Acheter en ligne

Payer en ligne en sécurité : carte, 3-D Secure, virement, crédit

Authentification forte, cartes virtuelles, portefeuilles, paiement en plusieurs fois, virement et crypto sans recours, hameçonnage : les bons réflexes.

Mis à jour le 30 octobre 2026

Le moyen de paiement choisi détermine vos recours si la commande n’arrive pas ou si vos données sont détournées : certains sont encadrés par la loi et contestables, d’autres irrévocables. Ce guide les classe selon la protection offerte et décrit les gestes à faire après une fraude.

La carte bancaire : le moyen le mieux encadré

Pour un paiement par carte sur internet, votre banque demande en principe une authentification forte (validation dans son application, code combiné à un mot de passe, empreinte biométrique), souvent désignée par le nom du protocole 3-D Secure. Elle réduit fortement les fraudes, mais une validation obtenue par manipulation ne fait pas un paiement « autorisé » : si vous avez validé une opération présentée comme autre chose, contestez-la.

Les règles légales du Code monétaire et financier sont précises :

une opération que vous n’avez pas autorisée doit être remboursée par votre banque immédiatement après qu’elle en a connaissance, et au plus tard à la fin du premier jour ouvrable suivant, sauf si elle a de bonnes raisons de soupçonner une fraude de votre part ;
vous avez 13 mois après le débit pour la signaler ; 70 jours si le paiement a été effectué hors de l’Espace économique européen ;
en cas de perte ou de vol de la carte, vous supportez au plus 50 euros pour les opérations effectuées avant votre opposition avec vos données de sécurité personnalisées ; vous ne supportez rien si vos données ont été utilisées à votre insu, si la carte a été contrefaite alors que vous l’aviez toujours, ou si la banque n’a pas exigé d’authentification forte ;
vous supportez l’intégralité des pertes en cas de fraude de votre part ou de négligence grave, par exemple si vous avez communiqué vos codes ; c’est à la banque de l’établir.

Fixez des plafonds adaptés, activez les notifications de votre banque et ne saisissez jamais votre numéro de carte sur une page atteinte par un lien reçu par SMS ou courriel.

Cartes virtuelles

De nombreuses banques proposent des numéros de carte virtuels, à usage unique ou limités dans le temps et en montant. Le site marchand ne voit jamais votre vrai numéro : en cas de fuite de données chez lui, votre carte réelle n’est pas exposée. C’est le bon outil pour un premier achat sur un site inconnu ; les règles de contestation sont les mêmes.

Portefeuilles électroniques et « protection des achats »

Un portefeuille électronique (PayPal et services comparables) règle le marchand sans lui transmettre votre numéro de carte. Certains proposent une « protection des achats » : remboursement si l’article n’arrive pas ou ne correspond pas à la description. Cette protection est contractuelle : elle a des délais de réclamation, des exclusions et une procédure propre. Elle s’ajoute à vos droits légaux contre le vendeur, décrits dans vos droits d’acheteur en ligne, sans les remplacer.

Payer en plusieurs fois : c’est un crédit

Le « 3 fois sans frais » et le paiement différé proposés au moment de la commande sont des opérations de crédit, généralement accordées par un établissement financier partenaire du marchand (Alma, Klarna, Oney, Floa et d’autres). Jusqu’ici, les crédits de moins de trois mois à frais négligeables échappaient au régime du crédit à la consommation. L’ordonnance du 3 septembre 2025, transposant la directive européenne 2023/2225, y fait entrer, pour les contrats conclus à partir du 20 novembre 2026, les paiements fractionnés ou différés de moins de trois mois, les crédits gratuits et les mini-crédits de moins de 200 euros : information précontractuelle encadrée, vérification de la solvabilité, orientation gratuite des emprunteurs en difficulté, avertissement légal dans les publicités.

Lisez qui est le prêteur, le coût des échéances impayées et ce qui se passe si le produit n’est jamais livré ; le crédit ne modifie pas vos droits contre le vendeur. En cas de faillite du vendeur, voyez procédures collectives et Bodacc.

