Un paiement refusé au 3D Secure signifie le plus souvent que l'authentification a échoué, pas que la carte est bloquée : code non reçu, application non validée, délai dépassé. Et quand c'est la validation qui manquait lors d'une fraude, c'est la banque qui paie.
Pourquoi un paiement est-il refusé au moment du 3D Secure ?
Parce que l'une des trois vérifications a échoué : vous, votre appareil, ou la banque. Le tableau suivant reprend les causes que je rencontrais le plus souvent, de la plus banale à la plus rare.
| Cause | Comment la reconnaître | Premier geste |
|---|---|---|
| Le code SMS n'arrive pas | Aucun message, même après plusieurs minutes | Vérifier le numéro de GSM enregistré à la banque |
| L'application de validation n'est pas prête | Le paiement renvoie vers une application qui n'est pas installée ou pas activée | L'installer, l'activer, puis reprendre l'achat depuis le début |
| La session a expiré | Le message d'erreur apparaît après une attente | Recommencer, une seule fois, sans changer d'appareil |
| La limite de paiement est atteinte | Refus sans demande de validation | Consulter la limite dans l'application de la banque |
| Le marchand ne gère pas l'authentification | Refus immédiat sur un site hors d'Europe | Essayer un autre moyen de paiement |
| La banque a bloqué la carte | Refus partout, même hors ligne | Appeler l'émetteur |
Chez Beobank, la page de la Visa Classic précise qu'un SMS avec un code à usage unique part vers le GSM communiqué à la banque, et qu'un Digipass peut générer le code à la place. Chez Buy Way, le guide de la Mastercard One (édition de septembre 2025) exige un compte Buy Way Mobile et un SecureCode : sans eux, aucun achat en ligne n'aboutit.
Dans les dossiers que je traitais, la cause la plus banale était aussi la plus fréquente. Un numéro de GSM changé deux ans plus tôt, jamais communiqué à la banque. Le porteur croyait la carte défectueuse.
Que faire tout de suite quand le paiement est refusé ?
Lire le message exact, puis ne rien précipiter. Dans l'ordre :
- Notez le texte de l'erreur et l'heure, avec une capture d'écran.
- Vérifiez le canal de validation : le SMS arrive-t-il, l'application est-elle à jour ?
- Reprenez l'achat depuis le début, une seule fois.
- Contrôlez la limite de paiement en ligne dans l'application de la banque.
- Appelez l'émetteur si l'échec se répète. Buy Way répond du lundi au vendredi de 8 h 30 à 17 h au 02 320 25 96, et le blocage de la carte se fait 24 h sur 24 au 02 320 25 95.
Ne multipliez pas les essais en changeant de carte sur le même site. Des tentatives en rafale ressemblent à un test de carte volée, et les systèmes antifraude des émetteurs lisent le rythme des essais.
Le 3D Secure est-il obligatoire en Belgique ?
Oui, pour la grande majorité des paiements en ligne par carte. L'article 97 de la directive (UE) 2015/2366, dite DSP2, impose l'authentification forte : deux éléments parmi ce que vous savez, ce que vous possédez et ce que vous êtes.
La Belgique l'a déployée par paliers en 2020. Selon la RTBF, les banques rejetaient dès le 25 août 2020 les paiements en ligne de plus de 1 500 € sans authentification forte. Test-Achats a publié le calendrier de Febelfin : 250 € le 22 septembre, 30 € le 19 octobre, 0 € le 17 novembre 2020. L'échéance européenne était le 1er janvier 2021.
Des exemptions existent, et elles expliquent pourquoi un achat passe parfois sans rien demander. Elles viennent du règlement délégué (UE) 2018/389 :
| Exemption | Condition | Article |
|---|---|---|
| Paiement à distance de faible valeur | 30 € au plus, jusqu'à 100 € cumulés ou 5 opérations consécutives depuis la dernière authentification | 16 |
| Analyse du risque de l'opération | 500 €, 250 € ou 100 € au plus, selon que le taux de fraude de référence reste sous 0,01 %, 0,06 % ou 0,13 % | 18 |
| Bénéficiaire de confiance | Marchand ajouté par vous à une liste, avec authentification forte | 13 |
| Opérations récurrentes | Même montant, même bénéficiaire, après une première opération authentifiée | 14 |
Une exemption est une faculté, pas une obligation. L'émetteur peut toujours exiger la validation, et c'est lui qui décide.
