L'authentification de l'utilisateur d'un service bancaire et financier en ligne

Authentication of the user of an online banking and financial service.

• Auteur / Autrice : Mouhamadoul kabir Balde
• Direction : Anne-Sophie ChonÉ-grimaldi, Aurélie Ballot-léna
• Type : Projet de thèse
• Discipline(s) : Droit privé et sciences criminelles
• Date : Inscription en doctorat le 12/11/2024
• Etablissement(s) : Paris 10
• Ecole(s) doctorale(s) : École Doctorale Droit et Science Politique
• Partenaire(s) de recherche : Laboratoire : Centre du Droit Civil des Affaires et du Contentieux Économique

Mots clés

Mots clés libres

Authentification électronique

Signature électronique

Contrat en ligne

Paiement en ligne

Fraude

Tiers de confiance

Electronic authentication

Electronic signature

Online contract

Online payment

Résumé

Introduction La vie en société, animée par les relations économiques des individus qui la composent, ne peut se dérouler sans un encadrement juridique garantissant sa cohésion. En effet, droit et société sont indissociables, car le premier a pour vocation de refléter, incarner et accompagner l'évolution de la seconde à chaque étape. Ainsi, pour répondre aux besoins d'une société en pleine mutation, le droit doit se réinventer et se réformer au rythme de cette évolution. De ce fait, avec le développement des nouvelles technologies et, en parallèle, celui du commerce électronique, il est devenu nécessaire d'adapter le droit à cette nouvelle réalité sociale. En effet, le début du 21e siècle se caractérise par une concurrence marquée entre les contrats conclus en face-à-face et ceux souscrits par voie numérique. Du contrat oral à l'écrit papier, nous assistons aujourd'hui à une dématérialisation des contrats, tant dans leur formation que dans leur exécution . Cette révolution s'est accompagnée d'une modernisation des moyens de paiement pour faciliter la mise en œuvre des contrats, quel que soit leur support. Ainsi, des instruments de paiement sur support papier avec une signature manuscrite, tels que la lettre de change, le billet à ordre ou le chèque, nous sommes passés à des moyens de paiement de plus en plus dématérialisés . En effet, pour assurer la confiance des acteurs au commerce électronique, il est devenu plus que jamais nécessaire de trouver une solution garantissant la sécurisation des transactions car le défi majeur de la dématérialisation des relations contractuelles réside dans l'imputation des engagements à leur auteur. Il est d'ailleurs fréquent, dans le domaine bancaire et financier, que des clients contestent l'authenticité d'un acte qui leur est imputé, au motif que celui-ci a été réalisé par un tiers, à leur insu : la fraude bancaire . En fait, des escrocs opérant dans le monde numérique ont recours à des techniques de fraude de plus en plus sophistiquées au grand malheur des consommateurs et des acteurs du commerce électronique consistant à usurper l'identité d'une personne pour souscrire ou exécuter une transaction en son nom, mais à son insu avec des conséquences financières non-négligeable . D'ailleurs, selon la Banque centrale européenne (BCE) et l'Autorité bancaire européenne (ABE), “La valeur totale des opérations frauduleuses (virements, prélèvements, paiements par carte, retraits d'espèces et transactions en monnaie électronique) dans l'EEE s'est élevée à 4,3 milliards d'euros en 2022, et 2,0 milliards d'euros au premier semestre 2023. En valeur, la majeure partie des fraudes sur les paiements sont liées aux virements et aux paiements par carte ; les paiements par carte représentant également la majorité des fraudes en volume. Au premier semestre 2023, la fraude à la carte impliquant des cartes émises dans l'EEE a représenté 0,031 % 1 de la valeur totale et 0,015 % du nombre total de paiements par carte. Des taux de fraude similaires ont été observés pour les transactions en monnaie électronique (0,022 % en valeur et 0,012 % en volume). Les taux de fraude sont nettement plus faibles pour les autres instruments, en particulier les virements (0,001 % en valeur et 0,003 % en volume)” . Ainsi, pour surmonter cet obstacle afin d'assurer une sincérité aux transactions électroniques, il est donc fondamental, avant de conclure tout engagement contractuel en ligne, de procéder à l'authentification des cocontractants afin de garantir l'imputabilité de l'acte aux souscripteurs. C'est dans cet ordre d'idée que s'inscrit notre sujet qui porte sur une thématique cruciale de la société moderne : “ L'authentification de l'utilisateur d'un service bancaire et financier en ligne”. Cette réflexion a pour but de démontrer l'importance de l'authentification électronique aussi bien dans le cadre de la formation des contrats en ligne que dans l'exécution des opérations de paiement électronique. En effet, la notion d'authentification est devenue, avec la dématérialisation des transactions, “le sésame du numérique” qui ne peut être ignoré par les juristes au risque d'entrainer une mauvaise application des règles encadrant les opérations numériques . Le choix de cette thématique résulte de plusieurs observations issues à la fois de nos recherches et de notre pratique. En effet, au sein de la médiation de l'Association Française des Sociétés Financières (ASF) où nous avons eu la chance d'effectuer notre apprentissage dans le cadre de notre master 2, il nous a été donné de constater que 50 % des dossiers traités dans notre service relèvent de la fraude bancaire, ce qui illustre l'importance de ce litige dans le contentieux entre utilisateurs et prestataires de services de paiement. D'ailleurs, excité par la sensibilité de la question, nous avions décidé de traiter dans le cadre de notre mémoire de master 2, la thématique relative à “l'obligation de remboursement du prestataire de service de paiement à son client victime de fraude bancaire”. Cela a été pour nous l'occasion d'être initié à la notion d'authentification dans le cadre spécifique de la fraude au paiement non autorisé. Nous avions pu relever à cet égard, que, bien qu'indispensable pour l'exécution d'une transaction numérique, à quelques exceptions près, l'authentification ne garantit pas l'autorisation de la transaction . De même, en effectuant des recherches dans le cadre de notre projet de thèse sur les contrats électroniques, il nous a été donné de constater que l'authentification joue un rôle fondamental dans leur processus de validation . Qui plus est, nous notons également que dans le but de garantir une confiance au commerce électronique, l'Union européenne a adopté plusieurs règles destinées à