Cryptogramme bancaire : rôle, sécurité et fraude

Vérifié le 26 août 2026 · Références : PCI Security Standards Council, Banque de France, Service-Public.fr et réglementation européenne sur l’authentification forte.

Le cryptogramme bancaire est le code de sécurité à trois ou quatre chiffres imprimé sur une carte. Il sert surtout aux paiements à distance. Il aide le commerçant à vérifier que le payeur connaît une donnée présente sur la carte, mais il ne prouve pas à lui seul que la personne détient physiquement la carte ni qu’elle en est le titulaire légitime.

Où trouver le cryptogramme bancaire ?

Réseau ou support	Nom fréquent	Emplacement habituel
Visa	CVV2	Trois chiffres au dos, près de la signature
Mastercard	CVC2	Trois chiffres au dos
American Express	CID	Quatre chiffres au recto
Carte virtuelle	CVV/CVC virtuel	Dans l’application ou l’espace client sécurisé
Carte à cryptogramme dynamique	CVV/CVC dynamique	Petit écran au dos ; code renouvelé périodiquement

Le nombre imprimé dans la bande de signature peut comporter plus de trois chiffres : le cryptogramme correspond normalement aux trois derniers. Ne le confondez pas avec le code PIN à quatre chiffres utilisé au terminal ou au distributeur.

Les noms varient selon le réseau. Pour les différences de garanties et d’acceptation, consultez notre comparaison Visa ou Mastercard.

À quoi sert réellement le CVV ou CVC ?

Lors d’un paiement à distance, le commerçant ne peut pas lire la puce et vous ne saisissez pas le PIN. Le cryptogramme ajoute une donnée d’authentification à celles de la carte : numéro, nom et date d’expiration. Il réduit certaines utilisations frauduleuses d’un numéro isolé, mais ses limites sont importantes :

• il peut être photographié ou volé avec le reste des données ;
• il n’est pas secret au sens d’un mot de passe choisi par l’utilisateur ;
• certains flux autorisés ne le demandent pas ;
• il ne remplace pas l’analyse de risque de la banque ;
• il ne constitue pas l’authentification forte à deux facteurs.

Le PCI Security Standards Council décrit le cryptogramme comme une donnée d’authentification sensible utilisée pour les transactions sans présentation de la carte. Il aide à établir que le payeur a accès à une donnée figurant sur la carte ; parler de « preuve de possession physique » serait trop catégorique.

Un commerçant peut-il demander le cryptogramme ?

Oui, avant l’autorisation d’un achat précis. Un site de commerce électronique, un hôtel ou un service de vente par téléphone peut légitimement le demander pour lancer un paiement à distance. La question pertinente n’est donc pas « quelqu’un demande-t-il mon CVV ? », mais :

• ai-je moi-même initié l’achat ou l’appel ?
• l’identité du marchand et le montant sont-ils clairs ?
• suis-je sur le bon site ou le bon numéro officiel ?
• la demande intervient-elle dans le tunnel normal de paiement ?
• le montant affiché dans 3-D Secure correspond-il exactement ?

Le commerçant peut-il le conserver ?

Non après autorisation. La norme PCI DSS interdit de conserver CVV, CVC, CID ou équivalent une fois l’opération autorisée, même si la donnée est chiffrée et même si le client donne son accord. Cette interdiction protège les paiements futurs en cas de fuite de la base du marchand.

Un marchand peut pourtant proposer d’enregistrer la carte pour vos prochains achats. Il conserve alors, sous des règles strictes, un jeton ou certaines données de carte autorisées — pas le cryptogramme. Les paiements récurrents s’appuient sur le mandat initial et des mécanismes « card-on-file » ; le fait que le CVV ne soit plus redemandé ne prouve pas qu’il a été stocké.

Quand faut-il refuser de communiquer le cryptogramme ?

Situation	Décision	Pourquoi
Paiement sur le site officiel que vous avez ouvert	Possible	Demande normale avant l’autorisation
Commande téléphonique initiée auprès d’un marchand identifié	Possible avec prudence	Le paiement à distance par téléphone peut nécessiter le code
Appel entrant d’un « conseiller » ou du « service fraude »	Refus absolu	La banque n’en a pas besoin pour bloquer une carte ou annuler une opération
Lien reçu par SMS pour payer une livraison	Refus et vérification	Scénario fréquent de phishing
Demande de code 3-D Secure en plus du cryptogramme par téléphone	Refus absolu	Vous seriez en train d’autoriser l’opération du fraudeur
Formulaire ou photo envoyé par messagerie	À éviter	La donnée resterait dans la conversation ou le stockage cloud

Cryptogramme, code PIN et 3-D Secure : ne les confondez pas

Donnée	Fonction	Règle de sécurité
Cryptogramme CVV/CVC	Paiement à distance	Peut être saisi chez un marchand légitime ; jamais conservé après autorisation
PIN	Paiement en présence et retrait	Ne se communique à personne, y compris à la banque
Code ou validation 3-D Secure	Authentification forte d’une opération	Validez uniquement votre propre achat après contrôle du montant et du bénéficiaire
Mot de passe bancaire	Accès au compte	Jamais dicté ni saisi depuis un lien reçu

L’authentification forte combine au moins deux catégories indépendantes : une connaissance, une possession ou une caractéristique personnelle. La Banque de France et la BCE ont constaté qu’elle réduit nettement la fraude, sans l’éliminer. La fraude se déplace notamment vers la manipulation du client.

