Assurance commerce et paiement en ligne : les risques à couvrir

Un commerce qui vend en ligne ne fait pas face aux mêmes risques financiers qu’un point de vente qui encaisse uniquement en boutique. Chaque paiement par carte saisi à distance expose à une fraude spécifique, à des obligations de sécurisation technique et à des conséquences en cas de fuite de données bancaires. Ces risques ne relèvent pas des mêmes garanties que le vol en caisse physique, et ils sont souvent mal anticipés au moment de souscrire un contrat d’assurance commerce.

À retenir

– Les paiements à distance ne représentent que 27 % des dépenses par carte mais concentrent 70 % de la fraude sur carte.

– Le taux de fraude sur les paiements par carte à distance recule mais reste le plus élevé de tous les canaux : 0,13 % en 2025 contre 0,18 % en 2024.

– L’authentification forte (DSP2) est obligatoire pour les paiements en ligne depuis le 15 mai 2021.

– La conformité à la norme PCI-DSS est une obligation contractuelle envers la banque et les réseaux de cartes, pas une simple recommandation technique.

– La garantie cyber couvre les conséquences d’un piratage des données de paiement, ce que ne couvre pas la garantie contre le vol en caisse.

La fraude à la carte bancaire en ligne, un risque concentré sur le e-commerce

Les paiements par carte réalisés à distance représentent une part minoritaire des dépenses mais une part majoritaire de la fraude. Selon l’Observatoire de la sécurité des moyens de paiement de la Banque de France, les paiements sur internet représentent 27 % des dépenses effectuées par carte, mais 70 % de la fraude constatée sur ce moyen de paiement. Le taux de fraude sur ces transactions reste le plus élevé de tous les canaux de paiement, même s’il diminue : 0,13 % en 2025 contre 0,18 % en 2024, grâce notamment à la généralisation du protocole 3-D Secure.

Pour un commerçant qui vend en ligne, cela se traduit concrètement par deux situations : une commande passée avec une carte volée ou des données compromises, et la contestation ultérieure du paiement par le titulaire légitime de la carte.

Le chargeback est la procédure par laquelle la banque émettrice de la carte annule un paiement contesté par son client et récupère les fonds auprès du commerçant, souvent après que la marchandise a déjà été expédiée.

Cette procédure diffère fondamentalement du vol en boutique physique, déjà traité en détail dans notre article sur la fraude à la carte bancaire en commerce : en magasin, la carte et son porteur sont présents ; en ligne, seule une suite de données doit être validée, ce qui laisse davantage de place à la fraude.

Chargeback : qui supporte la perte quand un client conteste un paiement

Quand un chargeback est validé par la banque émettrice, les fonds sont retirés du compte du commerçant, généralement via sa banque acquéreuse ou son prestataire de paiement. Le commerçant peut contester la demande en apportant une preuve de livraison ou de consentement du client, mais la charge de la preuve lui incombe presque toujours.

Concrètement, cela signifie que le commerçant qui vend en ligne perd à la fois la marchandise déjà expédiée et le montant de la vente, sauf s’il parvient à démontrer que le paiement était légitime. C’est une différence majeure avec le risque de vol en caisse physique, où la perte est immédiate et constatable, mais ne se reproduit pas automatiquement à chaque transaction contestée.

Un contrat multirisque professionnelle classique ne couvre pas systématiquement cette perte financière liée à un chargeback frauduleux : il s’agit d’un risque financier et non d’un dommage matériel, ce qui justifie de vérifier précisément les garanties proposées avant de considérer le sujet comme réglé. Pour une vue d’ensemble des garanties de base d’un contrat commerce, voir les garanties indispensables d’un contrat commerce.

PCI-DSS, une obligation contractuelle pour tout site encaissant des cartes

La norme PCI-DSS (Payment Card Industry Data Security Standard) impose un ensemble de règles de sécurité à toute entité qui accepte, traite, conserve ou transmet des données de carte bancaire. Elle n’est pas une loi votée par un parlement, mais une obligation contractuelle imposée par les réseaux de cartes (Visa, Mastercard notamment) et les banques acquéreuses à tout commerçant qui encaisse par carte.

Le niveau d’exigence dépend du volume annuel de transactions traité, du plus petit site e-commerce au plus gros marchand. Même lorsqu’un commerçant externalise entièrement l’encaissement à un prestataire de paiement certifié, il reste responsable de la sécurité globale de son site. Les pages qui redirigent vers le paiement, les scripts tiers intégrés ou un module de panier mal maintenu peuvent constituer un point d’entrée pour une attaque ciblant les données de paiement.

En cas de non-conformité constatée après un incident, les sanctions financières peuvent dépasser 100 000 euros par mois. S’y ajoutent la perte du droit d’accepter les paiements par carte et une responsabilité potentielle en cas de fuite de données. Cette exigence de sécurité minimale est un point que les assureurs vérifient de plus en plus souvent avant d’indemniser un sinistre lié aux données de paiement.

DSP2 et authentification forte : ce que la réglementation impose depuis 2021

Au-delà de la sécurité technique du site, la réglementation européenne encadre directement le parcours de paiement lui-même. La directive sur les services de paiement (DSP2) impose l’authentification forte pour tout achat en ligne en France depuis le 15 mai 2021. Cette date marque l’entrée en vigueur de l’obligation pour l’ensemble des transactions concernées.