règlementer les transactions numériques. Depuis la directive du 13 décembre 1999 relative au cadre communautaire pour les signatures électroniques , en passant par les directives de 2009 et 2015 sur les services de paiement ainsi que celles de 2000 et 2009 concernant la monnaie électronique , sans oublier le règlement du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur (Règlement eIDAS) , et avec la perspective de l'adoption d'un nouvel ensemble législatif comprenant la directive sur les services de paiement 3 (DSP3) et le premier règlement sur les services de paiement (RSP1) , le législateur européen s'efforce de garantir la confiance dans le commerce électronique et de renforcer la protection de ses utilisateurs. Cette réglementation a pour vocation de rendre attractif le commerce numérique tout en garantissant aux consommateurs une expérience numérique stimulante. En effet, entre l'obligation de renforcer la pratique de l'authentification des utilisateurs de services dématérialisés et la volonté de renforcer la confiance des consommateurs au commerce électronique, il s'en évince un paradoxe : • L'incitation à avoir confiance dans le e-commerce • La mise en garde contre le risque de fraude qui en découle. Or, si pour le législateur, le meilleur moyen de palier la survenance de la fraude est d'assurer une authentification électronique réussie des utilisateurs de services dématérialisés, en pratique, la portée juridique de la notion d'authentification reste une énigme . En effet, que ce soit dans les contrats en ligne ou dans l'exécution des paiements électroniques, l'opération numérique acquière la pleine foi que si est seulement si le processus mis en place dans le cadre de son établissement garantit sans équivoque l'imputabilité de la transaction à celui à qui on l'oppose. Cependant, la pratique démontre que le sésame numérique n'assure pas pleinement ses vœux juridiques, car la technique n'est jamais exempte de faille . C'est fort de constater que nous tenons à démontrer au lecteur dans les lignes qui suivent que la notion d'authentification électronique aussi incontournable soit elle tant dans la formation du contrat que dans l'exécution d'un paiement (I), reste encore une notion “mal saisie” par les praticiens. Ceci est d'autant plus vrai qu'il est difficile d'affirmer avec certitude qu'une authentification électronique garantit l'authenticité à un acte dématérialisé. Nous relevons sur ce point que la force probante de l'authentification électronique est assujettie à la phase de son utilisation dans l'exécution d'une obligation souscrite en ligne, ce qui signifie que son appréciation n'est pas univoque en pratique. (II) I) L'authentification d'une transaction électronique Dans cette partie, il sera question de démontrer que l'authentification électronique joue un rôle important tant dans la formation d'un contrat (A) que dans l'exécution d'une opération de paiement en ligne (B). A) L'authentification d'un contrat électronique Avec l'avènement de l'internet et le développement du commerce électronique, il est apparu nécessaire de mettre en place des moyens permettant de relier les informations sous forme électronique aux personnes qui les émettent afin de s'assurer de leur imputabilité à leur auteur légitime. Les techniques permettant de parvenir à l'imputabilité d'une information sous forme électronique à son auteur sont souvent appelées de façon générique “Authentification électronique” ou “signature électronique” , même si parfois, certaines distinctions sont faites entre les deux notions. En effet, la distinction entre “authentification “et “signature” trouve sa source des conceptions que les pays ont de ces notions dans leur usage concernant le monde papier. Ainsi, si dans les pays de common law “Authentification” et “signature” sont souvent employé dans la synonymie, les pays de droit romain, quant à eux, ont une conception différente entre “Authentification” et “ Signature” . Par exemple, en France, la conception originelle du mot “authentification” “consiste en l'opération effectuée par un officier public compétent matériellement et territorialement qui dresse un acte selon les solennités requises. Ses diligences permettent de conférer la qualité juridique d'authenticité au sens de l'article 1317 du code civil” . Ce qui voudrait dire qu'un acte, même signé, n'est pas assimilé à un acte authentifié qui nécessite l'intervention d'un tiers dépositaire de l'autorité publique pour procéder à l'authentification de celui-ci. La spécificité de l'acte authentique réside ainsi dans la confiance accordée au témoignage de l'officier public, qui atteste avoir identifié les parties et recueilli leur consentement à l'exécution de l'acte. Les constatations de l'officier public, faites “ex propriis sensibus” (perçues par ses propres sens), confèrent à l'acte une force probante et une force exécutoire. Or, dans le secteur informatique, la dissociation de ”l'authentification électronique” et ”la signature électronique” est difficile à établir dans la mesure où l'authentification et la signature partagent une même finalité : l'imputabilité de l'acte à son auteur, et par ricochet, la même force probante devant les tribunaux. Cet état de fait a l'inconvénient de créer des incohérences dans l'utilisation de la terminologie. Des expressions qui étaient traditionnellement employées pour désigner un acte particulier en droit, sont aujourd'hui utilisées dans le secteur numérique pour décrire des fonctionnalités ne correspondant pas avec leur conception originelle dans le langage juridique . Pour parvenir à l'authentification ou la signature d'un acte électronique, les acteurs ont recours à l'intervention d‘un expert en informatique, donc du domaine privé, qui confère l‘authenticité à l‘acte en garantissant son lien avec le signataire : le tiers de confiance. Ce tiers a pour mission de “fournir la sécurité et la confiance dans les communications numériques en assurant des fonctions juridiques fondamentales telles que l'identification de l'auteur, l'intégrité et la non-répudiation des messages” . Les tiers de confiance jouent un rôle clé dans la promotion de l'économie numérique, tout en aidant à prévenir les risques inhérents à ce secteur. Leur objectif est de garantir aux utilisateurs une expérience sécurisée et réussie dans leurs interactions avec le commerce en ligne. Créée en 2001, la Fédération des Tiers de Confiance regroupe plusieurs membres répartis en cinq collèges : Collège 1 : Prestataires et éditeurs de confiance labellisés ou certifiés Collège 2 : Prestataires et éditeurs de