Parfois la sécurité informatique telle qu’elle est mise en oeuvre par les commerçants en ligne me fait rigoler… jaune.

Hier soir j’ai réalisé une commande de Noël payée par carte bancaire sur www.rueducommerce.com.

Ce matin je reçois de leur part un courrier électronique dont voici un extrait :

Nous vous demandons de nous adresser, afin de valider votre commande, une copie recto verso de la carte bancaire ayant servi au règlement de votre commande en prenant soin de ne laisser apparaître que les 4 premiers et 2 derniers chiffres du numéro sur l’avant et en masquant le cryptogramme sur l’arrière de la carte (ce qui garantit la sécurité totale de votre envoi et empêche toute utilisation de la carte). Nous vous remercions d’accompagner ce document d’une copie de votre pièce d’identité.

Je passe sur les entêtes MIME incomplets du courrier en question qui bousillent la visibilité correcte des accents, et sur le laïus habituel « c’est pour votre sécurité ».

J’ai l’impression que rueducommerce.com se bidouille elle-même sa propre procédure de sécurité avec un résultat imparfait : je n’ai jamais vu ça ailleurs. En somme, rueducommerce.com me demande de compromettre ma propre sécurité au bénéfice de la sienne. Ce n’est pas explicité dans les conditions générales de vente, qui parlent uniquement de justificatif de domicile et d’identité et se gargarisent de l’utilisation de SSL pour protéger la transaction ; ce n’est pas non plus cité dans les engagements de la société. Je trouve ce procédé limite en ce qui concerne la franchise préalable à l’égard du client potentiel. Et alors que ma banque prévoit une vraie procédure de sécurité renforcée avec mot de passe à utilisation unique pour protéger les transactions carte bancaire via leur site web, celle-ci n’a pas été utilisée par rueducommerce.com. D’autres banques proposent des procédures similaires (vérification de la date de naissance du porteur, etc).

D’ailleurs, petit jeu : qui voit où est le problème de sécurité si on applique à la lettre les instructions ci-dessus ? C’est tout bête.

Apparemment cette procédure n’est pas nouvelle et je ne suis pas le seul à la trouver pénible.

Extraits de la réponse du modérateur de leur forum :

La vérification d’identité est pratiquée par tous les grands sites internet dans le monde, pour lutter contre la fraude à la carte bancaire

Faux : amazon, un des plus gros sites de vente, ne le fait pas.

Si notre service vous demande des pièces et que l’adresse est de RueDuCommerce, alors la demande est valable.

Faux : si on pouvait compter sur l’adresse d’origine indiquée dans les mails, ça se saurait… rueducommerce.com ne semble pas connaître le phishing.

Je n’ai rien contre les mesures de sécurité, mais encore faut-il qu’elles ne soient pas à moitié stupides… J’espère au moins que cette procédure surprise qui a déjà fait perdre une journée à ma commande ne me fera pas louper la livraison avant Noël. Si vous faites des commandes de dernière minute sur leur site, méfiez-vous !

Mise à jour 5 juin 2014

Laurent Penou me signale sur twitter que la recommandation suivante a été adoptée en novembre 2013, J.O. du 6 décembre 2013 :

La commission considère également que le responsable de traitement, ou son prestataire, ne peut demander la transmission de la photocopie ou de la copie numérique du recto et/ou du verso de la carte de paiement même si le cryptogramme visuel et une partie des numéros sont masqués. En effet, la transmission de ce document n’est pas compatible avec les obligations de sécurité et les conditions d’utilisation que doit respecter le titulaire de la carte de paiement conformément à l’article L. 133-16 du code monétaire et financier.

Mise à jour 6 juin 2014

@bituur_esztreym sur twitter me signale cette délibération n°2013-045 du 28 février 2013 qui demande explicitement l’arrêt du système par courriel :

Par ailleurs, la société RdC reçoit les pièces justificatives susmentionnées par courriel.
Or, l’article 34 de la loi du 6 janvier 1978 modifiée dispose que « le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès ».
Conformément à ces dispositions, la société RdC s’est engagée à assurer une transmission sécurisée des pièces justificatives en mettant à la disposition de ses clients, sur la page de leur compte individuel en ligne, un formulaire spécifique permettant le téléchargement de ces pièces.