Carte de crédit et achats en ligne en Belgique

Trois Belges sur quatre ont acheté en ligne au moins une fois en 2024 : 76 % exactement, contre 71,8 % en moyenne dans l'Union, d'après le baromètre de l'économie numérique du SPF Économie. La fraude suit le volume. En 2024, les paiements sans présentation physique de la carte, dits CNP, ont concentré près de 80 % des pertes sur cartes dans l'UE et l'EEE, soit plus d'un milliard d'euros, selon le rapport conjoint EBA-BCE.

La carte de crédit ne vous empêche pas de tomber sur un marchand malhonnête. Elle change ce que vous pouvez faire une fois le paiement parti.

Le chargeback est ce qui sépare une carte de crédit d'une carte Bancontact

Une carte Bancontact débite votre compte, et l'affaire s'arrête là. Si le colis n'arrive jamais, si le produit arrive cassé, si le marchand prélève 149 euros au lieu de 49, votre seul interlocuteur reste le marchand — et s'il ne répond pas, le juge de paix.

Avec une Visa ou une Mastercard, vous ouvrez un litige auprès de votre banque, qui va reprendre l'argent sur le compte du commerçant via le réseau, avec ou sans son accord. Le délai standard court sur 120 jours à partir de la transaction, ou de la date de livraison promise quand celle-ci est postérieure. La banque exige presque toujours une preuve de contact préalable avec le vendeur : un mail daté suffit, mais il faut l'avoir envoyé. Notre guide du chargeback détaille la procédure banque par banque.

Un point que les comparateurs ne mettent pas en avant : le chargeback n'est pas un droit légal, c'est une règle privée des réseaux de cartes. Aucun article du Code de droit économique ne vous permet de l'exiger. Si votre banque refuse d'ouvrir le dossier, vous ne l'attaquez pas devant le SPF Économie ; vous saisissez Ombudsfin, le service de médiation du secteur financier belge, dont les avis ne lient pas les banques. La protection est réelle et fragile à la fois, et je préfère le dire avant qu'après.

L'écart se creuse ailleurs aussi. L'argent débité frauduleusement sort de votre ligne de crédit, pas de votre compte courant : pendant les 30 à 90 jours que prend une procédure de remboursement, votre loyer et votre domiciliation d'énergie passent quand même. Avec une carte de débit, le trou est immédiat, et c'est vous qui gérez le découvert.

Reste la question bête de l'acceptation. Bancontact ne fonctionne qu'en Belgique et chez quelques partenaires européens via Bancontact Pay. Sur Amazon.de, Zalando ou n'importe quel marchand américain, Visa et Mastercard sont souvent les seuls moyens acceptés. Notre comparatif crédit contre débit creuse ces écarts poste par poste.

Que fait votre banque, exactement, quand elle vous demande de confirmer un paiement ?

Elle applique le 3D Secure, commercialisé sous le nom « Visa Secure » chez Visa et « Mastercard Identity Check » chez Mastercard. C'est le protocole d'authentification forte imposé par la directive PSD2 depuis 2019.

La règle tient en une phrase : la banque doit combiner deux éléments parmi trois, quelque chose que vous connaissez (un code, un mot de passe), quelque chose que vous possédez (le smartphone, la carte), quelque chose que vous êtes (une empreinte, un visage). Le plus souvent, ce sera une notification push dans l'app, un code SMS ou Face ID. Sans cette double vérification, la transaction devrait être rejetée.

La liste des exemptions est longue. Une banque peut sauter l'authentification sous 30 euros, avec un cumul plafonné à 100 euros ou cinq transactions d'affilée. Elle peut la sauter sur les abonnements à montant fixe, Netflix ou Spotify par exemple, sur les marchands que vous avez ajoutés à votre liste de confiance, sur les virements entre vos propres comptes, et sur les paiements que son moteur d'analyse de risque juge sûrs (TRA, Transaction Risk Analysis).

Il existe une exemption dont personne ne parle et qui explique la géographie de la fraude : PSD2 ne s'applique que si les deux banques, la vôtre et celle du marchand, sont établies dans l'EEE. Un site dont l'acquéreur est américain, chinois ou britannique ne déclenchera aucun 3D Secure, quelle que soit votre banque belge. C'est mécaniquement là que se concentre la fraude CNP recensée par l'EBA et la BCE, et aucune option de votre app bancaire ne peut forcer une authentification que le marchand ne demande pas.

