3D Secure est une solution permettant de sécuriser les transactions sur Internet. Problème, depuis hier les rejets de paiements se multiplient chez de nombreux commerçants. Cette fois-ci, une erreur humaine en est la cause : un nom de domaine n'a pas été renouvelé par Atos Worldline.
Depuis hier matin, il est parfois difficile de valider un paiement par carte bancaire chez certains revendeurs en ligne. Une fois de plus, le problème se situe au niveau de la validation 3D Secure. Pour rappel, celle-ci avait déjà causé des soucis fin 2014, en pleine période de course de Noël.
Les causes ne sont pas les mêmes, même si on retrouve au moins une similitude dans les deux cas : Atos Worldline. Si les serveurs étaient tombés en 2014, cette fois-ci, c'est une erreur humaine qui a fait s'effondrer le système d'authentification des paiements tel un château de cartes : un nom de domaine n'a pas été renouvelé à temps (pour wlp-acs.com). D'une facture de 12 euros, on passe ainsi à des milliers, voire des millions d'euros pour les revendeurs impactés.
3D Secure : une chaine de sécurité aux multiples maillons...
Avant d'entrer dans le vif du sujet, commençons par un rappel du fonctionnement de 3D Secure, une vérification supplémentaire qui prend également le nom de « Verified by Visa » ou « MasterCard SecureCode » suivant les cas. Pour résumer, lors d'un achat, le client doit saisir un code de confirmation en plus du numéro de la carte bancaire, de sa date de validité et de son code CVV (cryptogramme visuel au dos de la carte). Il peut être envoyé par SMS, provenir d'une carte de validation, etc. Parfois, il est même possible de valider via l'application mobile de sa banque, sur son smartphone.
Lorsqu'un client valide un paiement, l'ecommerçant (ou son prestataire le cas échéant) interroge MasterCard ou Visa suivant le type de carte. Ces derniers interrogent alors le serveur d’authentification (Access Control Server, ou ACS) de l'émetteur de la carte pour savoir si 3D Secure est activé ou non. Plusieurs banques françaises utilisent les services d'Atos Worldline pour cette étape.
Si 3D Secure est en place pour la carte concernée, une URL vers le site de la banque est renvoyée afin de mettre en place l'étape de validation supplémentaire. Dans le cas contraire, le serveur précise que la carte n'est pas « enrôlée », le paiement suit son cours sans 3D Secure.
... quand l'un tombe, c'est l'effet boule de neige
Problème depuis hier matin aux alentours de 10h30, le serveur ACS d'Atos Worldline répondait que la carte n'était pas « enrôlée », même si c'était le cas. La cause ? Le nom de domaine wlp-acs.com utilisé par Atos est arrivé à expiration le 12 juin... et n'a été renouvelé que le 14 juin. Trop tard puisque les nouveaux DNS étaient déjà en place et ne redirigeaient plus vers Atos.
Non-renouvellement du domaine https://t.co/fBk4RmgzUo, utilisé par ce service. Données ici : https://t.co/csBLj3vSEm #DNS
— [Mastodon]Bortzmeyer (@bortzmeyer) 15 juin 2017
La conséquence ne s'est pas fait attendre : des échecs de routage ont bloqué le trafic 3D Secure vers le serveur ACS. Un de nos contacts nous explique alors qu'Atos répondait que la carte n'était pas « enrôlée », même si c'était le cas. La demande de paiement suit alors sa route avant d'être refusée par l'émetteur de carte qui ne comprend pas : pour lui la carte est enrôlée, alors que le prestataire précise que non. Bref, une information erronée sur 3D Secure qui met un terme à la procédure d'achat.
Un déroulement des faits également confirmé par Nicolas Milano, directeur général de l'hébergeur Mengine sur ce billet d'alerte, ainsi que par la boutique Les Dessous Chics sur sa page Facebook.
Nom de domaine renouvellé, mais les serveurs DNS ne sont pas tous à jour
D'après nos sources, l'incident aurait été identifié jeudi vers 10h40, avec une correction déployée vers 11h (renouvellement du nom de domaine). Il faut maintenant attendre que la « propagation » – ou plutôt la réjuvénation pour le spécialiste du sujet Stéphane Bortzmeyer – des DNS se fasse, ce qui peut prendre jusqu'à 24 et 48 heures.
