Le numéro de carte est en général l'élément le moins exposé de la transaction. Les parcours de paiement modernes sont conçus précisément pour que le commerçant ne le voie jamais — et sur les plateformes qui suivent ce modèle, une fuite complète du site ne livrerait aucune base de cartes exploitable.
Ce que le commerçant détient, en revanche, c'est tout le reste : l'adresse e-mail avec laquelle vous vous êtes inscrit, le nom et le code postal rattachés à la carte, les adresses IP depuis lesquelles vous vous êtes connecté, et le détail de ce que vous avez regardé ou acheté. Pour la plupart des gens qui lisent ces lignes, c'est ce second ensemble qui constitue le vrai risque, et c'est celui dont on parle le moins.
Qui touche réellement à votre numéro de carte ?
Entre trois et cinq acteurs, dont un seul est le site que vous avez sous les yeux.
| Acteur | Rôle | Voit-il le numéro complet ? |
|---|---|---|
| Le commerçant (le site) | Vend l'abonnement, fixe le prix | Non, si le parcours est bien construit |
| Prestataire de services de paiement | Affiche le formulaire de carte, tokenise le numéro | Oui — c'est sa fonction |
| Banque acquéreuse | Détient le compte du commerçant, achemine la transaction | Le manipule en transit |
| Réseau de carte | Achemine l'autorisation entre acquéreur et émetteur | Le manipule en transit |
| Banque émettrice | Votre banque, accepte ou refuse | Oui — c'est sa carte |
Tout le montage vise justement à tenir le commerçant hors de cette liste. Un formulaire hébergé par le prestataire renvoie au commerçant un jeton — une référence qu'on peut débiter à nouveau mais qui ne vaut rien pour quiconque d'autre, puisqu'elle ne fonctionne que pour ce commerçant chez ce prestataire.
Deux signes observables que c'est bien ce qui se passe : les champs de carte se trouvent dans une iframe servie depuis un domaine différent de celui de la page, ou bien un clic sur « s'abonner » vous envoie carrément sur un domaine de paiement. Ni l'un ni l'autre ne prouve une bonne pratique, mais leur absence — un formulaire de carte envoyé directement au domaine du site — est un signal négatif qui compte.
Que pouvez-vous réellement vérifier de l'extérieur ?
Moins que vous ne le voudriez, et il vaut mieux le dire franchement que de laisser croire qu'une check-list règle la question.
Vous ne pouvez auditer de l'extérieur ni les pratiques de stockage d'une plateforme, ni ses durées de conservation, ni ses contrôles d'accès internes. Ce que vous pouvez observer :
- D'où le formulaire de carte est servi. Affichez le code source de la page ou utilisez les outils de développement pour voir si les champs de saisie appartiennent à un cadre tiers.
- Si une authentification renforcée apparaît. Une redirection vers l'écran de vérification de votre propre banque signifie que la transaction est passée par 3-D Secure, ce qui déplace la responsabilité en cas de fraude et indique que le commerçant est sur un circuit de traitement grand public.
- Si une entité juridique réelle est nommée. Des conditions et des pages de facturation qui nomment une société, une juridiction et une adresse sont un faible signe positif ; une page de facturation qui ne nomme personne est un fort signe négatif.
- Si la politique de confidentialité indique une durée de conservation. Les politiques vagues sont courantes ; une politique qui ne précise absolument rien en dit long sur la façon dont les données sont traitées.
- Si la résiliation se fait en libre-service. Les plateformes qui exigent un e-mail pour résilier sont souvent les mêmes que celles dont l'hygiène de facturation est mauvaise en général.
Quelles sont les véritables catégories de risque ?
Les séparer compte, parce que les défenses diffèrent et que le pire risque n'est pas le plus évident.
| Risque | À quoi cela ressemble | Ce qui le réduit |
|---|---|---|
| Vol du numéro de carte | Débits frauduleux sur la carte | Formulaires hébergés par le prestataire ; un numéro de carte dédié aux abonnements |
| Fuite de données chez le commerçant | E-mail, nom, historique d'achats exposés | Un alias e-mail dédié ; un profil réduit au minimum |
| Exposition par le libellé | Une ligne inattendue sur un relevé partagé | Connaître le libellé avant de s'abonner ; un compte séparé |
| Facturation récurrente non désirée | Des débits qui continuent alors que vous pensiez avoir résilié | Plafonds de dépense ; conserver la confirmation de résiliation |
| Refacturation par un agrégateur | Un débit sous un nom que vous ne reconnaissez pas | Vérifier quelle entité les conditions désignent comme facturier |
| Hameçonnage après l'inscription | Des e-mails imitant la facturation de la plateforme | Ne jamais ressaisir ses données de carte depuis un lien d'e-mail |
La corrélation qu'on oublie : les sites à l'hygiène de paiement la plus faible sont en général aussi ceux à l'hygiène de données la plus faible, parce que les deux reflètent la même chose — l'exploitant a-t-il été accepté par un prestataire grand public, ou a-t-il dû bricoler autour ?
Pourquoi la facturation récurrente est-elle ce qui déraille le plus souvent ?
Parce que l'abonnement et la carte sont deux objets distincts, et qu'annuler l'un n'annule pas l'autre.
Un jeton enregistré peut être débité tant que le commerçant continue de le débiter. Si vous résiliez en fermant la page de compte mais que l'enregistrement de l'abonnement survit, la facturation continue. Si à l'inverse vous supprimez la carte en laissant l'abonnement actif, le débit échoue mais l'obligation contractuelle peut subsister, et certains commerçants transmettent les impayés au recouvrement.
La séquence fiable consiste à résilier depuis le compte, à conserver l'écran ou l'e-mail de confirmation, et seulement ensuite à envisager de retirer le numéro de carte. Vérifiez à la date de facturation suivante plutôt que de supposer.
Que faire quand une fuite de données est annoncée ?
L'exposition de la carte et l'exposition des données appellent des réponses différentes, et c'est en général la seconde qui mérite votre attention.
Pour la carte : contactez l'émetteur et demandez un nouveau numéro. Les débits litigieux peuvent généralement être contestés, mais le délai et les règles exactes dépendent de votre émetteur, de votre réseau de carte et de votre pays — demandez-leur, ne supposez rien.
Pour les données : changez le mot de passe du compte et partout où il a été réutilisé, attendez-vous à un hameçonnage ciblé citant la plateforme par son nom, et traitez tout e-mail ultérieur d'« avis de sécurité » avec plus de méfiance que d'habitude, car les annonces de fuite sont suivies de leurs imitations. Si l'adresse e-mail que vous avez utilisée est rattachée à votre identité réelle ailleurs, ce lien existe désormais dans un jeu de données hors de votre contrôle, et aucune action ne le défait — c'est l'argument en faveur d'un alias dédié, à créer avant d'en avoir besoin.