confiance Collège 3 : Experts et représentants des utilisateurs Collège 4 : Institutionnels et professions réglementées Collège 5 : Utilisateurs de services de confiance . Pour être reconnus comme tiers de confiance, les prestataires de services doivent être agréés par les pouvoirs publics. En France, cette mission est assurée par l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Le tiers de confiance a pour rôle de garantir l'authenticité de l'acte et la fiabilité de son contenu. À cet effet, le dispositif sécurisé de création de signature électronique découlant de l'authentification électronique doit, par des moyens techniques et des procédures appropriés, garantir que les données de création de la signature sont spécifiques à l'acte concerné et protégées par un système de cryptage empêchant toute falsification. De plus, ces données doivent être intelligibles afin que le signataire puisse connaître le contenu de l'acte avant d'apposer sa signature . Outre la confusion conceptuelle entre “signature électronique” et “authentification électronique” découlant de leur transposition du monde papier vers le secteur numérique, il convient de préciser que dans le monde informatique, il est fréquent que certaines notions concernées par le processus d'authentification d'un acte électronique soient confondues avec l'authentification proprement parlée. De ce fait, il nous semble important de distinguer l'authentification électronique de l'identification et de l'autorisation électronique. En effet, si l'identification électronique répond à la question de savoir qui est l'utilisateur du serveur, l'authentification, quant à elle, répond à la question de savoir si l'identifier prouve qu'il est bien celui qu'il prétend être. En ce qui concerne l'autorisation, elle répond à la question de savoir si la personne authentifiée a le droit d'accéder au serveur pour lequel, elle a été authentifiée. - Sur l'identification Identification est la première étape du processus permettant de prouver la sincérité d'un acte électronique. En effet, elle a pour vocation de vérifier que la personne qui souhaite utiliser un serveur informatique avait été préalablement enregistrée dans le système. Cela se fait généralement via un identifiant unique tel qu'un nom d'utilisateur, une adresse email ou un numéro de téléphone. Ce qui permet à l'utilisateur d'avoir un identifiant unique le distinguant des autres utilisateurs du serveur . - Sur l'authentification L'authentification intervient à la suite de l'identification afin de s'assurer que l'utilisateur ayant renseigné son identifié est bien quelqu'un que le système reconnait pour pouvoir lui permettre d'y avoir accès. Cela se fait généralement par le biais de système d'authentification mise en place par l'établissant autorisant l'accès . - Sur l'autorisation L'autorisation constitue la phase finale du processus d'authentification dont la vocation est de déterminer ce à quoi l'utilisateur peut avoir accès. Dans le cadre de notre étude, le droit d'accès peut renvoyer à la connexion à l'espace personnel du client, à la possibilité de signer un contrat à partir d'un système informatique etc . C'est la combinaison de l'identification, l'authentification et l'autorisation qui permet l'établissement de la sincérité d'un acte électronique. D'ailleurs, s'il est vrai que l'authentification est requise dans le cadre de la formation d'un contrat électronique, il n'en reste pas moins que son concours est obligatoire, à quelques exceptions près, dans l'exécution des paiements en ligne. B) L'authentification d'un paiement électronique L'évolution rapide du paiement numérique a créé un besoin de renforcer la sécurité des mécanismes de paiements électronique afin d'éviter les risques de détournement des opérations de paiement et d'améliorer la protection des consommateurs. C'est dans ce sens que le législateur de l'Union européen a adopté plusieurs directives afin de règlementer le paiement électronique dans le marché intérieur. C'est dans cette optique qu'a été adoptées une série de directives visant à règlementer l'exécution des paiements électroniques . Il résulte de l'analyse de ces directives que le législateur européen accorde une importance capitale à l'authentification des opérations de paiement en ligne. C'est dans cette optique que l'authentification des opérations de paiement a connu, avec l'évolution des directives, un renforcement. De l'authentification à un facteur, on est passé à l'authentification forte. Cette authentification se fait par le biais de modalités d'authentification qui permettent à l'utilisateur de fournir des informations confirmant son identité. Elles sont souvent regroupées en trois catégories : ce que l'on sait (un mot de passe), ce que l'on est (les solutions biométriques) et ce que l'on possède (un téléphone portable) . - Sur le facteur de connaissance (ce que je sais) Un facteur de connaissance concerne le mode d'authentification dans lequel, l'identifié communique une information qu'il mémorise dans le cadre de son authentification dans un système. L'exemple qui est souvent donné pour illustrer le facteur connaissance est le mot de passe. Selon l'ANSSI, un mot de passe est “un secret devant être mémorisé par un utilisateur, quelle que soit la forme de ce secret (mot de passe, phrase de passe ou code PIN).” . Une classification des mots de passe a été effectuée par l'ANSSI en se fondant sur l'usage et les risques liés au mot de passe utilisé. On peut distinguer trois catégories de mots de passe : • Les mots de passe que l'utilisateur se doit de mémoriser : on peut citer en guise d'illustration “les mots de passe ne pouvant pas facilement être gérés par un coffre-fort de mots de passe, comme le mot de passe d'une session Windows.” . • Les mots de passe dont la mémorisation n'est pas obligatoire, comme les mots de passe conservés et générés par un coffre-fort de mots passe permettant leur récupération automatique à chaque connexion dans le système. • Les numéros d'identification personnels (Code P.I.N) qui assurent une certaine sécurité notamment liée à la limitation du nombre de tentative possible. - Sur le facteur de possession (ce que je possède) Un facteur de possession est le facteur qui permet à un objet physique détenu uniquement par l'utilisateur légitime “de stocker des secrets non mémorisables par un humain (et n'ayant pas vocation à être mémorisés par un humain)” dans le cadre de l'exécution d'une opération en ligne. C'est l'exemple du téléphone portable utilisé dans le cadre du paiement en ligne pour permettre la réception des informations