Toujours selon nos sources, des mises à jour ont été mises en place sur certains serveurs DNS afin de forcer la mise à jour au plus vite. C'est notamment le cas d'Orange, de Google et d'OpenDNS (Cisco) depuis hier, ainsi que SFR depuis ce matin. Dans tous les cas, la situation devrait rentrer dans l'ordre d'elle-même au cours des prochaines heures, avec une mise à jour automatique des serveurs DNS.
Selon PayZen, qui s'appuie sur une communication de Visa, « le réseau ACS de Worldline (permettant la bonne réalisation du système de sécurité 3D Secure) connait toujours des perturbations, mais une nette amélioration des traitements est observée. Un retour à la normal est espéré pour la fin de la journée » :
#3Dsecure : Un retour à la normal est espéré pour la fin de la journée. Enfin ! pic.twitter.com/RUt4X0cGQV
— BigXof (@christophevidal) 15 juin 2017
Nous avons tenté de contacter Atos Worldline afin d'avoir des précisions et savoir si des mesures avaient été prises pour éviter qu'un tel incident ne se reproduise à l'avenir, sans réponse pour le moment. Le groupe ne semble d'ailleurs pas spécialement prompt à réagir puisqu'il avait déjà refusé de nous commenter la situation fin 2014, et qu'il ne donne pas plus de détails sur les réseaux sociaux.
Un problème ? Quel problème ?
Sur les réseaux sociaux et leurs blogs, plusieurs professionnels font part de leur mécontentement face au manque d'information de la part des banques. « Aucune communication » regrette ainsi Nicolas Milano. Agacement également du côté de Stéphane Alligne (Dotnet) : « Monético (solution de paiement du Crédit Mutuel) n'a même pas envoyé un mail pour prévenir les Ecommerçants ! Un simple message dans l'interface annonce le problème ».
Ce douloureux épisode pour les e-commerçants – un des acteurs du secteur évoque un taux de rejet d'environ 30 % sur les commandes, alors que pour un autre il est question de 40 % – n'est une nouvelle fois pas sans soulever la délicate question de la concentration. Lorsqu'un des acteurs tombe, c'est ensuite l'effet domino pour tous ceux qui utilisent ses services. Une situation que nous avons évoquée à plusieurs reprises dans le cas des hebergeurs Cedexis et Oxalide, mais aussi avec l'épisode du prestataire GLI par exemple.
La question de la concentration revient encore une fois
Dans le cas présent, « la société qui gère l’ensemble du processus 3D Secure connait un incident majeur. Cet incident impacte toutes les banques sauf les porteurs de carte du groupe Crédit Mutuel », et donc du CIC qui fait partie du même groupe, explique Les Dessous Chics sur son compte Facebook. Une information qui nous a d'ailleurs été confirmée.
Les boutiques en ligne ont tout de même une possibilité de contournement : désactiver 3D Secure (lorsque c'est possible)... mais en prenant alors le risque de devoir supporter elle-même le coût des paiements frauduleux. Un choix qui a été fait par certains pour tenter de boucher l'hémorragie. En effet, si certains clients peuvent reporter leur achat à plus tard, dans d'autres cas il est facile de trouver un autre revendeur qui propose le même objet, sensiblement au même prix, mais sans 3D Secure. C'est par exemple le cas d'un mastodonte du secteur, Amazon.
Une autre solution est de proposer un paiement par PayPal à la place de la carte bancaire. Ce changement n'est pas anodin selon un spécialiste du secteur, qui nous précise que cela à un coût pour le client. Alors que les taux de commissions sont aux alentours de 0,5 à 0,7 % avec une carte bancaire, ils passent à 3 ou 4 % avec PayPal.
🔴 En raison d'un bug national sur le paiement 3D Secure, nous vous recommandons d'utiliser Paypal dans l'attente d'une résolution 😉 pic.twitter.com/wik6QfkKSI
— Videdressing (@Videdressing) 14 juin 2017
Le manque a gagner se fait apparement ressentir dans certaines boutiques. Stéphane Alligne annonce une baisse de 70 % de son chiffre d'affaires, contre 65 % pour Les Dessous Chics... « en ayant pourtant reussi à sauver la soirée en désactivant 3D Secure ». D'autres ont visiblement eu plus de chances et n'ont quasiment pas d'impacts en ayant rapidement désactivé 3D Secure.