Virement et cryptomonnaies : pas de recours

Un virement est exécuté au plus tard le jour ouvrable suivant, immédiatement s’il est instantané, et votre banque ne peut pas récupérer les fonds sans l’accord du bénéficiaire. Depuis le 9 octobre 2025, toutes les banques de la zone euro doivent vérifier gratuitement, avant l’exécution, que le nom du bénéficiaire que vous saisissez correspond à l’IBAN : concordance, concordance partielle avec le nom réel affiché, non-concordance ou vérification impossible. Si le nom affiché n’est pas celui de la boutique à laquelle vous pensez payer, arrêtez-vous. Vous pouvez passer outre, mais à vos risques.

Les paiements en cryptomonnaies sont irréversibles et n’offrent ni contestation ni médiateur bancaire. Un site qui n’accepte que le virement, les cryptomonnaies ou les cartes cadeaux vous prive de tout recours : n’achetez pas. La checklist de vérification d’une boutique en ligne place ce critère parmi les signaux d’alerte majeurs.

Hameçonnage et faux sites de paiement

L’hameçonnage imite un site connu, une administration, une banque ou un transporteur pour vous faire saisir vos données bancaires. Les prétextes les plus courants : un faux remboursement, un impayé urgent, la « sécurisation » d’un compte, des frais de livraison ou de douane à régler pour débloquer un colis, un tirage au sort. Les signes : adresse d’expéditeur ou numéro inhabituels, orthographe approximative, urgence, lien vers une page de paiement dont l’adresse ne correspond pas à l’organisme. Les administrations, les banques et les grandes plateformes ne demandent jamais de données sensibles par message ou par téléphone, et personne ne doit vous demander un code d’authentification.

Si vous avez cliqué ou saisi des données :

contactez votre banque pour faire opposition, contester les opérations et demander le remboursement ;
changez les mots de passe concernés ;
conservez le message, une capture d’écran du site, le numéro de téléphone et l’adresse de la page ;
signalez le message à Signal Spam, le site à Phishing Initiative, un SMS ou un appel au 33 700 ; le dispositif 17Cyber vous oriente.

Après une fraude : les gestes dans l’ordre

Faites opposition au plus vite, auprès de votre banque ou du serveur interbancaire au 0 892 705 705 (service payant), et notez le numéro d’enregistrement, qui date votre démarche.
Contestez par écrit les opérations non autorisées auprès de votre banque. Le remboursement est dû au plus tard le jour ouvrable suivant. Une opposition tardive peut lui servir d’argument : n’attendez pas.
Signalez sur Perceval si vous avez toujours votre carte en main et que les achats ont été faits sur internet à votre insu. Le service, accessible depuis Ma Sécurité avec FranceConnect, n’est pas une plainte mais un signalement traité par la gendarmerie ; le récépissé est à transmettre à votre banque.
Déposez plainte si nécessaire (carte volée ou perdue, achat sur un faux site de vente), via Thésée ou au commissariat ; Info Escroqueries (0 805 805 817) vous conseille gratuitement.
Si la banque refuse de rembourser, demandez sa décision motivée par écrit, puis saisissez le médiateur bancaire dont les coordonnées figurent sur vos relevés et sur le site de la banque.

Méfiez-vous des sociétés qui promettent de « récupérer vos fonds » contre des frais : c’est une seconde fraude. L’enchaînement complet des recours figure dans litige avec une boutique : que faire.

À retenir

Payez par carte, avec authentification forte, ou avec un numéro de carte virtuel pour un site inconnu.
Opération non autorisée : 13 mois pour contester, remboursement sous un jour ouvrable, franchise de 50 euros uniquement en cas de perte ou de vol avec code.
Le paiement en plusieurs fois est un crédit ; à partir du 20 novembre 2026, il est encadré comme tel.
Virement et cryptomonnaies ne se contestent pas ; vérifiez le nom du bénéficiaire affiché par votre banque.
Après une fraude : opposition, contestation écrite, Perceval, plainte, médiateur bancaire.