cryptées afin de valider une opération par le biais de ce téléphone. - Sur le facteur inhérence (Ce que je suis) Le facteur inhérence est la modalité d'authentification permettant d'identifier une personne à partir de ses données biométriques. Celles-ci peuvent être entre autres l'ADN, le sang, l'empreinte digitale, la forme de l'iris, la forme du visage, la voix, etc. . Le recours à l'authentification par le facteur d'inhérence à l'avantage de permettre à l'utilisateur de pouvoir s'authentifier sans devoir se remémorer son mot de passe ni risquer de perdre le contrôle de son objet d'authentification, comme cela est possible en matière d'authentification par le facteur de possession. Ces différents facteurs sont utilisés pour faciliter l'exécution des opérations de paiement en ligne. La robustesse d'une opération d'authentification dépend du nombre de facteurs utilisés. Ainsi, nous pouvons classer les modes d'authentification en trois catégories : l'authentification simple, l'authentification forte et l'authentification multi-facteur. • Sur l'authentification simple L'authentification simple est une méthode d'authentification qui repose sur un seul facteur d'authentification pour vérifier l'identité d'un utilisateur. Ce facteur peut être sur la connaissance, la possession ou l'inhérence. La méthode la plus courante d'authentification simple est l'utilisation d'un mot de passe. Il n'offre pas beaucoup de garantie de sécurité, c'est la raison pour laquelle la commission nationale de l'informatique et des libertés (CNIL) recommande d'avoir recours à l'authentification multi facteur dans le processus d'exécution des opérations en ligne . • Sur l'authentification multi facteur Une authentification multi facteur est une authentification ayant recours à plusieurs facteurs d'authentification comme la connaissance, la possession ou l'inhérence, étant précisé que les facteurs utilisés doivent être différents l'un de l'autre de sorte que la compromission de l'un n'impacte pas l'autre. • Sur l'authentification forte Une authentification forte est une authentification qui combine deux éléments des facteurs d'authentification comme la connaissance et la possession ou la possession et l'inhérence. C'est ce mode d'authentification qui est requis dans le cadre des paiements en ligne depuis la transposition en droit interne de la deuxième directive sur les services de paiement dite DSP2 . Cependant, il est fréquent que l'authentification multi facteur soit confondue avec l'authentification forte en langage courant alors que les deux expressions ne sont pas identiques. En effet, une authentification reposant sur un seul facteur peut parfois être considérée comme forte, tandis qu'une authentification utilisant deux facteurs d'identification différents ne garantit pas nécessairement une authentification forte . Nous venons de voir que l'authentification est une notion qui occupe une place de choix dans le secteur numérique, notamment en ce qui concerne le commerce électronique, même si son mode d'emploi est sujet à confusion, en pratique. Or, le recours à l'authentification ayant pour vocation d'assurer l'imputabilité de l'acte au cocontractant légitime, son établissement devrait permettre aux parties d'éviter les éventuelles contestations. Le cas échéant, il incombera à la partie qui invoque l'acte de rapporter la preuve de la validité de l'engagement de celui à qui il est opposé : la preuve littérale électronique. Cette preuve à une force probante qui diffère en fonction de la phase du contrat. Si la preuve littérale électronique est un moyen qui permet de rapporter la preuve de la sincérité d'un acte au même titre que la signature sur support papier, il n'en demeure pas moins qu'en matière de paiement électronique, une preuve de l'authentification ne saurait dispenser, à elle seule, le prestataire de services de paiement de son obligation de rembourser son client victime de fraude. Il en résulte que le niveau de fiabilité de l'écrit électronique varie selon que l'on invoque au soutien de la sincérité d'un contrat ou de l'autorisation d'un paiement en ligne. II) Une force probante de l'authentification électronique assujettie à l'acte invoqué Dans cette partie, nous mettrons l'accent sur la force probante de l'authentification en matière de transaction électronique. Ainsi, nous verrons qu'une authentification électronique a plus de poids juridique en matière de formation du contrat électronique (A) qu'elle en a en matière d'autorisation d'une opération de paiement en ligne (B) A) La force probante de l'authentification électronique renforcée en matière de formation du contrat L'authenticité du consentement exprimé en ligne est devenue une problématique complexe, suscitant l'intérêt tant des juristes que des informaticiens. Ces deux disciplines sont désormais chargées, dans une collaboration parfois qualifiée d''infernale” , d'assurer la sécurisation des transactions électroniques. Ainsi, l'informaticien a pour mission de concevoir un système d'authentification fiable, capable d'inspirer la confiance des consommateurs, tandis que le juriste doit démontrer la force probante de l'écrit électronique. C'est dans cette optique que le législateur français, en transposant la directive européenne relative à la signature électronique en 2000 , a proclamé l'équivalence entre l'écrit sous forme électronique et l'écrit sur support papier, sous réserve du respect de certaines conditions. Le titre même de la loi du 13 mars 2000 était révélateur : ”adaptation du droit de la preuve aux technologies de l'information et relative à la signature électronique”. L'objectif était alors de garantir la prise en compte de la preuve électronique dans les contentieux liés aux transactions numériques. À cet égard, l'article 1365 du Code civil stipule que : “L'écrit consiste en une suite de lettres, de caractères, de chiffres ou de tout autre signe ou symbole dotés d'une signification intelligible, quel que soit leur support.” Cela signifie que le support électronique ne prive en rien l'écrit électronique de sa reconnaissance en tant que preuve littérale. Pour dissiper les doutes des plus sceptiques, le législateur a précisé à l'article 1366 du Code civil que : “L'écrit électronique a la même force probante que l'écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité.” Cet article consacre ainsi la reconnaissance de l'écrit électronique comme une preuve littérale, équivalente à l'écrit sur papier. Par ailleurs, le signataire d'un support électronique est présumé avoir manifesté son consentement à l'exécution des obligations