Commentaires (71)
#1
un nom de domaine n’a pas été renouvelé par Atos Worldline.
C’est marrant, j’étais sur l’article Wikipedia du CAC40 et j’ai vu que c’était le dernier rentré
Une bourde mondiale moins de 3 mois après sa nomination au CAC40, GG
#2
le CVV serait pas inscrit sur la carte aussi, on aurait pas besoin de ce genre de trucs..
" />
m’enfin Atos quoi
#3
J’hésite entre Ha! Ha! et :facepalm:
#4
Par chance, mon client n’a pas été trop impacté avec Ogone. Mais c’est quand même une grosse blague.
Le pire c’est qu’on a l’impression qu’Atos en a rien à foutre et les e-commerçant l’ont bien profond.
#5
“Atos, les opticiens!” … désolé Thierry Breton
" />
#6
#7
Heureusement qu’ils n’avaient pas besoin d’un 3D Secure pour payer le renouvellement 
" />
#8
#9
Tiens il faudrait que je me renseigne pour savoir si il est possible de louer son NDD pour une période supérieur à un an…
Si quelqu’un a la réponse, par avance merci.
#10
#11
#12
Sur le papier c’est quand même bien 3Dsecure, sms rapide etc, 100000 fois mieux que le fiatnet moisis qui t’oblige à leur envoyer tes papiers d’identité et leur montré ton cul en photo. Fianet c’est le moyen age, et malheureusement encore trop de commercant utilise cette merde.
#13
Le mieux étant un script qui regarde une fois par jour la date d’expiration et t’envoie un mail 1 mois avant
Et le même pour le certificat aussi :)
#14
Je crois que c’est possible pour certains TLDs mais pas tous. Cela dit maintenant t’as un renouvellement automatique qui existe (notamment chez OVH)
#15
Atos Worldoffline ?
#16
Ah bah il y a un SI qui va apprendre à mettre une surveillance Nagios sur le whois et coller une alerte quand le renouvellement arrive et qu’il n’est pas fait.
#17
Magnifique.
" />
Du grand art.
Un service de sécurisation des paiements down parce qu’un nom de domaine n’a pas été renouvelé à temps, des champions les mecs.
#18
La deuxième page c’est approximativement le moment où quelqu’un du milieu nous sort “non mais les gars vous dites ça de derrière vos écrans, vous vous rendez pas compte de ce que c’est de gérer ça dans les grosses entreprises”
#19
Une équipe responsable de l’exploitation ? Mais avec quel budget voyons ? #LesInformaticiensCEstTousDesBranleurs
" />
" />
#20
Et vive le renouvèlement automatique, c’est disponible à peu près partout, hein… Quel bande de chèvres !
#21
#22
HS: je viens de tomber sur la page d’erreur 404, c’est du grand art !
Elle mérite presque un petit lien 404 sur le bandeau du site :-)
Je me demande depuis combien de temps c’est en place du coup…
#23
Nous avons tenté de contacter Atos Worldline afin d’avoir des précisions et savoir si des mesures avaient été prises pour éviter qu’un tel incident ne se reproduise à l’avenir, sans réponse pour le moment.
Oui. ils ont collé un post-it “penser à renouveler le ndd avant juin 2018 !!!”
#24
Profites en car les sms c’est fini. Il va falloir passer par l’appli de ta banque bientôt 
" />
#25
Chez nous, on se fait souvent avoir avec le renouvellement du certificat SSL.
#26
#27
un bail :) elle a été mise à jour avec la v6 mais l’idée est là depuis la hadopi en gros je crois
#28
Ah ouais…
ça manque de 404 finalement sur le oueb !
#29
et on à fait le renouvellement à nos frais :-/
#30
Ça explique les galères de CB au boulot aujourd’hui.
