EMV 3-D Secure au Japon : ce que l’obligation de 2025 change pour vendre en ligne

Vous vendez en ligne au Japon, ou vous préparez l’ouverture d’un site marchand japonais ? Depuis la fin mars 2025, l’authentification EMV 3-D Secure y est attendue de tous les e-commerçants, et non plus seulement des sites les plus exposés à la fraude.

Pour une entreprise française, la notion n’est pas nouvelle : la DSP2 impose l’authentification forte des paiements en ligne depuis 2019. Mais le cadre japonais ne fonctionne pas de la même manière. La base juridique, les acteurs visés et la place laissée aux exemptions diffèrent. Cet article explique ce qui est exigé au Japon, ce qui change par rapport à la pratique européenne et ce qu’il faut vérifier auprès de vos prestataires.

Il s’agit d’une présentation générale. Les exigences précises et les calendriers dépendent de votre acquéreur et de votre prestataire de paiement (PSP) au Japon : vérifiez toujours les conditions de votre contrat.

L’essentiel en trois points

• Qui est concerné : en principe, tous les e-commerçants qui acceptent la carte bancaire au Japon. L’échéance était fixée à fin mars 2025.
• Sur quelle base : une ligne directrice sectorielle, la « Credit Card Security Guideline », qui sert de référence pratique pour les obligations de sécurité prévues par la loi japonaise sur les ventes à tempérament (Installment Sales Act). Elle s’impose aux commerçants par l’intermédiaire de leurs contrats avec les acquéreurs et les PSP.
• Ce qui s’y ajoute : depuis la version 6.0 de mars 2025, la même ligne directrice attend aussi des e-commerçants des mesures contre les vulnérabilités de leur site et contre les connexions frauduleuses aux comptes clients.

Ce que le Japon exige des e-commerçants

Une ligne directrice, pas un règlement

La Credit Card Security Guideline est rédigée par le conseil japonais pour la sécurité des transactions par carte, dont le secrétariat est assuré par la Japan Consumer Credit Association (JCA). Le ministère de l’Économie, du Commerce et de l’Industrie (METI) en annonce chaque révision.

La version 5.0, publiée en mars 2024, a fixé l’objectif : EMV 3-D Secure chez tous les e-commerçants, en principe, avant fin mars 2025. Elle répartit les efforts entre les commerçants, les acquéreurs et PSP, et les émetteurs de cartes. Les émetteurs visaient ainsi, d’ici fin mars 2025, l’enrôlement à EMV 3-D Secure de 80 % de leurs porteurs qui achètent en ligne, et l’abandon complet des mots de passe statiques chez les porteurs enrôlés.

La version 6.0, approuvée en mars 2025, a inscrit trois mesures parmi les mesures attendues des e-commerçants :

• les mesures contre les vulnérabilités des systèmes et du site web ;
• des mesures appropriées contre les connexions frauduleuses (prise de contrôle de comptes) ;
• la mise en place d’EMV 3-D Secure.

La version 6.1, publiée en mars 2026, n’ajoute ni ne modifie aucune mesure. Elle vise à ce que chaque acteur applique effectivement celles de la version 6.0.

Pourquoi cette généralisation

La fraude à la carte au Japon est massivement une fraude en ligne. Selon la JCA, elle a atteint 51,05 milliards de yens en 2025, en baisse de 8 % par rapport au record de 2024. L’usage frauduleux de numéros de carte, c’est-à-dire la fraude au paiement à distance, en représente 93 % (47,54 milliards de yens).

La JCA observe que ce type de fraude recule d’un trimestre à l’autre en glissement annuel depuis avril 2025, c’est-à-dire depuis l’échéance fixée pour EMV 3-D Secure. Les deux faits coïncident, mais la JCA ne les relie pas formellement.

DSP2 et Japon : ce qui change pour une entreprise française

Si vous êtes habitué à l’authentification forte européenne, voici les différences qui comptent en pratique.

Deux conséquences pratiques en découlent.

D’abord, vous ne pouvez pas raisonner en exemptions. En Europe, un parcours de paiement peut être conçu autour des exemptions (petits montants, analyse de risque côté acquéreur). Au Japon, la décision d’authentifier ou non le porteur revient à l’émetteur, transaction par transaction, sans règle commune. Le taux de paiements sans friction varie donc selon les émetteurs : mesurez-le après la mise en service plutôt que de le supposer.

Ensuite, 3-D Secure n’est qu’une partie de la conformité. La ligne directrice japonaise regroupe dans un même ensemble l’authentification, la sécurité du site et la protection des données de carte. Les mesures de sécurité du site sont détaillées dans la « Security Checklist » japonaise, attendue de tous les e-commerçants depuis avril 2025. Nous la présentons dans notre article sur la Security Checklist.

EMV 3-D Secure en bref

EMV 3-D Secure (3-D Secure 2) est le protocole qui permet à l’émetteur de vérifier, au moment d’un paiement en ligne, que c’est bien le porteur qui utilise la carte : code à usage unique, validation dans l’application bancaire ou biométrie. Il remplace 3-D Secure 1.0, dont les réseaux internationaux ont arrêté le support en octobre 2022.

Sa principale avancée est l’authentification fondée sur le risque. Le commerçant transmet à l’émetteur des données sur la transaction (appareil, adresse de livraison, historique). L’émetteur peut alors laisser passer sans authentification les paiements jugés peu risqués. C’est ce qui limite les abandons de panier, à condition que les données transmises soient complètes.