découlant de l'acte qu'il a signé. Il est important de préciser en cet endroit que la force probante conférée à la signature électronique dépend de son niveau de fiabilité. En effet, il existe trois types de signatures électroniques : simple, avancée et qualifiée. Bien que toutes les signatures électroniques aient une valeur juridique , seule la signature électronique qualifiée bénéficie d'une présomption légale de fiabilité. Cette présomption joue un rôle clé dans la gestion des litiges concernant la contestation d'un acte électronique. Dès lors qu'une signature qualifiée est utilisée, il incombe à celui qui conteste l'acte de prouver qu'il n'en est pas l'auteur, autrement dit, il doit démontrer qu'il n'a pas apposé sa signature sur l'acte en question. Cette inversion de la charge de la preuve place la personne qui se prévaut de l'acte signé en position de force, car elle n'a pas à justifier de la sincérité de la signature, celle-ci bénéficiant de la foi publique en raison du processus rigoureux de la signature qualifiée. En revanche, lorsqu'il s'agit de signatures électroniques simples ou avancées, la personne qui invoque l'acte doit prouver que la signature l'électronique apposée sur le document émane bien de celui à qui on l‘oppose . C'est dans cette optique que certains auteurs s'interrogent sur une possible supériorité de la signature électronique qualifiée par rapport à la signature sur support papier, en raison de l'inversion de la charge de la preuve . Cependant, certains auteurs considèrent que l'écrit électronique ne peut servir de preuve au même rang que l'écrit sur support sur papier car selon eux le principe de neutralité technologique n'est qu'une “fiction déclaratoire” , visant à ”réputer vrai une affirmation dont la réalité ne s'impose pas d'évidence”. Ils estiment que cette déclaration fictive reflète surtout la logique du législateur européen, dont l'objectif premier serait de garantir le développement du marché intérieur, au détriment parfois de la protection des consommateurs. Dans la même veine, d'autres auteurs s'interrogent sur la possibilité pour une vérité scientifique de fonder une vérité judiciaire . Selon eux, la vérité scientifique ne peut se substituer ni au juge ni à l'enquêteur, ce qui voudrait dire qu‘une authentification électronique ne devrait être considérée comme une preuve irréfutable. Ils en concluent que la preuve judiciaire et la preuve numérique appartiennent à deux univers distincts, qu'il est impossible de concilier pleinement. Ainsi, l'office du juge consisterait alors à “accepter ou refuser de transformer une probabilité scientifique et technique en un fait juridique, générateur de droits” . Jean-Didier Graton, expert en informatique, soutient dans la même veine que la signature électronique n'est pas totalement exempte de failles. Selon lui, la facilité avec laquelle les attaquants parviennent à “casser” les clés de cryptage en est la preuve. Ce qui démontre que, même si l'équivalence formelle entre la preuve sur support papier et la preuve électronique est juridiquement établie, l'équivalence réelle reste sujette aux failles techniques . Par ailleurs, bien que la distinction entre les différents types de signatures électroniques soit importante, il arrive fréquemment que les juges interprètent de manière inexacte les actes électroniques qui leur sont soumis, en appliquant parfois le raisonnement propre à la signature électronique qualifiée à des signatures électroniques simples ou avancées. Cela montre que la présomption de fiabilité, spécifique à la signature électronique qualifiée, n'est pas toujours bien maîtrisée par les juges . En effet, l'appréciation de la signature électronique par les juges du fond est parfois trop rapide et manque de profondeur pour élucider la source de la fiabilité de l'acte. Souvent, les juges se contentent du fichier de preuve ou du commencement d'exécution du contrat pour en déduire sa validité, alors que tous les fichiers de preuve ne sont pas nécessairement fiables. De même, tout commencement d'exécution ne garantit pas forcément la reconnaissance de l'acte par la personne à qui il est opposé. Dans le cadre de la contestation d'un écrit électronique, le rôle du juge devrait être de déterminer la nature de la signature pour en déduire le régime juridique applicable. Si, après analyse, les juges constatent que l'acte électronique litigieux ne remplit pas les conditions posées par les articles 1366 et 1367 du Code civil, ils doivent, dans ce cas, procéder à la vérification de la fiabilité de l'acte conformément à l'article 287 du Code de procédure civile. En revanche, si l'acte électronique respecte les exigences des articles 1366 et 1367, le juge applique automatiquement la présomption de fiabilité, ce qui signifie que la charge de la preuve du défaut d'authenticité de l'acte incombe au contestataire, étant observé que selon Éric A. Caprioli, à l'état actuel du marché en France, il n'est pas possible de produire une signature électronique qualifiée répondant aux exigences du décret n° 2017-1416 du 28 septembre 2017. Or, dans un arrêt rendu le 15 septembre 2022 par la Cour d'appel de Nancy, les juges du fond ont accordé à une signature électronique simple, dont la fiabilité avait été démontrée, la présomption de fiabilité. Dans le même sillage, les juges du fond ont, dans un arrêt de la cour d'appel de Paris daté du 7 avril 2022, introduit pour la première fois la notion de “signature électronique imparfaite”, qu'ils ont ensuite requalifiée en commencement de preuve par écrit . Or, une signature électronique ne peut être ni parfaite ni imparfaite ; elle est soit valide, soit invalide. Dans le même sens, dans un arrêt rendu le 6 avril 2016, la Haute juridiction a rejeté un pourvoi en cassation qui demandait la déclaration de nullité d'un contrat électronique, en raison de l'absence de processus de création de signature électronique qualifiée. Pour ce faire, la Cour de cassation s'est appuyée de manière succincte sur la vérification effectuée par les premiers juges concernant les éléments de preuve fournis par l'intimé. Elle n'a cependant pas jugé nécessaire de rappeler que la validité d'une signature électronique ne dépend pas de sa qualité de signature électronique qualifiée . Par ailleurs, en ce qui concerne l'écrit électronique, notamment par le biais des courriels, nous constatons qu'il n'existe pas encore de jurisprudence établie à ce sujet. En effet, certains juges refusent de reconnaitre l'existence d'un engagement contractuel résultant uniquement des échanges d'emails, même si ceux-ci traduisent