Carte bancaire à empreinte : le doigt ne choisit pas le réseau

Une carte bancaire qui reconnaît mon doigt, sans avoir besoin de sortir le téléphone : l’idée a quelque chose d’immédiatement compréhensible. Mais le titre qui m’amène au sujet promet aussi une alternative française à Visa et Mastercard. Là, je m’arrête. Est-ce le capteur qui rend le paiement indépendant, ou est-ce une autre histoire cachée derrière le petit logo CB ?

L’annonce est réelle : le 31 mars 2026, Thales présente une carte biométrique sans contact agréée par le réseau français CB. En revanche, réunir une empreinte et un réseau national dans la même carte ne signifie pas que les deux répondent au même problème.

Je me retrouve donc avec deux questions : comment la carte sait-elle que c’est moi, et par quel système mon paiement est-il traité ? Elles tiennent dans le même portefeuille, mais pas dans la même réponse.

CB n’attendait pas l’arrivée du capteur

CB ne désigne pas simplement toutes les cartes bancaires françaises. C’est un schéma de paiement avec ses règles et son organisation interbancaire. Une même carte peut porter son logo et celui de Visa ou de Mastercard : on parle alors de carte cobadgée. Le capteur d’empreinte n’invente pas cette possibilité.

Le rapport du Sénat consacré aux paiements européens, déposé en juin 2024, rappelait déjà l’existence de ce réseau national et l’érosion de sa place dans les paiements domestiques. Il relevait aussi la confusion fréquente entre CB et le nom générique d’une carte. Autrement dit, l’infrastructure existe depuis longtemps, même si elle reste assez invisible au moment de payer.

Je comprends mieux le malentendu. Le logo international imprimé sur le plastique ne raconte pas nécessairement à lui seul le chemin emprunté par chaque transaction. Inversement, une carte compatible avec CB ne devient pas automatiquement un passeport universel accepté de la même manière partout dans le monde.

Pour apprécier une promesse de souveraineté, il faut donc regarder le réseau effectivement disponible et utilisé, pas seulement la nationalité du fabricant ou le dessin de la carte. Le mot « français » peut éclairer une partie de l’architecture. Il ne constitue pas un inventaire de tous ses composants, prestataires et dépendances.

Ce que le doigt change vraiment

Le communiqué du 31 mars, publié par CB, annonce l’agrément de la carte de paiement biométrique sans contact de Thales. Le porteur pose son doigt sur un capteur intégré. Selon les acteurs, la solution fonctionne sans mise à jour des terminaux des commerçants français. C’est une annonce des concepteurs, pas un essai que j’aurais réalisé.

Le communiqué cite aussi CPACE, un standard ouvert pour protéger les échanges sans contact entre carte et terminal. C’est un autre volet de l’autonomie technique revendiquée : sécuriser ce dialogue ne se confond pas avec reconnaître le doigt posé sur la carte.

La nouveauté porte ici sur cette combinaison agréée pour CB, pas sur la naissance de toute carte à empreinte. Thales présentait déjà cette technologie dans un communiqué de juillet 2021. Cette antériorité évite de prendre une nouvelle étape industrielle pour une invention apparue d’un seul coup.

Dans l’architecture décrite par Thales, l’enregistrement crée une référence biométrique conservée dans la puce. La comparaison se fait localement ; ni le commerçant ni la banque ne reçoivent cette donnée biométrique. Le principe est intéressant : prouver qu’un porteur est reconnu sans envoyer son empreinte à chaque caisse.

Cela ne rend pas le paiement anonyme. La protection de la donnée biométrique et la circulation des informations nécessaires à une transaction sont deux sujets différents. Une empreinte qui reste dans la carte ne fait pas disparaître le montant payé, le commerçant ou les autres données du paiement.

