Paiement 3D Secure bloqué : pourquoi la carte est refusée

Quand un achat en ligne est refusé alors que le compte est approvisionné, le solde n'est généralement pas en cause : la décision se prend dans la confirmation 3D Secure, dans les réglages de la carte, dans son plafond ou dans un blocage de sécurité de la banque. Tous ces points se contrôlent depuis l'application de l'émetteur.

Aucune banque belge ne publie la liste de ses motifs de refus. Celle qui suit est reconstituée à partir de ce qui existe : un règlement européen, des conditions générales, des pages d'aide relues le 6 octobre 2026.

Le compte est approvisionné, alors pourquoi la banque dit-elle non ?

Parce qu'une carte de crédit ne puise pas dans le compte au moment de l'achat. Elle puise dans une limite d'utilisation que Wikifin définit comme le montant maximal que l'on peut dépenser par mois, avec des valeurs courantes de 1.250 à 2.500 euros. Le compte courant n'est débité que plus tard, à la date de prélèvement du relevé.

À chaque demande d'autorisation, la banque répond oui ou non. Quatre choses peuvent la pousser vers le non : la confirmation n'a pas abouti, la carte n'a pas le droit de payer sur internet, la limite est atteinte, ou la banque juge l'opération risquée. Le règlement de la carte ING, version du 21 mai 2026, lui donne ce dernier droit : un blocage est possible « pour des raisons objectives liées à la sécurité » (article 11.1). La liste de ces raisons n'y figure pas.

Le reste du dispositif de protection est réuni dans notre pilier sur la sécurité de la carte de crédit.

Une confirmation 3D Secure vaut pour un montant et un bénéficiaire précis

Le règlement délégué (UE) 2018/389 est applicable depuis le 14 septembre 2019, comme le rappelle la Banque nationale de Belgique. Il impose deux éléments parmi trois : ce que l'on sait, ce que l'on possède, ce que l'on est. KBC traduit cela par le code PIN, le lecteur de carte ou le smartphone, l'empreinte digitale. Le 16 septembre 2019, Test-Achats écrivait que les trois chiffres au dos de la carte ne suffiraient plus.

L'article 5 du règlement ajoute un détail qui piège : la confirmation doit être liée de façon dynamique à un montant et à un bénéficiaire. L'accord donné dans l'application vaut donc pour cette somme, chez ce marchand. Si le panier change entre deux écrans, parce que des frais de livraison s'ajoutent, je lis le texte comme exigeant une nouvelle confirmation. C'est ma lecture, aucune page d'émetteur belge ne la décrit.

Côté porteur, les échecs tiennent à une notification qui n'arrive pas, à un smartphone remplacé sans réenregistrer l'application, à un numéro resté à l'ancien. Ce sont les causes que le dispositif rend possibles ; aucun émetteur n'en publie la liste, ni la durée de validité d'une confirmation. Le fonctionnement général du 3D Secure est expliqué dans notre guide des achats en ligne par carte de crédit, que cette page ne refait pas.

Pourquoi 25 euros passent sans confirmation et pas l'achat suivant ?

Parce que la confirmation n'est pas toujours exigée, et que c'est le prestataire de paiement qui tranche. Le même règlement prévoit des dérogations, résumées ci-dessous d'après le texte relu sur EUR-Lex.

Les deux articles disent que la banque est « autorisée » à ne pas demander la confirmation. Le verbe ne lui impose rien.

Une lecture littérale de l'article 16 donne ceci. Trois achats de 30 euros, puis un de 25 euros, passent sans confirmation : avant le quatrième, les opérations précédentes cumulent 90 euros. Avant le cinquième, elles en cumulent 115, et la confirmation redevient exigible si la banque compte en euros. Si elle compte en opérations, le texte autorise six achats consécutifs avant de la réclamer au septième. Chaque émetteur règle son compteur. Je n'en ai trouvé aucun qui publie le sien.

Je tiens ce mécanisme pour illisible côté porteur. À 28 euros le lundi, la carte passe. À 28 euros le mardi, elle réclame une confirmation, et à ma connaissance aucun écran ne dit lequel des compteurs a sauté.

Où se trouve le réglage « paiements sur internet » ?

