Cryptogramme
à quoi sert le code de votre carte bancaire
Imprimé et jamais gravé, réclamé à chaque paiement à distance, interdit à la conservation : un dispositif conçu pour prouver une seule chose.
Le cryptogramme visuel est le code imprimé sur une carte bancaire — trois chiffres au verso sur Visa et Mastercard, quatre au recto sur American Express — réclamé lors d’un paiement à distance. Sa seule mission est de prouver que le payeur a la carte sous les yeux. Il est calculé par la banque émettrice en chiffrant les données de la carte avec une clé qu’elle seule détient, et il ne doit pas être conservé après la transaction.
- Trois ou quatre chiffres : au verso sur Visa et Mastercard, au recto sur American Express.
- Imprimé, jamais embossé : il n’apparaît donc sur aucune empreinte de carte.
- Calculé, pas tiré au sort : chiffré par l’émetteur avec une clé que lui seul détient, donc indéductible du numéro.
- Interdit à la conservation : un commerçant peut garder le numéro et la date, pas le cryptogramme.
- Plus la dernière barrière : depuis 2021, l’authentification forte s’ajoute à lui sur la plupart des paiements en ligne.
Le cryptogramme, un code qui prouve une seule chose
Un paiement en ligne demande le numéro de la carte, sa date d’expiration, puis trois chiffres supplémentaires. Cette dernière demande paraît redondante : si le numéro a déjà été saisi, à quoi bon un code de plus ?
La réponse tient à une différence de nature entre les deux données. Le numéro de carte circule, et il est fait pour ça : il figure sur des factures, dans des historiques d’achat, dans les fichiers des commerçants chez qui on a déjà payé. Le cryptogramme, à l’inverse, n’est pas un identifiant mais une preuve — celle que la personne qui paie a, ou a eu, la carte physiquement sous les yeux au moment de la transaction.
C’est ce qu’on appelle le cryptogramme visuel, et il porte plusieurs noms selon le réseau qui a émis la carte : CVV pour card verification value, CVC pour card verification code, CSC pour card security code, CID pour card identification number chez American Express. Quatre sigles, un seul dispositif. Il n’est réclamé que pour les paiements à distance — internet, téléphone, correspondance — jamais lors d’un paiement en magasin, où la puce et le code confidentiel remplissent ce rôle.
Où le trouver, et combien de chiffres
La réponse dépend du réseau qui a émis la carte, et de lui seul : elle ne dépend ni de la banque, ni de la gamme, ni du pays.
| Réseau | Chiffres | Emplacement sur la carte |
|---|---|---|
| Visa | 3 | Au verso, juste au-dessus de la bande blanche de signature |
| Mastercard | 3 | Au verso, juste au-dessus de la bande blanche de signature |
| American Express | 4 | Au recto, au-dessus du numéro, dans la partie haute à droite |
Le numéro de carte est traditionnellement embossé, c’est-à-dire gravé en relief. Le cryptogramme, lui, est simplement imprimé à plat. Ce n’est pas un choix esthétique : un numéro en relief laisse une trace sur une empreinte carbone ou sur tout dispositif qui prend l’empreinte de la carte, alors qu’un code imprimé n’y apparaît jamais. Le cryptogramme a été conçu dès l’origine pour rester invisible à tout ce qui n’est pas un œil humain regardant la carte.
Les cartes récentes brouillent un peu ces repères. Plusieurs émetteurs regroupent désormais numéro, date et cryptogramme au verso, sur un support entièrement lisse, sans aucun caractère en relief. Le principe demeure : le cryptogramme reste imprimé, et jamais gravé.
Pourquoi ce code n’est pas devinable
Le cryptogramme n’est ni tiré au sort, ni choisi par le porteur, ni stocké quelque part comme un mot de passe. Il est calculé.
La banque émettrice prend les données de la carte — le numéro, la date d’expiration, un code de service — et les chiffre avec une clé cryptographique qu’elle seule détient. Le résultat, converti en chiffres décimaux, donne le cryptogramme. Le mot n’est donc pas une métaphore : ce code est littéralement le produit d’un chiffrement.
L’émetteur peut refaire le calcul à tout moment, donc vérifier un code sans avoir besoin de le stocker nulle part. Et personne d’autre ne peut le produire : connaître le numéro de carte ne sert à rien sans la clé, aucune règle arithmétique ne reliant l’un à l’autre. Sans cette clé, le seul recours reste l’essai — sur un espace de possibilités très réduit, ce qui explique que les tentatives répétées soient surveillées du côté de l’émetteur.