Ce qu’il faut faire si vous vendez au Japon

1. Faire le point avec votre PSP et votre acquéreur

Que vous passiez par un PSP international ou par un PSP japonais, demandez par écrit si EMV 3-D Secure est activé pour vos transactions avec des cartes japonaises, et quelles exigences votre acquéreur applique. C’est le contrat qui rend la ligne directrice opposable à votre entreprise : c’est donc lui qui fait foi.

2. Activer l’authentification et vérifier ses réglages

• L’authentification fondée sur le risque est-elle active, ou tous les paiements déclenchent-ils un défi ?
• Les données utiles à l’analyse de risque (appareil, adresse de livraison, historique client) sont-elles transmises ?
• Comment le parcours réagit-il en cas d’échec, d’expiration ou d’abandon de l’authentification ?

3. Sécuriser l’intégration si votre parcours est développé sur mesure

Si vous intégrez vous-même l’authentification via le SDK ou l’API de votre PSP, le code de paiement devient une zone sensible. Les défauts typiques sont l’absence de vérification du résultat d’authentification côté serveur (un paiement validé alors que l’authentification a échoué) et une gestion des erreurs qui expose des informations. Faites tester ce parcours par un tiers avant la mise en production.

4. Tester les cas d’échec, pas seulement le cas nominal

Dans l’environnement de test de votre PSP, vérifiez l’authentification réussie, mais aussi l’échec, l’expiration du délai et l’annulation par le client.

5. Ne pas oublier les deux autres attentes

Prévoyez des mesures contre les connexions frauduleuses aux comptes clients (limitation des tentatives, détection des connexions anormales, authentification renforcée lors de changements sensibles), ainsi que les mesures de sécurité du site prévues par la Security Checklist.

Limiter les abandons de panier

• Annoncez, juste avant le paiement, qu’une vérification par la banque peut être demandée.
• Prévoyez un message clair et une possibilité de renvoi lorsque le code SMS ou la notification de l’application n’arrive pas.
• En cas d’échec, expliquez ce qui s’est passé et ce que le client peut faire, en japonais naturel.
• Suivez le taux d’authentification sans friction et le taux d’échec par émetteur, et ajustez les données transmises.

Questions fréquentes

Q1. Une entreprise française qui vend au Japon est-elle concernée ?

Si votre site accepte les cartes émises au Japon par l’intermédiaire d’un acquéreur ou d’un PSP qui applique la ligne directrice japonaise, oui : l’exigence vous sera transmise par votre contrat. Le périmètre exact dépend de votre montage de paiement. Demandez-le à votre acquéreur.

Q2. Notre parcours est déjà conforme à la DSP2. Est-ce suffisant au Japon ?

C’est une bonne base technique, puisque le protocole est le même. Mais les exemptions sur lesquelles repose votre parcours européen n’ont pas d’équivalent réglementaire au Japon, et la ligne directrice japonaise attend aussi des mesures sur la sécurité du site et les connexions frauduleuses.

Q3. EMV 3-D Secure va-t-il augmenter les abandons de panier ?

Pas nécessairement. L’authentification fondée sur le risque permet aux émetteurs de laisser passer sans défi les paiements peu risqués. Mais le taux de paiements sans friction dépend de chaque émetteur et des données que vous transmettez : il faut le mesurer.

Q4. EMV 3-D Secure suffit-il à sécuriser nos paiements ?

Non. Il protège contre l’usage frauduleux d’une carte par un tiers. La protection des données de carte (PCI DSS ou absence de stockage des données de carte) et la sécurité de l’application web restent des mesures distinctes.

Parler à AEVUS

AEVUS est une entreprise de cybersécurité basée au Japon. Nous auditons les applications web, y compris les parcours de paiement et les espaces clients, et nous vérifions notamment les points sensibles d’une intégration EMV 3-D Secure : contrôle du résultat d’authentification côté serveur, gestion des erreurs, protection contre les connexions frauduleuses. Si vous préparez ou exploitez un site marchand au Japon, contactez-nous.

En résumé

• Au Japon, EMV 3-D Secure est, en principe, attendu chez tous les e-commerçants depuis fin mars 2025, en vertu de la Credit Card Security Guideline.
• Contrairement à la DSP2, il s’agit d’une ligne directrice sectorielle relayée par les contrats, sans catalogue d’exemptions réglementaires.
• L’authentification sans friction dépend de l’analyse de risque de chaque émetteur : mesurez-la.
• La même ligne directrice attend aussi des mesures de sécurité du site et contre les connexions frauduleuses.
• Si votre parcours de paiement est développé sur mesure, faites tester l’intégration avant la mise en production.

Sources

• METI, révision de la Credit Card Security Guideline (version 5.0), 15 mars 2024 (en japonais)
• Conseil pour la sécurité des transactions par carte, points de révision des versions 6.0 et 6.1, mars 2026 (en japonais, PDF)
• JCA, statistiques de la fraude à la carte 2025, 6 mars 2026 (en japonais, PDF)
• Banque de France, rapport annuel 2021 de l’Observatoire de la sécurité des moyens de paiement

Articles connexes

• La « Security Checklist » japonaise pour les paiements par carte