Sans contact ne veut pas dire sans sécurité

Une phrase de l’article de Frandroid du 2 avril me fait tiquer : le sans-contact classique n’aurait aucune sécurisation. Il faut distinguer l’absence de code demandé à chaque petit achat de l’absence de sécurité du paiement. Ce n’est pas la même chose.

La documentation CB de mai 2024 sur le Sans Contact Plus explique déjà que le code peut être demandé ponctuellement, y compris jusqu’à 50 euros, pour des raisons de sécurité. Elle décrit aussi des paiements sans contact au-delà de 50 euros avec saisie du code : approcher la carte et s’authentifier ne sont pas des gestes incompatibles.

Pour une carte biométrique, l’authentification peut se faire sur la carte elle-même. L’intérêt n’est donc pas d’ajouter enfin de la sécurité à un objet qui n’en aurait aucune, mais de changer la manière de reconnaître son utilisateur dans certains parcours.

Il ne faut pas non plus lire « au-delà de 50 euros » comme « dépenses illimitées ». Le plafond du parcours sans code, les plafonds de la carte et la disponibilité des fonds ne sont pas une seule et même limite. Une commodité d’authentification n’accorde pas un budget supplémentaire. C’est probablement heureux pour tout le monde.

Mon empreinte mérite mieux qu’un slogan rassurant

Le stockage local me paraît une bonne question à poser dès le départ. Mais « cela reste dans la puce » ne dispense pas de s’intéresser à l’enregistrement initial, à la protection du support et aux solutions prévues quand la reconnaissance ne fonctionne pas.

Dans sa doctrine de 2018 sur la biométrie proposée aux particuliers, la CNIL insiste sur la maîtrise des données, la justification du besoin et la possibilité d’une alternative. Elle rappelle aussi une différence fondamentale avec un mot de passe : une caractéristique biométrique compromise ne se remplace pas comme une suite de caractères.

Cette doctrine générale n’est pas un certificat délivré à cette carte précise. Elle donne plutôt une grille de lecture. Où se trouve la référence ? Qui peut l’utiliser ? Quel choix reste à la personne ? Je trouve ces questions plus utiles que le seul adjectif « ultra-sécurisé ».

Je ne déduis pas non plus de l’annonce que le code secret serait supprimé pour tous les usages. Avant de parler de sa disparition, il faudrait connaître les conditions exactes de l’offre bancaire, ses procédures de secours et les opérations couvertes. Je ne vais pas compléter une notice qui n’a pas encore été présentée avec le modèle que j’aimerais y trouver.

Une innovation utile doit encore devenir une offre

L’agrément ouvre une voie de déploiement. Au moment de cette annonce, il ne fournit pas à lui seul le nom d’une banque proposant déjà cette nouvelle offre CB, son prix, ses conditions ou son calendrier de distribution. Je parle ici de la carte agréée annoncée fin mars, pas de toutes les cartes biométriques ayant existé auparavant.

Un argument du communiqué retient particulièrement mon attention : éviter la saisie d’un code sur un écran tactile peut faciliter le paiement de certaines personnes malvoyantes. Ce bénéfice possible est concret. Il mérite d’être regardé avec les utilisateurs concernés, plutôt que noyé dans une compétition de gadgets.

Pour d’autres personnes, garder une carte physique capable de les reconnaître peut aussi représenter une option intéressante face au paiement par téléphone. Cela ne permet pas de décréter qu’elle conviendra à tous. L’intérêt dépendra du coût, de la fiabilité dans les situations ordinaires et de la qualité des alternatives conservées.

Je partais d’une carte supposée remplacer des géants américains. Je découvre un sujet plus précis : une manière d’authentifier le porteur, intégrée à un réseau dont l’autonomie pose ses propres questions. On peut saluer l’étape sans lui demander de résoudre à elle seule toute la chaîne du paiement.

La promesse qui m’intéresse n’est finalement pas de ne plus jamais taper quatre chiffres. C’est de pouvoir payer simplement, avec un vrai choix et en comprenant un peu mieux à qui l’on confie quoi.