la rencontre des volontés des parties , tandis que d'autres acceptent qu'un contrat puisse être valablement formé par un échange de courriers électroniques, même lorsque l'écrit est requis ad validitatem . En dépit des difficultés qui résultent dans la mise en œuvre, en pratique, de la force probante de l'écrit électronique, il n'en demeure pas moins qu'un écrit électronique peut fonder, à lui seul, la preuve de l'existence d'un contrat. Ceci n'est pas le cas en matière de paiement électronique. B) La force probante de l'authentification électronique affaiblie en matière de paiement en ligne Par un arrêt rendu en date du 18 janvier 2017, la Haute juridiction est venue rappeler que l'authentification forte d'une opération de paiement n'est à elle seule pas suffisante pour faire supporter au titulaire du compte les pertes financières qui découlent de la fraude . En effet, dans cet arrêt, la haute juridiction précise que le prestataire de services de paiement ne peut faire supporter au payeur les pertes financières qui découlent de la fraude en se fondant uniquement sur le fait que le dispositif de sécurité lié à son instrument de paiement a été utilisé pour effectuer la transaction contestée. Ainsi, il ressort de cette jurisprudence qu'une opération de paiement authentifiée n'est pas simultanément assimilée à une opération de paiement autorisée. De ce fait, la Cour de cassation écarte toute possibilité pour le prestataire de services de paiement de se replier sur la fiabilité et l'efficacité du système de sécurité mis en place dans le cadre du processus d'authentification forte pour refuser de rembourser . Aussi, quand bien même le processus d'authentification forte de l'opération de paiement était affecté par aucune déficience technique ou piratage, la Cour de cassation n'en déduira pas la négligence grave du porteur de l'instrument de paiement pour refuser le remboursement. Dès lors, il apparait clairement que le niveau de fiabilité du dispositif de sécurité exigé dans l'authentification forte des opérations de paiement numérique est plus un facteur de lutte contre les fraudes en ligne, qu'une arme à la portée du prestataire de services de paiements à même de justifier de manière exclusive la responsabilité du porteur de l'instrument de paiement . Conclusion Les considérations ci-dessus montrent non seulement que les notions d'authentification électronique et de signature électronique, d'autorisation et d'identifications ne font pas l'objet d'une conception uniforme, mais aussi que la force probante qui leur est associée varient en fonction de la phase du contrat. Avec la reconnaissance de l'écrit électronique comme équivalent à l'écrit papier, la notion d'authentification en droit revêt deux définitions aux conséquences juridiques différentes : l'authentification électronique et l'authentification par un officier publique. Contrairement aux signatures sur support papier, la force probante d'une signature électronique dépend du processus de création qui peut varier d'une signature simple à une signature qualifiée, ce qui complique le raisonnement juridique pour les praticiens, y compris les juges. De même, bien que reconnue comme une preuve littérale, l'authentification d'une opération de paiement ne garantit pas son autorisation par le payeur. Or, comme le rappelle Éric A. Caprioli, la conclusion de contrats électroniques et l'exécution des paiements en ligne est devenue courante dans le secteur bancaire et financier. Aussi, une transaction en ligne n'étant jamais à l'abri du risque de détournement, il est fréquent que les consommateurs contestent des engagements effectués en ligne. Ainsi, avec l'émancipation des modes alternatifs de règlement des litiges, le Médiateur est devenu l'un des destinataires privilégiés des contestations de transactions électroniques. Pour résoudre ces litiges, il doit être bien informé de la législation applicable afin de garantir une application juste des textes de loi, ce qui nécessite une veille juridique rigoureuse. Or, le maitre mot dans la contestation des transactions électroniques est l'authentification de l'utilisateur du service bancaire et financier, souvent appelé consommateur. Toutefois, force est de constater que les textes encadrant l'authentification électronique, tant en matière de paiement non autorisé que de souscription de contrats, sont marqués par une évolution continue, révélant l'instabilité des règles de droit applicables. C'est fort de ce constat que nous avons proposé à l'Association française des sociétés financières de soutenir notre thèse, à la suite d'une expérience enrichissante au sein de leur structure durant notre master. Convaincus qu'une thèse CIFRE représente le meilleur moyen d'acquérir une expérience professionnelle significative tout en poursuivant notre développement académique, nous avons choisi un sujet de recherche au cœur des activités du Médiateur. Ainsi, outre les apports que cette recherche pourrait apporter au Médiateur en matière de conformité juridique, et d'anticipation sur les évolutions de la jurisprudence, l'Association française des sociétés financières pourra, sur la base des résultats de cette recherche, recommander à ses adhérents de mettre à jour leur système d'authentification afin de faciliter le travail du Médiateur. Sur le plan académique, cette thèse de doctorat a pour objectif de permettre une compréhension sans équivoque du sens juridique des notions techniques employées dans la sécurisation des transactions électriques. Aussi, après avoir relevé que la notion d'authentification électronique a une force probante qui varie en fonction de la phase du contrat, il sera question de faire des propositions permettant d'harmoniser l'application de l'authentification électronique dans le droit en vigueur. De plus, la vérification de la sincérité des transactions électroniques, notamment en matière de validité des contrats étant un défi pour les juges, en doctrinaire, nous proposerons des méthodes permettant de faciliter l'analyse de la fiabilité de ceux-ci. Ainsi, nous mettrons en place une grille de lecture servant de repère aux intéressés afin de déterminer la force probante correspondant à l'authentification électronique qui aurait permis l'établissement de l'acte contesté. En sus, nous veillerons à faire des publications régulières afin d'attirer l'attention des acteurs sur les risques découlant du défaut d'authentification forte et la nécessité pour les utilisateurs de veiller à la sécurité de leurs données de sécurisation afin d'éviter, au pire, de minimiser les risques de fraude.