L’authentification forte est un dispositif qui exige au moins deux éléments de vérification indépendants parmi trois catégories (un élément que le client connaît, un élément qu’il possède, un élément qui lui est propre) avant de valider un paiement en ligne.

Des exemptions existent : un achat inférieur à 30 euros peut être dispensé d’authentification forte si le cumul des transactions à distance du client depuis sa dernière authentification ne dépasse pas 100 euros. Pour un commerçant, les obligations concrètes se limitent au parcours de paiement : appliquer l’authentification forte via son prestataire et gérer les exemptions éligibles. La Banque de France supervise le déploiement de cette réglementation. Elle a fixé un plan de migration spécifique pour le secteur du e-commerce.

Un site qui ne respecte pas cette obligation s’expose non seulement à un risque de fraude accru, mais aussi à un refus de garantie de la part de son assureur si le défaut de sécurisation est identifié comme cause du sinistre.

La garantie cyber pour les données de paiement clients

Même avec une conformité PCI-DSS et une authentification forte en place, aucun site marchand n’est à l’abri d’un piratage. La garantie cyber d’un contrat d’assurance commerce vise précisément les conséquences d’un incident touchant les données numériques de l’entreprise, y compris les données de paiement de ses clients.

Selon les contrats, cette garantie peut couvrir les frais d’investigation technique pour identifier l’origine d’une fuite, les frais de notification aux clients concernés (une obligation qui découle des règles de protection des données personnelles suivies par la CNIL), les frais de restauration des systèmes et la responsabilité civile envers des clients dont les données auraient été compromises. Pour le cadre général de protection des données clients, voir notre article sur les obligations RGPD sur les données clients.

Cette garantie est distincte de la garantie vol, qui protège la marchandise et le contenu de la caisse physique en cas de cambriolage. La garantie cyber protège la donnée et sa conséquence financière, pas l’objet ou l’espèce monétaire. Notre article sur la garantie vol pour les marchandises et la caisse détaille ce second volet, propre au commerce physique, sans le reprendre ici.

Ce que l’assurance ne couvre généralement pas

La souscription d’une garantie cyber ne dispense pas des mesures de sécurisation en amont. La plupart des contrats imposent une clause de sécurité minimale : conformité PCI-DSS effective, mise à jour régulière des systèmes, authentification forte activée sur le parcours de paiement. En cas de manquement manifeste à ces obligations, l’assureur peut réduire ou refuser l’indemnisation, en particulier si le défaut de sécurisation est identifié comme la cause directe du sinistre.

De la même façon, un chargeback lié à une simple erreur commerciale (produit non conforme, livraison en retard) n’est pas assimilable à une fraude. Il ne relève ni de la garantie cyber ni d’une garantie fraude spécifique : il s’agit d’un litige commercial classique. Il est donc utile de vérifier précisément le périmètre du contrat souscrit, y compris son coût. Voir à ce sujet le coût moyen d’une assurance commerce.

Questions fréquentes

Un chargeback frauduleux est-il remboursé par l’assurance ?

Cela dépend strictement des garanties souscrites. Un contrat multirisque professionnelle classique ne couvre généralement pas la perte financière liée à un chargeback, car il s’agit d’un risque financier lié au paiement et non d’un dommage matériel. Certaines garanties fraude ou cyber spécifiques peuvent l’intégrer, mais ce n’est pas automatique : il faut vérifier les conditions générales du contrat avant de considérer ce risque comme couvert.

La norme PCI-DSS s’applique-t-elle à un petit site e-commerce avec peu de commandes ?

Oui. La norme PCI-DSS s’applique à toute entreprise qui accepte des paiements par carte, quel que soit son volume de transactions. Seul le niveau d’exigence de conformité varie selon le volume annuel traité. Un petit commerçant reste responsable de la sécurité de son site même s’il sous-traite l’encaissement à un prestataire de paiement certifié.

Que couvre une garantie cyber en cas de piratage des données de paiement clients ?

Selon les contrats, elle peut couvrir les frais d’investigation technique, les frais de notification aux clients concernés, la restauration des systèmes touchés et la responsabilité civile envers les clients dont les données auraient été compromises. Elle ne remplace pas les mesures de sécurisation obligatoires comme PCI-DSS et l’authentification forte : un défaut manifeste de sécurisation peut réduire ou empêcher l’indemnisation.

En résumé

• Les paiements en ligne concentrent une part disproportionnée de la fraude à la carte bancaire par rapport à leur poids dans les dépenses totales.
• Le chargeback fait peser une perte financière spécifique sur le commerçant, rarement couverte par un contrat multirisque classique.
• La conformité PCI-DSS et l’authentification forte DSP2 sont des obligations, pas des options, et leur non-respect peut compromettre une indemnisation.
• La garantie cyber protège les conséquences d’un piratage des données de paiement clients, un risque distinct de la garantie vol en caisse physique.
• Avant de souscrire, il est utile de vérifier précisément le périmètre de ces garanties au regard de l’activité de vente en ligne du commerce.