Ce qu’un commerçant n’a pas le droit de conserver
Le numéro de carte et la date d’expiration peuvent être conservés par un commerçant dans certaines conditions, ce qui permet les abonnements et les achats en un clic. Le cryptogramme, lui, doit être écarté dès la transaction réalisée : les réseaux de cartes imposent cette exigence de sécurité à tous les acteurs de la chaîne de paiement, du site marchand au prestataire technique.
Le raisonnement est direct. Si un commerçant pouvait garder le cryptogramme, il détiendrait l’ensemble des données nécessaires à un paiement à distance et pourrait en initier un sans le porteur — de même que n’importe qui accéderait à ses fichiers en cas de fuite. En interdisant sa conservation, on fait du cryptogramme la seule donnée que le porteur doit fournir à nouveau à chaque fois.
Un site marchand légitime qui permet d’enregistrer une carte redemande le cryptogramme lors des paiements suivants, ou passe par un dispositif d’authentification. Un service qui affirme l’avoir mémorisé et ne plus en avoir besoin décrit une pratique qui n’a pas lieu d’être — et le signaler à sa banque est le bon réflexe.
Depuis l’authentification forte, le cryptogramme ne suffit plus
Le cryptogramme a longtemps été la dernière barrière d’un paiement en ligne. Ce n’est plus le cas.
Le protocole 3-D Secure, dans la version renforcée par la deuxième directive européenne sur les services de paiement, impose depuis 2021 une authentification forte pour la plupart des paiements en ligne. Concrètement : après la saisie du numéro et du cryptogramme, une validation supplémentaire est demandée dans l’application bancaire, par biométrie ou par un code à usage unique.
Le cryptogramme prouve la détention de la carte : quelqu’un l’a eue sous les yeux. L’authentification forte prouve l’identité du payeur : cette personne est bien le titulaire, et elle valide en direct. Deux fonctions différentes, et c’est la seconde qui a fait reculer la fraude au paiement à distance, parce qu’elle exige un élément que le vol de données ne procure pas.
Il arrive cependant qu’un paiement passe sans validation dans l’application, et ce n’est pas nécessairement anormal : la réglementation prévoit des cas d’exemption, notamment les paiements de faible montant, les marchands que le porteur a lui-même enregistrés comme bénéficiaires de confiance, et certaines opérations récurrentes. Les seuils applicables sont fixés par la réglementation et évoluent — ils se vérifient auprès de sa banque plutôt que dans un article. Dans ces situations, le cryptogramme retrouve son rôle de filtre : il continue d’écarter les tentatives menées avec un numéro seul.
Le cryptogramme dynamique
ce qu’il change, ce qu’il ne change pas
Certaines cartes remplacent le code imprimé par un petit écran à encre électronique, alimenté par une pile intégrée, dont le code change à intervalles réguliers — de l’ordre de vingt minutes.
Ce que ce dispositif neutralise est réel. En cas de fuite de données chez un commerçant, ou de capture par un logiciel malveillant, le cryptogramme collecté est périmé avant même de pouvoir être exploité. Les lots de données de cartes qui circulent perdent l’essentiel de leur valeur pour un paiement à distance.
Face à l’hameçonnage, en revanche, le gain est faible. Un porteur qui saisit lui-même ses données sur un faux site fournit un code encore valide, et une commande peut être passée dans la fenêtre de temps restante. Le dispositif protège contre le vol de données stockées, pas contre la tromperie du porteur lui-même — ce qui explique qu’il n’ait pas remplacé l’authentification forte, mais s’y ajoute.
Une limite pratique s’y ajoute, peu évoquée : un code affiché sur un petit écran n’est pas lisible au toucher, et il change trop souvent pour être mémorisé. Là où un code fixe restait accessible par une aide ponctuelle ou par la mémoire, l’affichage dynamique complique durablement l’usage pour les personnes déficientes visuelles, qui doivent recourir à un dispositif de lecture ou à un tiers à chaque paiement.
Que faire si le cryptogramme est illisible
Le cas est banal : trois chiffres imprimés à plat finissent par s’effacer à force de frottements dans un portefeuille. Contrairement au numéro de carte, gravé et donc encore lisible au toucher, le cryptogramme disparaît sans laisser de trace.
-
Ne pas chercher à le déduire
Aucun autre élément de la carte ne permet de le retrouver : il n’existe pas de calcul accessible au porteur, et la clé nécessaire appartient à la banque. Les sites qui prétendent le contraire relèvent au mieux de l’erreur, au pire de la collecte de données.
-
Chercher une trace dans les canaux officiels
Certaines banques affichent les données complètes de la carte dans leur application, derrière une authentification. C’est le seul endroit légitime où retrouver le code, et cela évite un remplacement de carte.