Le cryptogramme dynamique est-il plus sûr ?

Une carte à cryptogramme dynamique remplace le code fixe par un écran qui génère périodiquement un nouveau nombre. Une photo ou une fuite ancienne devient rapidement inutilisable. C’est une protection pertinente contre le vol statique de données.

Elle ne bloque toutefois pas une fraude en temps réel : si vous communiquez le code affiché et validez immédiatement l’achat, le fraudeur peut l’utiliser avant son renouvellement. Elle peut aussi nécessiter un remplacement spécifique si l’écran ou la batterie cesse de fonctionner.

Carte virtuelle ou cryptogramme dynamique : que choisir ?

Critère	Carte virtuelle	Cryptogramme dynamique
Numéro principal exposé	Non, si numéro distinct	Oui, mais CVV changeant
Achat en ligne ponctuel	Très adaptée	Adaptée
Abonnement	Numéro durable nécessaire	Généralement compatible via paiement récurrent autorisé
Paiement physique	Seulement si wallet compatible	Carte physique utilisable
Risque de phishing en temps réel	Protection limitée	Protection limitée

Pour les achats en ligne, une carte bancaire virtuelle paramétrable offre souvent le cloisonnement le plus fin. Le bon choix dépend néanmoins de votre banque, du coût et de vos usages.

Que faire si quelqu’un connaît votre cryptogramme ?

1. Verrouillez temporairement la carte depuis l’application si la fonction existe.
2. Contactez la banque par un canal officiel et expliquez précisément ce qui a été communiqué.
3. Demandez le remplacement si le numéro complet, la date et le cryptogramme sont compromis.
4. Contrôlez les opérations et notifications pendant plusieurs semaines.
5. Contestez immédiatement tout paiement que vous n’avez pas autorisé.

Masquer le code avec une pastille peut limiter une photo opportuniste, mais n’efface pas une fuite déjà survenue. Ne modifiez pas la carte au point d’empêcher sa lecture ou de violer les conditions de l’émetteur.

Fraude : opposition, contestation et remboursement

En cas de paiement suspect, faites opposition ou verrouillez la carte sans délai, puis contestez auprès de la banque. Service-Public.fr recommande aussi de signaler la fraude aux forces de l’ordre et propose Perceval pour les fraudes à la carte répondant aux conditions du téléservice.

Le délai maximal de contestation est en principe de 13 mois, mais il ne faut jamais l’interpréter comme un délai d’attente. Pour un paiement à distance sans utilisation du code secret, le remboursement est normalement intégral, sauf fraude du client ou négligence grave démontrée par la banque. Une authentification forte enregistrée ne suffit pas automatiquement à établir la fraude ou la négligence : les circonstances doivent être examinées.

La campagne publique de prévention de juin 2025 rappelle qu’un conseiller ne demande jamais vos codes, mots de passe ou identifiants, et ne vous fait pas valider une opération pour en bloquer une autre.

Les erreurs les plus fréquentes

• « Le CVV prouve que j’ai la carte » : non, il prouve seulement l’accès à une donnée censée figurer sur la carte.
• « Aucun professionnel ne peut le demander » : faux ; un marchand peut le collecter pour autoriser un paiement à distance précis.
• « Le marchand enregistre mon CVV pour l’abonnement » : il ne doit pas le stocker après autorisation ; les échéances utilisent d’autres mécanismes.
• « 3-D Secure rend la fraude impossible » : non ; le phishing et la manipulation ciblent précisément la validation.
• « Si le paiement est validé, je n’ai aucun recours » : faux ; la banque doit analyser la contestation selon le droit applicable et les faits.

Notre avis

Le cryptogramme fixe reste utile, mais sa protection est modeste face à une fuite complète de carte. Le meilleur niveau pratique combine plusieurs couches : numéro virtuel pour les achats ponctuels, authentification forte, notifications immédiates, plafonds adaptés et vigilance face aux sollicitations.

Si vous changez de banque pour obtenir ces fonctions, comparez l’ensemble du compte. Nos dossiers BoursoBank, Fortuneo et Revolut détaillent les avantages et limites au-delà du seul paiement en ligne.

Sources principales

• PCI SSC — interdiction de stocker le code de vérification après autorisation.
• PCI SSC — collecte légitime du cryptogramme avant une transaction.
• Banque de France/BCE — fraude aux paiements et efficacité de l’authentification forte, décembre 2025.
• Banque de France — note statistique de fraude publiée le 27 janvier 2026.

Cet article fournit une information générale et ne remplace pas l’analyse de votre banque, d’un médiateur ou d’un professionnel du droit pour un litige particulier.

Questions fréquentes