#31
le communiqué de presse d’Atos concernant le pb
" />
https://atos.net/fr/2001/communiques-de-presse/communiques-generaux_2001_03_09/p…
nan je déconne celui la c’est pour l’autre fois ou il ont fait le même oublie
#32
ha ben merci pour l’info, j’ai eu un pb de paiement hier justement sur paybox…
#33
#34
C’est clair que les services achats dans certaines entreprises sont vraiment malhonnêtes…
#35
#36
Un truc à 12 euros par an, pourquoi ils ont pas mis en place le renouvellement auto ? sigh
#37
Ah, si seulement on pouvait payer par virement. Mais je ne fais que radoter. Je rabâche. Mais sans blague, il y aurait beaucoup moins de problème…
#38
#39
” Pour résumer, lors d’un achat, le client doit saisir un code de confirmation en plus du numéro de la carte bancaire, de sa date de validité et de son code CVV (cryptogramme visuel au dos de la carte). Il peut être envoyé par SMS, provenir d’une carte de validation, etc. Parfois, il est même possible de valider via l’application mobile de sa banque, sur son smartphone.”
Ou parfois, et c’est complètement idiot, ils demandent juste des infos écrites sur la carte.
Pour les visa LLoyds (UK), ils demandent le numéro de compte + sort-code, qui sont donc écrites sur la carte, c’est super sécure si un mec de pique ta carte….
Bref.
Si ils pouvaient repenser le truc ca serait bien, plutôt que faire des ajouts genre SMS, applis etc, pas standards.
#40
#41
Ca dépend de la banque en fait.
Sur bnp c’est un SMS, et avant ca pouvait être la date de naissance.
Au LCL un code était transmis vocalement par téléphone, il y a eu une espèce de matrice aussi il me semble.
#42
À la BNP pendant un temps t’avais aussi un générateur de code, style RSA SecurID. C’était cool quand ça marchait, moins quand ça ne marchait pas et qu’il fallait se retrouver à téléphoner pour débloquer le truc.
#43
à la BNP de temps en temps j’ai la date de naissance (je pense que c’est pour des petits montants), mais souvent le code habituel
" />
#44
Moi j’aimais bien la date de naissance… vu que la BNP ne peut pas m’envoyer de SMS sur mon numéro à l’étranger !!
Du coup très souvent je fais appel à Paypal quand j’ai le piège 3D secure.
#45
#46
Perso pour ces cas là, j’utilise un numéro virtuel “on/off” (d’autres sociétés le font), alors oui c’est pas gratuit, mais ça me fait un numéro “local” dont je peux me servir pour ce genre de cas (banque, et autres) – et surtout que tu reçois direct dans l’application du téléphone.
#47
Tu leur refacture avec une marge à 900%.
" />
Cela ne coute rien d’essayer.
#48
Clair ! Mais même si je me doute bien que la plupart des visiteurs de ce site reconnaitront le message, j’ai peur que ça effraie des visiteurs qui sont tombés là “par hasard”.
" />
Un autre pas mal, c’était le site du configurateur de véhicules pour Peugeot qui t’affichait une photo de Peugeot 404 cabriolet. La grande classe !
#49
Je suis dans le même cas
" />
La Caisse d’Epargne accepte les numéros de portable étrangers, mais j’ai ouvert un compte gratuit chez Soon… Pour la contrepartie de 10€/mois pour un numéro on/off français (oui, ils ont juste augmenté le tarif de 233% il y a quelques mois). Mais bon, ça me permet d’avoir un numéro de portable français avec les communications incluses en parallèle, donc ça vaut quand même à peu près le coup.
#50
J’allais en venir là. Jusque récemment, tu pouvais effectuer des paiements individuels sur PayPal sans ouvrir de compte chez eux. Mais maintenant c’est fini, il faut absolument ouvrir un compte pour pouvoir payer avec PayPal.
Mais comme c’est des truands (à base de “je bloque ton compte parce que je trouve que tu payes pas assez cher, mais je vais faire genre que c’est parce que j’ai vu passer des transactions potentiellement frauduleuses, et faire couler ta boite au passage - sans oublier de bloquer le compte de tes fournisseurs aussi, pour bien achever ton business”), c’est sans moi.
