La norme EMV : ce que la puce de votre carte fait vraiment

EMV signifie Europay, Mastercard, Visa — les trois organismes qui ont publié la première spécification de carte à puce de paiement, en 1996. C'est aujourd'hui le standard mondial qui régit le dialogue entre une carte et un terminal.

Une invention française, devenue norme mondiale

La puce n'est pas née avec EMV. Le brevet de la « carte à mémoire » est déposé le 25 mars 1974 par le Français Roland Moreno. La France généralise la carte bancaire à puce dès 1992, précisément pour couper court à la fraude par copie de piste magnétique, alors très répandue.

EMV a ensuite fait de cette approche un standard international. En France, la bascule complète du parc de cartes et de terminaux de paiement vers EMV s'achève fin 2006.

Qui tient la norme aujourd'hui

EMVCo, créé en 1999, administre les spécifications. Ses membres sont aujourd'hui American Express, Discover, JCB, Mastercard, UnionPay et Visa — JCB ayant rejoint l'organisation en 2004, les autres réseaux ensuite. Aucun d'eux ne peut imposer seul une évolution : c'est ce qui garantit qu'une carte émise n'importe où fonctionne sur n'importe quel terminal.

Ce que la puce apporte concrètement

Une piste magnétique est un support passif : elle contient des données statiques, copiables avec un lecteur à quelques dizaines d'euros. Une puce est un microprocesseur actif. À chaque transaction :

1. la carte et le terminal s'authentifient mutuellement ;
2. la carte calcule un cryptogramme unique, valable pour cette transaction et cette seule ;
3. le code PIN est vérifié par la puce elle-même, sans jamais circuler en clair.

Conséquence : copier une puce ne sert à rien. Le cryptogramme intercepté est inutilisable une seconde fois. C'est l'unique raison pour laquelle la fraude de contrefaçon a quasiment disparu des paiements de proximité en Europe.

Les extensions modernes de la norme

EMV n'est pas resté figé sur la puce à contact. La même famille de spécifications couvre désormais :

• le sans contact (EMV Contactless), avec son plafond par opération et sa demande de code au-delà d'un cumul ;
• EMV 3-D Secure (3DS2), le protocole d'authentification des paiements en ligne, support technique de l'authentification forte imposée par la DSP2 ;
• la tokenisation : le numéro de carte est remplacé par un jeton propre à l'appareil, mécanisme sur lequel reposent Apple Pay, Google Pay et les cartes virtuelles.

Et les cartes prépayées ?

Elles reposent exactement sur la même norme et le même niveau de sécurité matériel. Leur particularité tient à l'autorisation : une carte prépayée est généralement à autorisation systématique, c'est-à-dire que chaque opération interroge le solde disponible avant d'être acceptée. C'est ce qui rend le découvert impossible — et ce qui explique qu'elle soit refusée par certains automates (péages, stations-service, loueurs de voitures).

Pour comprendre la sécurité côté paiement en ligne, voyez notre article sur le 3-D Secure, et notre comparatif des cartes prépayées pour choisir une offre.

Sources : EMVCo (historique, création en 1999, composition actuelle) ; INPI / Roland Moreno, brevet du 25 mars 1974 ; presse économique française sur la généralisation de la puce en 1992 et l'achèvement de la migration EMV fin 2006 ; spécifications EMV Contactless, EMV 3-D Secure et EMVCo Payment Tokenisation.