Un site sans 3D Secure est-il suspect ?
Pas forcément, mais un premier achat de plus de 30 € passé sans aucune validation doit vous faire vérifier le marchand. Un site hors Europe peut ne pas proposer l'authentification : la RTBF notait en 2020 que certains paiements vers des marchands non européens pourraient être bloqués pour cette raison.
Un achat validé en 3D Secure peut-il encore être contesté ?
Oui. L'authentification prouve que quelqu'un a validé avec vos éléments. Elle ne prouve pas que vous avez consenti à l'achat.
L'article VII.42 du Code de droit économique charge la banque de prouver que l'opération a été authentifiée, enregistrée et comptabilisée sans déficience technique. Il ajoute que l'usage de la carte, tel qu'enregistré par la banque, ne suffit pas nécessairement à prouver que vous avez autorisé l'opération. Le guide de bankinglaw.be résume le même mécanisme.
L'émetteur regarde d'abord le journal d'authentification : canal, appareil, heure. Dans les dossiers que je traitais, la mention « transaction authentifiée » arrivait en première ligne de la lettre de refus. Elle ne clôt pas le débat. La banque doit encore établir une fraude ou une négligence grave de votre part pour vous laisser la perte, et la définition de la négligence grave est détaillée dans l'article sur la banque qui refuse de rembourser une fraude.
Un litige commercial est une autre affaire. Un colis jamais livré ou un abonnement débité après résiliation se règle par la rétrofacturation, que la validation ne ferme pas. La marche à suivre est dans l'article sur le chargeback en Belgique.
Qui paie si la banque n'a pas exigé d'authentification forte ?
La banque, sauf fraude de votre part. Quand l'authentification forte était requise et que l'émetteur ne l'a pas exigée, le payeur ne supporte aucune perte financière, d'après l'article 74 de la directive 2015/2366, repris à l'article VII.44 du Code de droit économique. La franchise de 50 € ne vise que la carte perdue ou volée, avant votre signalement.
Le remboursement est dû au plus tard à la fin du premier jour ouvrable qui suit votre signalement (article VII.43). Votre délai pour signaler est de treize mois après le débit (article VII.41). Voici comment les situations se répartissent.
| Situation | Authentification | Perte, en principe | Premier geste |
|---|---|---|---|
| Achat de 120 € sans aucun code ni validation, hors exemption | Absente | Émetteur, sauf fraude de votre part | Signaler par écrit, citer l'article VII.43 |
| Achat de 25 € sans validation | Exemption possible (30 €) | Émetteur si vous n'avez pas autorisé l'achat | Signaler quand même, l'exemption ne règle rien |
| Achat validé par vous après un faux appel de la banque | Présente | Débattue, la banque doit prouver la négligence grave | Réclamation écrite détaillée |
| Achat validé par vous, colis jamais livré | Présente | Sans objet, c'est un litige commercial | Rétrofacturation |
| Carte volée utilisée avant votre blocage | Selon le cas | Jusqu'à 50 € avant signalement, rien après | Bloquer chez Card Stop au 078 170 170 |
La brochure ne met pas en avant ceci : le régime protecteur dépend de ce que vous n'avez pas validé. Dès que vous avez saisi le code ou touché l'écran, le dossier change de nature, même si vous avez été trompé. L'article sur la carte piratée traite les gestes de la première heure.
Comment trois émetteurs belges valident-ils un achat en ligne ?