Introduction Life in society, driven by the economic relationships among its members, cannot unfold without a legal framework ensuring its cohesion. Indeed, law and society are inseparable, as the former is intended to reflect, embody, and support the evolution of the latter at every stage. Consequently, to address the needs of a rapidly changing society, the law must reinvent and reform itself in pace with this evolution. In this context, with the development of new technologies and, simultaneously, the rise of electronic commerce, it has become essential to adapt the law to this new social reality. The beginning of the 21st century is notably marked by competition between contracts concluded face-to-face and those entered into through digital means. From oral agreements to paper documents, we are now witnessing the dematerialization of contracts, both in their formation and execution. This revolution has been accompanied by the modernization of payment methods to facilitate the execution of contracts, regardless of their medium. Thus, from traditional paper-based payment instruments with handwritten signatures, such as bills of exchange, promissory notes, or checks, we have moved towards increasingly digitalized payment methods. In fact, to ensure trust among participants in electronic commerce, it has become more necessary than ever to find a solution that guarantees the security of transactions. The primary challenge of dematerialized contractual relationships lies in attributing commitments to their rightful authors. It is common in the banking and financial sectors for clients to dispute the authenticity of a document attributed to them, arguing that it was executed by a third party without their knowledge—commonly known as banking fraud. In the digital sphere, fraudsters are employing increasingly sophisticated techniques to the detriment of consumers and e-commerce actors, often resorting to identity theft to initiate or execute transactions on behalf of unsuspecting victims, with significant financial repercussions. According to the European Central Bank (ECB) and the European Banking Authority (EBA), ''The total value of fraudulent operations (transfers, debits, card payments, cash withdrawals, and electronic money transactions) in the EEA amounted to €4.3 billion in 2022 and €2.0 billion in the first half of 2023. In value, the majority of fraud in payments is related to transfers and card payments, with card payments also representing the bulk of fraud in volume. In the first half of 2023, card fraud involving cards issued within the EEA accounted for 0.031% of the total value and 0.015% of the total number of card payments. Similar fraud rates were observed for electronic money transactions (0.022% in value and 0.012% in volume). Fraud rates are significantly lower for other instruments, especially transfers (0.001% in value and 0.003% in volume).'' Thus, to overcome this obstacle and ensure the integrity of electronic transactions, it is essential, before entering into any online contractual agreement, to authenticate the contracting parties to guarantee that the act can be attributed to the legitimate signatories. It is within this context that our topic emerges, focusing on a critical issue in modern society: “User Authentication in Online Banking and Financial Services.” This analysis aims to demonstrate the importance of electronic authentication, both in forming online contracts and executing electronic payment operations. With the dematerialization of transactions, the concept of authentication has become the “key to the digital realm,” an essential component that legal professionals cannot overlook without risking the improper application of rules governing digital transactions. Our choice of this topic stems from several observations drawn from both research and practice. While working as mediators with the Association Française des Sociétés Financières (ASF) during our master's program, we observed that approximately 50% of cases handled involved banking fraud, illustrating the prevalence of this issue in disputes between users and payment service providers. Motivated by the sensitivity of this issue, we chose to address “The Obligation of Payment Service Providers to Compensate Clients Who Are Victims of Banking Fraud” for our master's thesis. This provided us an opportunity to explore the concept of authentication in the specific context of unauthorized payment fraud. We observed that, although authentication is essential for executing digital transactions, it does not necessarily guarantee authorization for the transaction itself in all cases. Similarly, while conducting research for our doctoral project on electronic contracts, we noted that authentication plays a fundamental role in validating these agreements. Furthermore, to foster trust in electronic commerce, the European Union has adopted several regulations to govern digital transactions. These range from the 1999 directive on electronic signature frameworks to the 2009 and 2015 directives on payment services, as well as the 2000 and 2009 directives on electronic money, the eIDAS Regulation on electronic identification and trust services (July 23, 2014), and the anticipated adoption of a new legislative framework that includes the Payment Services Directive 3 (PSD3) and the first Payment Services Regulation (PSR1). Through these efforts, European legislators are striving to ensure trust in electronic commerce and enhance user protection. This regulatory framework seeks to make digital commerce more attractive while providing consumers with a secure and enriching digital experience. However, this approach reveals a paradox: Encouraging trust in e-commerce; Warning against the associated risk of fraud. For legislators, the best means to combat fraud is to ensure successful electronic authentication of users in digital services. In practice, however, the legal scope of authentication remains ambiguous. Indeed, whether in online contracts or electronic payments, a digital transaction is fully trustworthy only if the authentication process unequivocally links the transaction to the person to whom it is attributed. Yet, practical experience shows that this “digital key” does not fully meet its legal promises, as technology is never entirely foolproof. Therefore, our objective is to demonstrate to readers that, despite the necessity of electronic authentication in both contract formation and payment execution (I), it remains a concept that practitioners struggle to fully grasp. This is particularly relevant given that it is difficult to assert with certainty that electronic authentication guarantees the authenticity of a digital act. In this respect, we note that the probative value of electronic authentication depends on its stage of use in fulfilling an online obligation, meaning that its practical application is not uniform (II). I) Authentication of an Electronic Transaction In this section, we will demonstrate that electronic authentication plays an important role both in the formation of a contract (A) and in the execution of an online payment (B). A) Authentication of an Electronic Contract With the advent of the internet and the development of e-commerce, it has become necessary to establish methods that link information in electronic form to the individuals who issue it, ensuring that such information can be attributed to its legitimate author. Techniques aimed at attributing electronic information to its author are often generically referred to as ''electronic authentication'' or ''electronic signature,'' although some distinctions are occasionally drawn between the two. In fact, the distinction between “authentication” and “signature” stems from the different conceptions held by various countries based on their paper-based legal traditions. For example, in common law countries, “authentication” and “signature” are often used interchangeably, whereas in civil law countries, such as France, these notions are understood distinctly. In France, the original conception of ''authentication'' refers to a procedure performed by a public official, competent in both material and territorial terms, who draws up an act in accordance with required formalities. This process confers legal authenticity to the document in the sense defined by Article 1317 of the French Civil Code. This implies that a document, even if signed, is not considered authenticated unless it involves the intervention of a public officer who validates its authenticity. The unique character of an authentic document lies in the trust placed in the public official's attestation, confirming the identification of the parties and their consent to execute the act. Observations made by the public officer “ex propriis sensibus” (perceived through their own senses) endow the act with probative and enforceable strength. In the digital sector, however, separating “electronic authentication” from “electronic signature” is challenging because both serve the same purpose: attributing the act to its author, thereby providing the same evidentiary weight before courts. This overlap can create inconsistencies in terminology. Expressions traditionally used in law to denote a specific type of act are now applied in the digital realm to describe functionalities that do not fully align with their original legal definitions. For the authentication or signature of an electronic act, parties often rely on an IT expert from the private sector, who lends authenticity to the act by guaranteeing its connection to the signatory: the trusted third party. This entity's mission is to ''provide security and trust in digital communications by ensuring fundamental legal functions such as author identification, message integrity, and non-repudiation.'' Trusted third parties play a key role in promoting the digital economy while helping to mitigate the inherent risks in this sector. Their goal is to offer users a secure and reliable experience in their online commercial interactions. Established in 2001, the Federation of Trusted Third Parties includes several members across five groups: Group 1: Certified or labeled trust service providers and software publishers Group 2: Trust service providers and software publishers Group 3: Experts and user representatives Group 4: Institutional and regulated professionals Group 5: Users of trusted services To be recognized as trusted third parties, service providers must be certified by public authorities. In France, this responsibility lies with the National Cybersecurity Agency (ANSSI). The trusted third party's role is to guarantee the authenticity of the act and the reliability of its content. Thus, the secure signature creation device stemming from electronic authentication must, through appropriate technical means and procedures, ensure that the signature creation data are specific to the act in question and protected by an encryption system preventing any tampering. Additionally, this data must be understandable so that the signatory can know the content of the act before affixing their signature. Beyond the conceptual confusion between “electronic signature” and “electronic authentication” resulting from their transposition from paper to the digital realm, it should be noted that in IT, notions related to electronic act