Quand la banque saute l'authentification forte alors qu'elle y était tenue, et qu'une fraude passe, elle assume 100 % de la perte. Pas vous. C'est le pilier de PSD2 : qui décide de ne pas authentifier, paie.

Et c'est là que le raisonnement se retourne, dans le sens qui vous dessert. Une transaction que vous avez validée vous-même, dans votre app, avec votre empreinte, est pour la banque une opération autorisée. La franchise de 50 euros de l'article VII.44 ne s'applique plus, faute d'opération non autorisée au sens du texte. Le scénario dominant en 2026 ressemble à ceci : un appel, un faux conseiller qui connaît vos quatre derniers chiffres, une notification à confirmer « pour bloquer une opération suspecte », et vous authentifiez le vol de votre propre main. Aucun comparateur ne met cette ligne dans sa colonne « sécurité ».

Apple Pay et Google Pay déplacent le problème d'un cran. Au lieu d'envoyer votre numéro de carte au marchand, ces portefeuilles transmettent un jeton unique (la tokenisation), inutilisable ailleurs. Si le site se fait pirater, le jeton intercepté ne vaut rien. En Belgique, Apple Pay fonctionne avec ING, KBC, Belfius, BNP Paribas Fortis, Beobank, Argenta, Crelan, Revolut, N26 et Wise ; Google Pay couvre BNP Paribas Fortis, KBC, Belfius, ING, Crelan, Revolut, N26 et Wise. Les réglages sont dans nos guides Apple Pay et Google Pay.

Après un achat qui tourne mal, tout se joue sur des dates

Quatorze jours calendrier à compter de la réception du colis, sans motif et sans pénalité : c'est le droit de rétractation de l'article VI.47 du Code de droit économique, qui transpose la directive 2011/83/UE. Le marchand rembourse dans les 14 jours suivant votre notification, par le même moyen de paiement que celui utilisé à l'achat, et il peut retenir la somme jusqu'à réception du retour. Les frais de renvoi restent à votre charge, sauf s'il a omis de vous en informer avant la commande. Le droit vaut pour tout vendeur qui cible le marché belge, sites étrangers compris. Il tombe pour les biens personnalisés, les denrées périssables, les contenus numériques déjà téléchargés, les billets de spectacle et les réservations d'hôtel.

L'article VII.44 du même code joue sur un autre terrain, celui de l'opération non autorisée. Vous avez treize mois pour la signaler à votre banque, et votre franchise est plafonnée à 50 euros pour tout ce qui précède le blocage de la carte. Passé le blocage, vous ne devez plus rien, sauf négligence grave.

Le chargeback, lui, court sur 120 jours et couvre le litige commercial : colis jamais livré, produit non conforme, double débit, abonnement prélevé après résiliation. Gratuit pour le porteur.

Trois délais, trois bases juridiques distinctes, et ils se cumulent.

Pour un colis jamais reçu, commencez par la rétractation, qui est un droit opposable devant un juge, et gardez le chargeback pour le cas où le marchand ne rembourse pas dans les délais.

Ce que je n'ai pas, et ça me gêne : le taux d'aboutissement des demandes de chargeback, banque par banque, en Belgique. Aucun émetteur ne le publie, la Banque nationale ne l'agrège pas dans ses statistiques de paiement, Test-Achats n'en tient pas de série longue. Je peux vous dire que la procédure est gratuite et encadrée par les règles de réseau. Je ne peux pas vous dire combien de dossiers aboutissent chez BNP Paribas Fortis plutôt que chez Belfius, et quiconque avance ce chiffre l'a inventé.

Quelle carte sortir selon le site où vous payez ?

Le choix se fait par contexte d'achat, et le même portefeuille peut contenir deux réponses.

Site inconnu, achat ponctuel : Revolut. L'app autorise jusqu'à 20 cartes virtuelles actives et une carte jetable dont le numéro se renouvelle après chaque transaction. Gratuit sur le plan Standard. Notre guide des cartes virtuelles compare les émetteurs disponibles en Belgique.

Achat hors zone euro : Wise ou Revolut. Les deux appliquent le taux interbancaire réel. Une carte de banque belge classique ajoute 1,5 à 2 % de frais de conversion. Sur 500 euros dépensés chez un marchand américain, l'écart est de 7 à 10 euros.