Chacun à sa manière, et les pages publiques ne disent pas tout. Voici trois cartes avec leurs trois chiffres de base.
| Carte | Cotisation annuelle | TAEG du solde reporté | Validation du 3D Secure | Tarif relevé chez l'émetteur le |
|---|---|---|---|---|
| Beobank Visa Classic | 5 € | 14,49 % (ouverture de crédit de 2 150 €, taux au 9 mai 2025) | SMS vers le GSM enregistré, ou Digipass | 19 octobre 2026 |
| Mastercard One de Buy Way | 17,50 € | 14,50 % (taux débiteur variable de 13,75 %) | Buy Way Mobile et SecureCode | 19 octobre 2026 (guide de septembre 2025) |
| Belfius Visa Classic | 23,16 € (1,93 € par mois dans le forfait Beats New) | Aucun, débit différé | Non précisé sur la page de la carte | 19 octobre 2026 |
Sur la Mastercard One, un retrait de 100 € au distributeur coûte 6,50 €, et le même guide fixe la limite de retrait entre 20 € et 620 €. Sur la Visa Classic de Belfius, la limite de paiement va de 500 € à 1 900 €. C'est une cause de refus que le 3D Secure n'explique pas, et le mécanisme du débit différé est détaillé à part.
La limite à connaître : aucune des trois sources ne publie le délai pendant lequel un code reste valable, ni la marche à suivre quand l'authentification échoue. Le guide de Buy Way le dit en creux : il décrit la procédure, mais pas ses échecs. Je ne vous donnerai donc pas de durée que je ne peux pas sourcer.
Vers qui se tourner si la banque refuse de rembourser ?
D'abord son service plaintes, par écrit, en exigeant les faits sur lesquels le refus repose. Ensuite Ombudsfin, le médiateur des conflits financiers : gratuit, écrit, ouvert après votre réclamation à l'émetteur. Son avis ne lie pas la banque.
Bloquez la carte sans attendre, dans l'application ou chez Card Stop au 078 170 170, et transférez tout message frauduleux à suspect@safeonweb.be, l'adresse de Safeonweb. Le détail du blocage est dans l'article sur Card Stop.
Si une fraude met votre budget en difficulté pendant l'examen, un service de médiation de dettes agréé ou le CPAS de votre commune peut vous aider gratuitement. Cet article ne remplace pas un conseil adapté à votre situation.
Pour comparer les cartes sur ce qu'elles coûtent plutôt que sur leurs promesses, le classement des cartes de crédit belges, le comparateur et l'aide au choix partent des mêmes tarifs relevés.
Sources, consultées le 19 octobre 2026. Authentification forte : article 97 de la directive (UE) 2015/2366 ; exemptions, articles 13, 14, 16 et 18 du règlement délégué (UE) 2018/389, texte publié par la Banque nationale de Belgique. Preuve, remboursement et répartition des pertes : articles VII.41 à VII.44 du Code de droit économique, Livre VII, et article 74 de la directive 2015/2366 ; commentaire : bankinglaw.be. Calendrier belge de 2020 : RTBF et Test-Achats, 9 septembre 2020. Beobank Visa Classic, taux en vigueur au 9 mai 2025 : Beobank. Mastercard One, guide de septembre 2025 : Buy Way. Belfius Visa Classic : Belfius. Recours : Ombudsfin. Les tableaux de cas sont des lectures de l'autrice, établies le 19 octobre 2026, qui résument la loi sans la remplacer. Aucun lien de cet article n'est rémunéré.
Comparateur
Comparez les cartes de crédit côte à côte.
Comparer maintenant →
Questions fréquentes
Delphine a passé sept ans au service litiges et rétrofacturation d’un émetteur de cartes belge, à Liège, entre 2015 et 2022 : le bureau où atterrissent les contestations de porteurs, les retraits facturés deux fois et les cautions d’hôtel qui restent bloquées trois semaines. Elle a donc lu, ligne par ligne, plusieurs milliers de relevés de cartes belges, et elle sait où se logent les montants que personne ne regarde avant de signer. Depuis 2023 elle relève chaque trimestre les tarifs publiés des émetteurs belges et tient le tableau de coûts qui sert de base à ce site. Ce qui l’agace : les brochures qui annoncent une carte à 0 € sans mentionner que le premier retrait au distributeur coûte 5 € fixes plus 1,8 % de commission, et que les intérêts courent dès le jour du retrait.