Le transfert de responsabilité EMV : qui paie la fraude en magasin

Ce que le transfert couvre réellement aux États-Unis

L'expression transfert de responsabilité est utilisée comme s'il s'agissait d'une seule règle mondiale. Ce n'est pas le cas. Visa publie sa participation par région, et les régions diffèrent quant au type de fraude qu'elles couvrent. Dans la région des États-Unis, le transfert s'applique à toutes les transactions PDV et GAB contrefaites, nationales et interrégionales. Dans les régions Canada, CEMEA, Europe et LAC, il s'applique à toutes les transactions PDV et GAB nationales, intrarégionales et interrégionales couvrant la fraude par contrefaçon, carte perdue, volée et article non reçu, avec une exception pour les transactions admissibles du service Visa Easy Payment effectuées avec une carte perdue ou volée ou un article non reçu. La lecture pratique pour un commerçant américain est plus étroite que la plupart des gens ne le pensent : la protection obtenue en acceptant une transaction par puce est une protection contre la fraude par contrefaçon. Une carte authentique perdue ou volée utilisée dans votre commerce aux États-Unis n'est pas couverte par le transfert américain, et une contestation à ce sujet se plaide sur d'autres motifs.

Les trois conditions, dans l'ordre où elles sont le plus souvent manquées

Visa énonce la règle de contrefaçon comme une conjonction : une transaction par carte contrefaite effectuée dans un environnement carte présente est la responsabilité de l'émetteur si la transaction a eu lieu à un appareil de lecture de puce conforme EMV, et si, lorsque la transaction est initiée par puce, elle est correctement traitée et — lorsqu'elle est autorisée en ligne — la demande d'autorisation comprend les données complètes de la puce. Chaque moitié échoue différemment sur un vrai comptoir. La condition de l'appareil échoue lorsqu'un lecteur de puce fonctionnel a été contourné, ou lorsqu'un vieux terminal est encore utilisé quelque part dans le parc. La condition de traitement correct échoue silencieusement, dans l'intégration : le terminal lit la puce, mais les données complètes de la puce n'atteignent pas le réseau dans la demande d'autorisation à cause de la façon dont le PDV ou la passerelle assemble le message. Cette seconde défaillance est invisible depuis le comptoir et ne se révèle que lorsqu'une contestation est perdue. Il vaut la peine de demander à votre processeur de confirmer, par écrit, que les données complètes de la puce sont bien transmises sur vos autorisations carte présente.

Le repli et la saisie manuelle sont deux problèmes différents

Une transaction de repli est une transaction où la puce n'a pas pu être lue et où la bande magnétique a été utilisée à la place, le terminal la signalant comme telle. Les règles de Visa font d'une transaction de repli la responsabilité de l'émetteur si la transaction est autorisée par l'émetteur ou son agent, si les valeurs appropriées l'identifiant comme transaction de repli figurent dans le message d'autorisation, et si les procédures d'acceptation appropriées sont suivies. Un repli fait correctement n'est donc pas automatiquement une perte — mais cela dépend du réglage de l'indicateur par le terminal, ce qui relève de la configuration plutôt que du personnel. La saisie manuelle est différente et pire. La condition de contestation 10.3 de Visa, Other Fraud – Card-Present Environment, existe pour le cas où le titulaire nie avoir autorisé ou participé à une transaction saisie manuellement effectuée dans un environnement carte présente. Taper le numéro crée un droit de contestation que l'insertion de la puce ne crée pas. Le barème de Visa la tarife aussi plus cher : CPS/Retail, Debit est à 0,80 % + 0,15 $ contre CPS/Retail Key Entry, Debit à 1,65 % + 0,15 $. Si la saisie manuelle est devenue routinière parce qu'un lecteur est peu fiable, le lecteur est la première chose à corriger sur la liste.

Quand l'émetteur ne peut pas utiliser le transfert contre vous

Visa publie une liste de circonstances dans lesquelles une contestation en vertu de la condition 10.1 est invalide, et plusieurs d'entre elles valent la peine d'être reconnues sur un avis de contestation. Une transaction initiée par puce est un motif invalide. Il en va de même pour une transaction de repli, un décaissement d'urgence en espèces, et une transaction de paiement mobile push. Il en va de même pour une transaction dont le registre d'autorisation contient le code de mode d'entrée PDV 90 alors que le code de service encodé sur la bande magnétique n'indique pas la présence d'une puce — en clair, une carte à bande seulement passée comme carte à bande. Il en va de même pour une transaction où la demande d'autorisation contenait le CVV mais où la vérification n'a pas été effectuée ou dont le registre indique un échec. En dehors de l'Europe, une transaction contenant un jeton est également un motif invalide. Avant d'initier la contestation, l'émetteur doit signaler l'activité frauduleuse à Visa avec le code de type de fraude 4, contrefaçon. Rien de tout cela n'est une défense construite après coup; c'est une liste de vérification pour savoir si la contestation reçue a été validement soulevée en premier lieu.

