Les frictions d’identité ont un coût pour les retailers

L’authentification dans le retail doit appliquer une vérification renforcée là où le risque est plus élevé

Les systèmes d’identité dans le retail poursuivent deux objectifs qui peuvent entrer en conflit : rendre l’accès légitime pratique tout en limitant les accès non autorisés. L’authentification multifacteur (MFA) demande à un utilisateur plus d’une forme de preuve pour vérifier son identité. Des contrôles plus stricts obligent les clients légitimes à effectuer des étapes supplémentaires.

La question clé pour les dirigeants est de savoir où une vérification renforcée a sa place. L’authentification basée sur le risque utilise les informations relatives à chaque session pour déterminer si une vérification supplémentaire est justifiée. Lorsque des éléments crédibles montrent des niveaux de risque différents, la politique d’authentification peut appliquer des exigences différentes.

Le problème est une friction mal répartie

Une règle d’authentification uniforme traite de la même manière des sessions différentes. Une règle contextuelle utilise les informations relatives à chaque session pour déterminer si une vérification renforcée est justifiée. Cette approche est souvent appelée authentification basée sur le risque.

Si un système dispose d’éléments crédibles indiquant que deux sessions présentent des niveaux de risque différents, appliquer la même exigence de vérification aux deux revient à ignorer des informations dont il dispose déjà. Une politique basée sur le risque peut utiliser ces informations pour décider quand demander davantage de preuves d’identité.

Ce principe établit ce que les équipes doivent mesurer : quelles sessions font l’objet d’une vérification supplémentaire, pourquoi, et ce qui se passe ensuite.

L’authentification a besoin de critères d’escalade clairs

Une étape de vérification supplémentaire ajoute une action que le client doit accomplir. Les équipes ont donc besoin de critères explicites d’escalade. Les sessions qui répondent à ces critères font l’objet d’une vérification renforcée ; les autres suivent le parcours standard.

Ces critères rendent la politique d’authentification testable. Les équipes peuvent examiner quelles conditions déclenchent l’escalade et si les décisions qui en résultent correspondent bien au risque que la politique vise à traiter.

La récupération de compte combine risque d’accès et risque de prise de contrôle

Si un client ne peut pas utiliser l’identifiant habituel, la récupération de compte devient le moyen de revenir dans le compte. Le système de récupération est alors confronté à une décision d’identité : accorder ou non l’accès à une personne qui ne dispose pas de l’identifiant habituel.

Des exigences de récupération plus strictes obligent les utilisateurs légitimes à fournir davantage de preuves. Cela fait de la récupération un test utile de l’authentification contextuelle. Le système peut évaluer les informations issues de la tentative de récupération et renforcer la vérification lorsque des conditions de risque définies sont présentes. Les équipes doivent valider les signaux, les seuils et les résultats par rapport aux données sur la fraude et l’accès client.

Les coordonnées comptent également lorsqu’un retailer utilise l’e-mail ou le téléphone comme canal de récupération. Une méthode liée à une adresse ou à un numéro de téléphone inaccessible ne peut pas fonctionner pour ce client. Il s’agit d’une dépendance directe du système.

La fidélité augmente la valeur associée à l’identité

Lorsque les récompenses ont une valeur échangeable, le contrôle d’accès détermine qui peut utiliser cette valeur. L’authentification et la récupération protègent donc le compte de fidélité aussi bien que l’accès ordinaire au compte.

L’implication pour les dirigeants est limitée mais importante. Toute action sur un compte à forte valeur doit avoir une exigence d’identité définie. Cette exigence dépend de la valeur en jeu et des preuves disponibles concernant la session.

Une meilleure authentification dépend de données d’identité exploitables

Un système d’authentification contextuelle a besoin d’entrées pour prendre ses décisions. La qualité des données a des conséquences opérationnelles directes. Si un processus de récupération envoie un code à un numéro de téléphone, le client doit avoir accès à ce numéro. Si la vérification repose sur une adresse e-mail, ce canal doit être utilisable.

Pour les CTO, cela sépare la politique de la capacité réelle. Modifier une règle MFA change le moment où une demande de vérification apparaît. L’authentification contextuelle exige aussi des données et une logique de décision capables de distinguer les sessions selon des critères définis.

Mesurer où se concentre l’effort d’authentification

Un modèle de mesure utile distingue les événements d’authentification selon leur motif et leur résultat. Les équipes peuvent examiner séparément les connexions standard, les vérifications renforcées, les verrouillages et les tentatives de récupération.

Les dirigeants peuvent poser des questions concrètes. Quelle condition a déclenché la vérification supplémentaire ? L’utilisateur l’a-t-il menée à bien, et la session a-t-elle permis d’effectuer l’action prévue sur le compte ? L’événement a-t-il conduit à une récupération ou à une demande d’assistance ? La session a-t-elle ensuite été associée à un abus confirmé ?

La récupération mérite une attention distincte, car l’identifiant habituel est indisponible par définition. Le système doit décider quelles preuves alternatives sont suffisantes pour rétablir l’accès. Mesurer les résultats de cette décision donne aux responsables de la sécurité, du commerce et de la technologie une base pour ajuster les règles de récupération en fonction des résultats observés.

Recap

L’authentification dans le retail n’est pas seulement un choix entre sécurité et confort client. C’est une décision sur les cas où des preuves d’identité plus solides sont requises et sur les informations qui justifient cette exigence.

Pour les dirigeants, la priorité est de rendre ces décisions explicites et mesurables. Définissez quelles conditions déclenchent une vérification renforcée, assurez-vous que les actions de récupération et de fidélité reflètent la valeur à risque, et vérifiez que les données d’identité qui soutiennent ces décisions sont exploitables.

Le résultat doit être une politique d’authentification capable d’évoluer en fonction des résultats observés. Les responsables de la sécurité, de la technologie et du commerce peuvent alors évaluer si la vérification supplémentaire réduit les abus, bloque des accès légitimes ou crée une demande d’assistance, puis ajuster la politique sur la base de preuves plutôt qu’en appliquant la même friction à chaque session.