless observés sur le marché marocain varient entre 50% et 75% selon les émetteurs, avec une tendance à la hausse à mesure que les modèles de scoring s'affinent.

Le transfert de responsabilité (liability shift)

Un aspect souvent méconnu du 3D Secure est le transfert de responsabilité en cas de fraude. Ce mécanisme a un impact financier direct pour les commerçants.

Sans 3D Secure

Si un commerçant traite une transaction sans authentification 3D Secure et que celle-ci s'avère frauduleuse, la responsabilité financière incombe au commerçant. Il devra rembourser le montant au porteur (chargeback) et supporter les frais associés.

Avec 3D Secure

Lorsque la transaction a été authentifiée via le 3D Secure, la responsabilité se transfère vers la banque émettrice. En cas de fraude malgré une authentification réussie, c'est la banque du porteur qui assume le coût du chargeback, pas le commerçant.

Ce liability shift est un incitatif puissant pour les commerçants. Au-delà de l'obligation réglementaire, le 3D Secure constitue une protection financière directe contre les chargebacks frauduleux. Pour les marchands qui gèrent des volumes importants ou des paniers moyens élevés, cet avantage est considérable.

Guide d'intégration technique

L'intégration du 3D Secure est gérée par la passerelle de paiement. Le commerçant n'a généralement pas besoin d'implémenter le protocole directement - c'est la passerelle qui orchestre l'ensemble du flux d'authentification. Néanmoins, comprendre le processus technique est essentiel pour une intégration optimale.

Flux API typique

Créer une session de paiement - Le commerçant appelle l'API de la passerelle avec les détails de la transaction (montant, devise, référence) et les données du porteur
Recevoir l'URL d'authentification - La passerelle retourne une URL ou un identifiant de session pour l'authentification 3D Secure
Rediriger ou afficher l'iframe - En 3DS 2.0, la passerelle peut fournir un iframe à intégrer directement dans la page de paiement
Recevoir le callback - Après l'authentification, la passerelle envoie un webhook avec le résultat (succès, échec, tentative)
Finaliser la transaction - Si l'authentification est réussie, le commerçant confirme la transaction via l'API

Webhooks et gestion des résultats

La passerelle envoie un webhook contenant le résultat de l'authentification 3D Secure. Les principaux statuts à gérer :

Y (Authenticated) - Authentification réussie. Poursuivre avec l'autorisation. Liability shift actif.
A (Attempted) - Tentative d'authentification. Le porteur ou l'émetteur ne supporte pas pleinement le 3DS. Liability shift partiel.
N (Not Authenticated) - Authentification échouée. Ne pas poursuivre la transaction.
U (Unavailable) - Le serveur d'authentification est indisponible. Décision à prendre selon votre politique de risque.
R (Rejected) - L'émetteur a rejeté l'authentification. Ne pas poursuivre.

Pour les e-commerçants utilisant des plateformes comme Shopify ou des solutions de paiement récurrent, ces détails techniques sont abstraits par la plateforme. Mais pour les intégrations API directes, la gestion correcte de ces statuts est critique.

Pour une documentation technique complète sur l'intégration des APIs de paiement, consultez notre documentation API.

Comment ChariBaaS simplifie le 3D Secure

ChariBaaS, via sa solution Chari Pay, intègre nativement le 3D Secure 2.0 dans sa passerelle de paiement. Voici ce que cela signifie concrètement pour les commerçants :

Intégration zéro-effort - Le 3D Secure 2.0 est activé par défaut sur toutes les transactions. Aucune configuration supplémentaire requise. La passerelle gère l'ensemble du flux d'authentification, de la requête au Directory Server jusqu'au callback final.

Optimisé pour les cartes marocaines - Chari Pay est optimisé pour les spécificités du marché marocain : intégration directe avec le CMI, support de toutes les banques émettrices marocaines, et paramétrage adapté aux modèles de risque locaux.

Frictionless maximisé - En transmettant automatiquement plus de 100 champs de données aux émetteurs, Chari Pay maximise le taux de frictionless flow. Résultat : moins de friction pour vos clients, plus de transactions complétées.

Dashboard de suivi - Suivez en temps réel les taux d'authentification, les taux de frictionless, les échecs et leurs causes. Ces données vous permettent d'identifier et de résoudre les problèmes rapidement.

Support multi-canal - Que vous intégriez via API, via un plugin e-commerce ou via une page de paiement hébergée, le 3D Secure 2.0 est géré de manière transparente sur tous les canaux.

Pour démarrer avec Chari Pay et bénéficier du 3D Secure 2.0, contactez notre équipe ou consultez la documentation technique.