Dans KBC Mobile, la page des paramètres de carte indique le chemin : Payer, puis Moyens de paiement, puis la carte, où l'option « Payer sur internet » s'active ou se désactive (page relue le 6 octobre 2026). Chez ING, l'article 4.4 du règlement du 21 mai 2026 prévoit la même option : « Vous pouvez activer ou désactiver l'option d'effectuer des paiements sur l'internet. » Le blocage temporaire de la carte se fait aussi dans l'application (article 4.7).

Une carte dont l'option est éteinte refuse au moment de payer, quelle que soit la confirmation donnée. Sur la carte que je garde en poche pour les magasins, l'option reste éteinte, et je ne l'allume que pour un achat précis. Un numéro volé sur un site ne sert alors à rien.

Pour les autres émetteurs, mes relevés sont plus minces. Belfius : la page « Pourquoi ma carte de crédit ne fonctionne pas ? » est restée vide hors son en-tête, aux deux essais du 6 octobre 2026. Sa page des moyens de paiement cite itsme pour les paiements plus élevés, sans date visible. BNP Paribas Fortis : une page datée du 16 février 2022 écrit qu'un lecteur de carte est nécessaire pour un achat Visa ou Mastercard dans l'Espace économique européen. Je ne peux pas dire si elle décrit encore la pratique.

Le plafond bloque sans prévenir, surtout après une réservation

Un achat qui dépasse la limite disponible est refusé, même si la confirmation est parfaite. Et la limite disponible n'est pas la limite affichée : selon Wikifin, dans sa page mise à jour le 14 juillet 2026, une réservation d'hôtel ou de voiture est déduite temporairement de la limite. Chez Hello bank!, notre page sur les délais de la carte de crédit établit que la limite ne se reconstitue qu'à l'enregistrement du paiement.

Pour la relever, KBC permet une hausse temporaire de la limite d'une carte de crédit deux fois par an, pendant 30 jours au maximum, et une modification permanente depuis KBC Mobile. ING autorise l'adaptation des limites deux fois par an au plus (articles 5.1 et 5.2 du règlement). Le dépassement qui passe quand même est traité dans notre page sur la limite de la carte de crédit.

Dans quel ordre vérifier quand le paiement échoue ?

1. Ouvrir l'application de la banque avant de retenter : une demande de confirmation peut y attendre, et la valider évite un second essai.
2. Comparer le marchand et le montant affichés dans l'application avec le panier. Un écart, et rien ne se confirme.
3. Regarder l'option « paiements sur internet » de la carte utilisée.
4. Regarder la limite disponible, réservations en cours comprises.
5. Refaire un essai, un seul, depuis le panier.
6. Appeler la banque. Card Stop (078 170 170) ne sert qu'en cas de fraude constatée.

Le tableau lit les symptômes à travers les textes cités ; aucun émetteur n'en publie un équivalent.

Un SMS vous demande de confirmer un paiement : vient-il de la banque ?

Avant de valider quoi que ce soit, ces points suffisent :

• le marchand affiché dans l'application est celui où vous êtes en train de payer ;
• le montant est celui du panier, au centime près ;
• vous avez lancé l'achat il y a moins d'une minute ;
• vous êtes arrivé dans l'application par vous-même, sans passer par un lien reçu.

Une demande qui apparaît sans achat de votre part se refuse, et la carte se bloque dans l'application. Une confirmation donnée de votre main fait de l'opération une opération autorisée, ce qui change la protection, comme l'explique notre guide sur la fraude à la carte de crédit. Les messages douteux se transmettent à suspect@safeonweb.be, l'adresse que donne le Centre pour la cybersécurité Belgique.

Aucune banque belge ne publie la liste de ses motifs de refus

La page de blog d'itsme consultée le 6 octobre 2026 cite encore bpost bank parmi les banques où l'on confirme un paiement par carte, alors que cet établissement a été intégré à BNP Paribas Fortis le 22 janvier 2024, et elle annonce Argenta comme prochaine arrivée. Je ne m'en sers donc pas pour dire quelle banque confirme avec itsme.

Mon relevé tient en trois lignes : un contrat, une page vide chez Belfius, une page de 2022 chez BNP Paribas Fortis. Au 6 octobre 2026, la seule formule que j'aie trouvée dans un contrat belge est celle d'ING, qui autorise le blocage « pour des raisons objectives liées à la sécurité » sans en dresser la liste.