-
Contacter sa banque si le code n’est pas accessible
Le conseiller ou le service client pourra le communiquer par un canal sécurisé, ou déclencher l’envoi d’une nouvelle carte. Un code demandé par courriel ou par téléphone à l’initiative de l’interlocuteur, en revanche, n’est jamais une démarche bancaire légitime.
-
Ne pas le recopier au dos de la carte
Réécrire le code au stylo sur la carte, ou le noter sur un papier rangé dans le même portefeuille, annule exactement ce que le dispositif cherche à obtenir : la preuve que le payeur détient la carte. Un vol de portefeuille livre alors tout d’un coup.
-
Éviter la note dans le téléphone
Un cryptogramme enregistré dans une application de notes, à côté du numéro de carte et de la date d’expiration, rassemble le jeu complet de données au même endroit. Si un stockage est vraiment nécessaire, un gestionnaire de mots de passe chiffré est le seul support acceptable.
L’autre cryptogramme
celui des cryptographes
Le mot ne vient pas du monde bancaire, et sa signification première est ailleurs. En cryptographie, un cryptogramme désigne le résultat d’une opération de chiffrement : le texte clair entre, le cryptogramme sort. C’est l’objet que manipulaient les services de renseignement bien avant l’existence des cartes de paiement, et le terme reste employé en ce sens dans la littérature technique.
Le mot désigne aussi, dans l’univers du jeu, une grille où chaque lettre d’un texte est remplacée par un symbole ou un autre caractère, à charge pour le joueur de remonter au message d’origine.
La carte bancaire a emprunté ce vocabulaire à bon droit, puisque son code est bien le produit d’un chiffrement effectué par la banque émettrice. Le nom, pour une fois, dit exactement ce que la chose est.
Où se trouve le cryptogramme d’une carte bancaire ?
Sur les cartes Visa et Mastercard, au verso, juste au-dessus de la bande blanche réservée à la signature. Sur les cartes American Express, au recto, au-dessus du numéro, dans la partie haute à droite. Plusieurs émetteurs regroupent désormais numéro, date et cryptogramme au verso d’une carte entièrement lisse.
Combien de chiffres compte un cryptogramme ?
Trois chiffres pour Visa et Mastercard, quatre pour American Express. Les appellations varient selon le réseau — CVV, CVC, CSC, CID — mais désignent le même dispositif de sécurité.
Pourquoi me demande-t-on le cryptogramme en plus du numéro de carte ?
Parce que le numéro de carte circule : il figure sur des factures, des historiques d’achat, et dans les fichiers des commerçants où l’on a déjà payé. Le cryptogramme, lui, n’est pas censé être conservé. Le réclamer permet de vérifier que le payeur a la carte sous les yeux au moment de la transaction.
Un site marchand peut-il enregistrer mon cryptogramme ?
Non. Le numéro et la date d’expiration peuvent être conservés dans certaines conditions, ce qui rend possibles les abonnements et le paiement en un clic, mais le cryptogramme doit être écarté dès la transaction réalisée. Un site légitime le redemande ou passe par une authentification ; un service qui affirme l’avoir mémorisé décrit une pratique qui n’a pas lieu d’être.
Le cryptogramme suffit-il à sécuriser un paiement en ligne ?
Non, et ce n’était pas sa vocation. Il prouve la détention de la carte, tandis que l’authentification forte imposée depuis 2021 prouve l’identité du payeur, par validation dans l’application bancaire, biométrie ou code à usage unique. C’est cette seconde vérification qui a fait reculer la fraude au paiement à distance.
Qu’est-ce qu’un cryptogramme dynamique ?
Un code affiché sur un petit écran à encre électronique intégré à la carte, qui change à intervalles réguliers, de l’ordre de vingt minutes. En cas de fuite de données, le code capté est périmé avant d’être exploitable. En revanche, il protège mal contre l’hameçonnage, puisqu’un porteur trompé fournit lui-même un code encore valide.
Que faire si mon cryptogramme est effacé ?
Il ne se déduit d’aucun autre élément de la carte : seule la banque émettrice peut le recalculer. Certaines applications bancaires affichent les données complètes de la carte derrière une authentification ; à défaut, il faut contacter sa banque pour obtenir le code par un canal sécurisé ou faire remplacer la carte. Recopier le code sur la carte ou sur un papier rangé dans le même portefeuille annule l’intérêt du dispositif.
Que signifie cryptogramme en cryptographie ?
Le résultat d’une opération de chiffrement : un texte clair entre, un cryptogramme sort. Le mot désigne aussi, en jeu, une grille où chaque lettre est remplacée par un symbole à retrouver. La carte bancaire a emprunté ce vocabulaire à juste titre, son code étant bien le produit d’un chiffrement.
Trois chiffres imprimés répondent à une question, une seule : celle de savoir si la carte était bien là. Tout le reste se joue ailleurs.