Le délai, et ce sur quoi il est calculé

Les deux conditions de fraude en carte présente fonctionnent sur la même fenêtre. Un émetteur peut initier une contestation en vertu de la condition 10.1, EMV Liability Shift Counterfeit Fraud, dans les 120 jours civils suivant la date de traitement de la transaction, et la même limite de 120 jours s'applique à la condition 10.3, Other Fraud – Card-Present Environment. La date à partir de laquelle elle court est la date de traitement de la transaction, pas la date à laquelle la marchandise a quitté le magasin ni la date à laquelle le client s'en est aperçu. Votre propre délai de réponse est plus court et fixé par votre acquéreur, la règle opérationnelle est donc simple : l'avis de récupération ou de contestation est le document le plus urgent que reçoit votre entreprise, et il ne devrait pas dormir dans une pile. Constituez la preuve le jour même où l'avis arrive, car le reçu du terminal, la confirmation des données de la puce et le journal des transactions sont tous plus faciles à récupérer la première semaine que la sixième.

Les contestations dont une carte à puce ne vous a jamais protégé

Le malentendu le plus coûteux au sujet du transfert de responsabilité est de le traiter comme une protection contre les contestations en général. Il couvre la fraude par contrefaçon dans la région des États-Unis et rien d'autre. Chaque condition de contestation sans fraude reste disponible pour l'émetteur, peu importe comment la carte a été lue. La condition 12.5, Incorrect Amount, couvre un montant de transaction incorrect ou une erreur d'addition ou de transposition, le montant de la contestation étant limité à la différence entre les montants. La condition 12.6 couvre une seule transaction traitée plus d'une fois avec le même identifiant de paiement, à la même date de transaction, pour le même montant. La condition 13.6, Credit Not Processed, s'applique lorsque le titulaire a reçu un crédit ou un reçu de transaction annulée qui n'a pas été traité; l'émetteur doit attendre 15 jours civils à compter de la date sur le reçu de crédit avant de contester, et doit traiter la contestation dans les 120 jours civils suivant cette date. La condition 13.3 couvre une marchandise ou un service non conforme à la description ou défectueux. Tout cela se gagne ou se perd sur vos dossiers et vos politiques, pas sur votre lecteur de carte. Ceci est une information générale sur des règles de réseau de cartes publiées, pas un avis juridique (17 septembre 2026).

Une courte liste qui réduit vraiment les pertes en carte présente

Cinq choses, dans l'ordre où elles rapportent. Confirmez par écrit avec votre processeur que les données complètes de la puce sont transmises sur vos autorisations carte présente, car c'est la condition la plus susceptible d'échouer sans que personne ne le sache. Vérifiez que chaque appareil du parc est un dispositif de sécurité des transactions PIN approuvé et à jour côté micrologiciel; le PCI Security Standards Council publie les listes d'appareils approuvés, et un appareil non répertorié ou expiré est un problème bien avant qu'une contestation n'arrive. Faites de la saisie manuelle une exception qui nécessite un superviseur, pas une habitude. Vérifiez que les transactions de repli sont correctement signalées dans le message d'autorisation, puisque la protection de la règle en dépend. Et divulguez votre politique de retour et de remboursement comme les règles l'exigent, car les contestations qu'une carte à puce n'a jamais pu arrêter sont celles auxquelles vos documents doivent répondre.

À propos des tableaux de taux sur cette page : Visa est le seul réseau de cartes qui publie une grille d'interchange publique pour les commerçants américains, donc les tableaux de taux sur ce site ne concernent que Visa. Mastercard, American Express et Discover ne publient pas de grille équivalente pour les commerçants américains, et leurs taux ne sont ni montrés ci-dessus ni sous-entendus par ces chiffres. Demandez à votre processeur les taux qui s'appliquent à chaque réseau sur votre compte.