#51
‘les dessous chics
" />
ce sont des contrats résiliés
qui comme des bas résillés
ont filé’
#52
#53
Chez Gandi, c’est de 1 à 8 ans pour le .fr
#54
Comment je fais sur W10M, sans appli ?
Comment font ceux sans smartphone ou sans data ?
#55
Même pas nécessaire, on se contente de facturer le temps passé à gérer leur incompétence… et je peux t’assurer que ça leur coûte bien plus cher que le renouvellement
" />
#56
#57
il y a un equivalent a paypal, qui prend moins de frais : transferwise
pour 50 euros je paye 60c
#58
On a le même procédure chez mon ancien client. On attendait que le clientnous appelle pour nous dire “pourquoi le site ne s’affiche pas ?”, là on remarquait qu’on avait pas renouvelé le domaine, et le lendemain on disait “c’est réparé, une erreur de l’hébergeur” ou un enfumage de ce genre
" />
" /> Et forcément tous n’ont pas la même date d’expiration, donc régulièrement on avait tous les sites inacessibles…
Et la politique maison c’est de renouveler au minimum : 1 an pour les domaines, 1 mois pour les serveurs chez OVH (dév et prod)
#59
Je connais bien TransferWise, je l’utilise régulièrement depuis plusieurs années (c’est tellement plus pratique que de faire le virement auprès de la banque ! Et ça marche avec Apple Pay !). Donc complètement d’accord
" />
Mais le souci c’est que tu ne peux pas utiliser TransferWise pour effectuer un paiement en ligne. Et quand bien même ils le feraient, il faudrait que le commerçant en question accepte les paiements via TransferWise, et comme PayPal est le standard, c’est pas près d’arriver.
Par contre (petit HS) TransferWise est en train de démarrer un service de compte sans frontière (pour le moment réservé aux business, mais je ne désespère pas de voir ça arriver pour les particuliers un de ces jours), mais ça passera quand même par une carte bancaire, et donc le problème reste le même. En gros le compte existe dans un pays mais peut avoir plusieurs coordonnées dans plusieurs pays pour recevoir des paiements. Comme ils sont basés en UK, j’imagine que tout sera systématiquement converti en GBP, mais moi ça m’arrangerait bien pour payer les 2 pauvres factures que j’ai encore en France.
#60
C’est la même question que je me suis posé … 
" />
Comme si tout le monde avait le dernier smartphone avec la bonne version qui va bien …
#61
A la Société Générale, c’est au choix appli ou SMS. Ça m’étonnerait quand même que les banques puissent forcer l’utilisation d’une appli, j’aimerais bien voir une source mentionnant la fin des SMS pour 3D-Secure…
Sans compter qu’indépendamment du serveur d’Atos, il m’est arrivé que l’appli foire pour envoyer le code entré sur le mobile, et ce pendant plusieurs heures… Un SMS, ça passe à peu près partout.
#62
#63
Pas bête du tout. Je vais y penser, merci bien !
" />
#64
Le plus dur ce n’est pas le script, c’est l’adresse du destinataire. Il faut une adresse générique qui résiste aux restructurations de l’entreprise et qui redirige (dans le temps) toujours vers le bon service. D’ailleurs je ne suis même pas sûr du service à qui il faut envoyer ces informations.
#65
#66
#67
En effet ca peut être problématique.. De base, le service IT de toute manière.
Ensuite il me semble qu’il y a moyen d’avoir une adresse de contact dans le whois mais je ne suis plus sûr
#68
Ben y a que les dates qui vont changer, le reste va pas changer.
A moins que le format de sortie change mais j’y crois moyen..
Après oui, cest un petit truc en plus dans la base, autant le rajouter..
#69
Nous on était parti du principe de les envoyer vers les admins (en tant qu’exploitant c’est à eux de veiller que ça tourne, même si c’est pas forcément eux qui achètent). Problème : notre registar ne veut pas entendre parler d’une adresse générique, il veut un nom. On a bien pensé à leur répondre Paul Bismuth (et à foutre les admins derrière), mais mentir sur un nom de domaine c’est un peu gênant (surtout si tu veux acheter un certif derrière).
Après, si l’entreprise est un minimum organisée, elle arrive à suivre le renouvellement même sans mail de rappel…
#70
#71