Cryptogramme de carte bancaire

Le cryptogramme, c’est quoi exactement ?

Retournez votre carte bancaire. Sur la bande où figure votre signature, ou juste à côté, trois chiffres sont imprimés — parfois en italique, souvent minuscules. C’est lui : le cryptogramme visuel, ce code que tous les sites marchands vous réclament au moment de payer, juste après le numéro de carte et la date d’expiration.

Trois chiffres au dos : c’est la règle pour l’immense majorité des cartes en circulation en France. L’exception notable vient d’American Express, qui imprime un code de quatre chiffres, au recto de la carte, au-dessus du numéro. Selon les réseaux, on le croise sous différents petits noms — CVV, CVC, code de sécurité — mais c’est toujours le même objet.

Un mot sur le mot lui-même : « cryptogramme » désigne historiquement un message chiffré — celui des énigmes, des correspondances codées, des cryptogrammes musicaux chers aux compositeurs. L’usage bancaire a largement pris le dessus dans la langue courante, et c’est ce sens que traite cet écrit. Trois confusions voisines méritent d’être levées d’entrée.

À quoi sert ce code

la preuve que la carte est entre vos mains

Pour comprendre l’utilité de ces trois chiffres, il faut se placer du côté du commerçant en ligne. En boutique, votre carte est là, physiquement : la puce et le code PIN font foi. À distance, rien de tel — n’importe qui connaissant un numéro de carte pourrait tenter de payer avec. Le cryptogramme apporte un début de réponse : il est imprimé sur la carte, et uniquement sur elle. Il ne figure ni dans la puce, ni sur la piste magnétique, ni sur vos tickets de paiement, ni sur vos relevés. Le connaître, c’est donc — en principe — avoir eu la carte sous les yeux.

C’est aussi pour cela que les standards de sécurité de l’industrie des paiements imposent une règle stricte : un commerçant peut vous demander le cryptogramme au moment de la transaction, mais il n’a pas le droit de le conserver ensuite. Votre numéro de carte peut, sous conditions sévères, être stocké pour faciliter vos prochains achats ; le cryptogramme, lui, doit disparaître une fois le paiement autorisé. Conséquence directe et plutôt rassurante : quand un site marchand se fait pirater sa base de données, les cryptogrammes n’y sont — normalement — pas.

Voilà pourquoi ce petit code a une valeur disproportionnée par rapport à sa taille : il est la pièce du puzzle que les fraudeurs ont le plus de mal à obtenir autrement qu’en vous la demandant directement. Ce point éclaire toute la suite.

Carte enregistrée, abonnements, mobile

où passe le cryptogramme ?

Trois situations du quotidien illustrent concrètement cette règle de non-conservation — et expliquent des comportements de sites qui intriguent souvent.

La carte enregistrée chez un marchand, d’abord. Quand un site vous « retient » votre carte pour accélérer les prochains achats, il conserve le numéro et la date — pas le cryptogramme. C’est pour cela que certains achats ultérieurs vous redemandent les trois chiffres : le site ne les a pas, et ne doit pas les avoir. Cette redemande n’est pas un dysfonctionnement ; c’est plutôt bon signe.

Les abonnements et paiements récurrents, ensuite. Le cryptogramme sert à la souscription, pour valider la mise en place ; les prélèvements suivants s’exécutent ensuite sans lui, dans le cadre de l’accord donné au départ. Un service auquel vous êtes déjà abonné qui vous réclame soudain vos trois chiffres par email doit donc éveiller la méfiance : la mécanique normale n’en a pas besoin.

Les portefeuilles mobiles, enfin. Quand une carte est ajoutée à un service de paiement sur téléphone, elle y est remplacée par un jeton — une version substituée du numéro, propre à l’appareil. Dans ces paiements, le cryptogramme imprimé ne circule pas : la sécurité repose sur le jeton et le déverrouillage de l’appareil. Raison de plus pour ne jamais photographier sa carte recto-verso « pour mémoire » : la photo, elle, contient tout.

Quand le donner, quand refuser net

La règle d’usage tient en une distinction simple : qui a initié l’opération ?

Vous achetez sur un site marchand, vous avez rempli votre panier, vous arrivez sur la page de paiement : saisir votre cryptogramme est normal. C’est exactement à cela qu’il sert. Même chose pour l’enregistrement d’une carte sur une application de confiance que vous avez vous-même téléchargée, au moment d’un premier paiement que vous avez choisi.

Tout le reste doit déclencher un refus net. Un appel d’un « conseiller bancaire » qui aurait besoin de votre cryptogramme pour « bloquer une fraude en cours » ne peut pas être légitime — votre banque connaît votre compte et n’a nul besoin des chiffres de votre carte pour agir dessus : la demande elle-même est la preuve de l’escroquerie. Un email ou un SMS qui vous presse de « confirmer vos informations de paiement » en cliquant sur un lien : hameçonnage classique. Un formulaire reçu par message, une page de « remboursement » d’un colis ou d’un trop-perçu qui réclame numéro, date et cryptogramme : même famille, même traitement — on ignore, on supprime.

Le levier des escrocs est toujours l’urgence — un compte « sur le point d’être débité », un colis « bloqué », un remboursement « qui expire ». Face à un inconnu qui vous demande ces trois chiffres en invoquant la vitesse, la lenteur est votre meilleure alliée : raccrochez, ne cliquez pas, et si un doute subsiste, contactez votre banque par ses canaux officiels — l’application, ou le numéro imprimé au dos de votre propre carte, jamais celui du message reçu.

Ce que le cryptogramme ne protège pas

Soyons honnêtes sur les limites, car elles existent et les connaître protège mieux que les ignorer.

Si votre carte est volée physiquement, le voleur lit le cryptogramme aussi bien que vous : dans ce scénario, le code ne protège de rien — seule l’opposition rapide compte. Si les trois données de votre carte — numéro, date d’expiration, cryptogramme — ont fuité ensemble, par exemple après un hameçonnage réussi, elles peuvent suffire à payer sur certains sites. Et une carte photographiée recto-verso, prêtée ou laissée traîner expose exactement de la même façon.

C’est précisément parce que le cryptogramme ne suffit pas que les paiements en ligne européens ont ajouté une couche : l’authentification forte. Pour la plupart des achats à distance, votre banque exige désormais une validation qui ne dépend plus de la carte elle-même — confirmation dans votre application bancaire, code renforcé, biométrie. Un fraudeur qui détient vos trois données bute alors sur cette étape : il a la clé de la porte, mais pas celle du verrou.

Certaines banques vont plus loin avec le cryptogramme dynamique : sur ces cartes équipées d’un mini-écran, le code change automatiquement à intervalles réguliers. Un cryptogramme intercepté devient périmé en quelques instants. Le dispositif existe, il est efficace contre la réutilisation frauduleuse ; sa disponibilité et ses conditions dépendent de chaque établissement.

Les gestes qui rattrapent une erreur

Vous avez saisi vos données sur une page douteuse, ou donné votre cryptogramme au téléphone avant de sentir l’arnaque ? Ça arrive, y compris à des gens prudents — les scénarios sont conçus pour cela. Ce qui compte, c’est la vitesse et l’ordre des gestes.

Trois chiffres minuscules, une logique limpide : le cryptogramme atteste que vous détenez la carte, à condition qu’il n’en sorte que pour payer — sur des pages que vous avez choisies, jamais pour répondre à qui que ce soit. Le reste est affaire de calme : en matière de paiement, celui qui vous presse est rarement celui qui vous veut du bien.