Dépense en ligne récurrente : Beobank Extra Mastercard. 1 % de cashback sur tous les achats, le taux le plus haut que j'aie relevé chez un émetteur belge traditionnel dans les conditions tarifaires en vigueur au 1er août 2026.

Support en français et agence physique : ING, KBC ou Belfius. Le 3D Secure et le chargeback fonctionnent exactement de la même manière quel que soit l'émetteur ; ce qui change, c'est qui décroche quand le dossier coince.

Mon arbitrage personnel, et il ne fait pas l'unanimité : au-dessus de 200 euros chez un marchand que je ne connais pas, je paie avec la carte de crédit de ma banque belge plutôt qu'avec une jetable Revolut. La jetable protège un numéro de carte. Le litige, lui, se règle avec un humain, et quand il traîne trois mois, une agence qui décroche à Bruxelles pèse plus lourd qu'un chat dont le premier niveau est automatisé. Pour 30 euros sur une marketplace chinoise, je fais l'inverse.

Reste la conversion de devise, qui coûte souvent plus cher que tout le reste réuni. Quand un site étranger détecte une carte belge, il propose de facturer en euros plutôt que dans sa devise. Le taux affiché intègre une marge de 3 à 5 %, parfois davantage, et c'est le marchand ou son prestataire qui l'encaisse. Refusez systématiquement : votre banque appliquera son propre taux, presque toujours meilleur. Amazon.de et Booking.com proposent cette option par défaut.

Les frais de conversion de votre propre banque s'ajoutent ensuite, sur tout achat hors euro. Comptez 1,5 à 2 % chez ING, KBC et Belfius, environ 1,6 % chez BNP Paribas Fortis. Revolut sur le plan Standard convertit gratuitement en semaine au taux interbancaire et majore de 1 % le week-end ; Wise part de 0,33 %, affichés avant validation. Notre guide des frais cachés reprend la grille complète.

Dernier poste, et il est souvent ignoré. Depuis la loi du 19 juillet 2018, l'article VII.30 du Code de droit économique interdit à un commerçant établi en Belgique de facturer un supplément pour un paiement par carte de consommateur Visa ou Mastercard. Des « frais de transaction carte » sur un site belge ou européen sont illégaux et se signalent au Point de contact du SPF Économie. Hors EEE, l'interdiction ne joue pas, et certains marchands en profitent.

Le réflexe que tout le monde répète et qui ne trie plus rien

Vérifiez le cadenas HTTPS. C'est le conseil qu'on lit sur chaque page de prévention, et il ne sépare plus les bons sites des mauvais. Un certificat SSL est gratuit depuis Let's Encrypt et s'obtient en trois minutes ; les sites d'arnaque en ont un, évidemment. Le cadenas garantit que votre numéro voyage chiffré, il ne dit rien de l'honnêteté du marchand.

Ce qui trie, c'est le numéro d'entreprise. Un marchand qui vend en Belgique doit afficher une adresse physique et un numéro d'entreprise dans ses conditions générales. Vérifiez-le sur la Banque-Carrefour des Entreprises, kbo-bce.fgov.be. Un numéro absent, ou qui renvoie à une société radiée, règle la question en trente secondes. Le label BeCommerce, devenu Safeshops.be, ajoute un code de conduite contrôlé, mais il ne couvre qu'une partie des marchands belges et son absence ne prouve rien.

Activez les notifications de transaction dans votre app bancaire. Elles servent surtout à repérer les petits débits de test : un fraudeur passe souvent 1 ou 2 euros pour valider un numéro avant de frapper à trois chiffres. Si un paiement inconnu apparaît, bloquez la carte dans l'app, puis appelez Card Stop au 078 170 170. Notre guide sur la fraude reprend la procédure complète, du blocage au dépôt de plainte.

Aucun marchand, aucune banque, aucun réseau ne vous demandera votre code PIN pour un achat en ligne. Un formulaire qui le réclame est une arnaque, sans exception, et le 3D Secure ne passe jamais par le site du commerçant.

Pour le reste, transférez les messages douteux à suspect@safeonweb.be. Le Centre pour la cybersécurité Belgique en a traité 9 929 354 en 2025 et identifié 176 183 URL malveillantes, d'après ses chiffres clés 2025. Le service publie aussi les campagnes de phishing en cours ; c'est la seule source belge gratuite et tenue à jour sur le sujet.

Card Stop répond 24 heures sur 24 au 078 170 170. Notez le numéro ailleurs que dans le téléphone que vous perdrez en même temps que la carte.