authentication are frequently conflated with authentication itself. Therefore, it is important to distinguish electronic authentication from electronic identification and authorization. While electronic identification addresses the question of who the server user is, authentication answers whether the identifier proves the user is who they claim to be. Authorization, on the other hand, addresses whether the authenticated individual has the right to access the server they have been authenticated for. On Identification Identification is the first step in proving the authenticity of an electronic act. Its purpose is to verify that the person attempting to use an IT server has been previously registered in the system. This is usually done via a unique identifier, such as a username, email address, or phone number, allowing the user to have a unique identifier that distinguishes them from others on the server. On Authentication Authentication follows identification to confirm that the user providing their identifier is recognized by the system and allowed access. This is generally achieved through authentication systems put in place by the entity granting access. On Authorization Authorization is the final phase of the authentication process, determining what the user can access. In our study, access rights may include the ability to connect to the client's personal space, sign a contract from an IT system, etc. The combination of identification, authentication, and authorization establishes the validity of an electronic act. While authentication is required in forming an electronic contract, it is also necessary, with limited exceptions, in executing online payments. B) Authentication of an Electronic Payment The rapid evolution of digital payments has created a need to strengthen the security of electronic payment mechanisms to prevent payment operation misuse and enhance consumer protection. In this context, the European Union legislature has adopted several directives to regulate electronic payments within the internal market. A series of directives was thus adopted to regulate the execution of electronic payments. An analysis of these directives reveals that the European legislature places significant importance on online payment authentication. Over time, payment authentication has strengthened with the evolution of these directives. Authentication has shifted from single-factor to strong authentication, where the user must provide information confirming their identity. Authentication methods typically fall into three categories: what one knows (a password), what one is (biometric solutions), and what one possesses (a mobile phone). On Knowledge Factor (What I Know) The knowledge factor involves an authentication method where the user provides information they remember to authenticate themselves in a system. The most common example is a password. According to ANSSI, a password is “a secret that must be remembered by a user, regardless of the form of this secret (password, passphrase, or PIN code).” ANSSI classifies passwords based on their use and associated risks. Three types of passwords are: Passwords that users must memorize, such as a Windows session password. Passwords that do not need to be memorized, like those stored in a password manager and retrieved automatically. Personal identification numbers (PIN) offering a certain level of security, particularly through the limitation of allowed attempts. On Possession Factor (What I Own) The possession factor refers to an authentication factor where the legitimate user holds a physical object “that stores secrets that are not humanly memorable (and not intended to be memorized).” For instance, a mobile phone may be used in online payments to receive encrypted information required for transaction validation. On Inherence Factor (What I Am) The inherence factor allows for authentication based on the user's biometric data, such as DNA, blood, fingerprints, iris shape, face shape, voice, etc. Biometric authentication enables users to authenticate themselves without recalling a password or risking the loss of a physical authentication object, as is possible with possession-based authentication. These factors are used to facilitate the execution of online payment transactions. The robustness of an authentication operation depends on the number of factors used. Thus, authentication methods can be classified into three categories: simple authentication, strong authentication, and multi-factor authentication. On Simple Authentication Simple authentication is a method that relies on a single factor to verify a user's identity, which may be knowledge, possession, or inherence. The most common simple authentication method is using a password. However, due to its low security, the French Data Protection Authority (CNIL) recommends multi-factor authentication for online transactions. On Multi-Factor Authentication Multi-factor authentication uses multiple authentication factors, such as knowledge, possession, or inherence. The factors must differ to ensure that the compromise of one does not affect the others. On Strong Authentication Strong authentication combines two different authentication factors, such as knowledge and possession or possession and inherence. This mode of authentication has been mandatory for online payments in France since the transposition of the second Payment Services Directive (PSD2). However, multi-factor authentication and strong authentication are often confused, though they are not synonymous. For instance, an authentication based on a single factor may sometimes be deemed strong, while an authentication using two different factors does not necessarily ensure strong authentication. In summary, authentication holds a prominent place in the digital sector, particularly in e-commerce, despite some practical confusion. Since the purpose of authentication is to attribute the act to the legitimate contracting party, establishing it should help prevent disputes. In such cases, the burden of proof falls on the party invoking the act to demonstrate the validity of the engagement of the opposing party: electronic written proof. While electronic written proof is as valid as a handwritten signature in attesting to an act's authenticity, in electronic payments, proof of authentication alone does not relieve the service provider from the obligation to reimburse a client victim of fraud. Therefore, the reliability of electronic evidence varies depending on whether it is used to support a contract's authenticity or authorize an online payment. II) The Evidentiary Value of Electronic Authentication Relative to the Invoked Act In this section, we will emphasize the evidentiary strength of authentication in electronic transactions. Specifically, we will observe that electronic authentication carries more legal weight in the formation of electronic contracts (A) than it does in the authorization of online payment transactions (B). A) The Strengthened Evidentiary Value of Electronic Authentication in Contract Formation The authenticity of consent expressed online has become a complex issue that attracts interest from both legal experts and IT professionals. These two fields, often in a sometimes challenging collaboration, are now tasked with ensuring the security of electronic transactions. The IT specialist is responsible for designing a reliable authentication system that can foster consumer trust, while the legal expert must establish the evidentiary value of electronic documents. In this context, the French legislature, by transposing the European directive on electronic signatures in 2000, proclaimed the equivalency between electronic documents and paper documents, provided certain conditions are met. The title of the law dated March 13, 2000, was revealing: “Adaptation of Proof Law to Information Technology and Electronic Signatures.” The goal was to ensure that electronic evidence could be considered in disputes related to digital transactions. Article 1365 of the French Civil Code stipulates: “A document consists of a sequence of letters, characters, numbers, or any other intelligible signs or symbols, regardless of their medium.” This implies that the electronic medium does not deprive an electronic document of recognition as a formal piece of evidence. To dispel the doubts of the most skeptical, the legislature specified in Article 1366 of the Civil Code that “An electronic document has the same evidentiary value as a paper document, provided that the identity of the author can be duly established and that it is created and stored under conditions that ensure its integrity.” This article thus confirms the recognition of electronic documents as formal evidence equivalent to paper. Additionally, the signer of an electronic document is presumed to have consented to the obligations arising from the document they signed. It is important to note that the evidentiary weight of an electronic signature depends on its level of reliability, as there are three types of electronic signatures: simple, advanced, and qualified. While all electronic signatures hold legal value, only the qualified electronic signature enjoys a legal presumption of reliability. This presumption is crucial in resolving disputes involving the challenge of an electronic document. Once a qualified signature is used, the burden of proof shifts to the challenger, who must demonstrate that they are not the author—meaning they must show they did not place their signature on the document. This reversal of the burden of proof strengthens the position of the party relying on the signed document, as they do not need to prove the authenticity of the signature, which benefits from public trust due to the rigorous process involved in a qualified signature. However, with simple or advanced electronic signatures, the person relying on the document must prove that the electronic signature on the document genuinely belongs to the person it is attributed to. This has led some experts to question whether a qualified electronic signature might be superior to a paper signature because of this burden of proof shift. However, some authors argue that electronic documents cannot serve as evidence on the same level as paper documents, claiming that the principle of technological neutrality is a “declarative fiction,” aimed at treating as true a statement whose truth is not necessarily self-evident. They suggest this fictional declaration reflects the European legislature's priority of fostering the internal market, sometimes at the expense of consumer protection. Similarly, other authors question the extent to which scientific truths can serve as the foundation for judicial truths. In their view, scientific truth should neither replace the judge nor the investigator, meaning that electronic authentication should not be considered irrefutable evidence. They conclude that judicial evidence and digital evidence belong to two distinct realms that cannot be fully reconciled. Thus, the role of the judge is to “accept or refuse to transform a scientific and technical probability into a legal fact that generates rights.” Jean-Didier Graton, a computer science expert, echoes this view, noting that electronic signatures are not entirely foolproof, as the ease with which attackers can “break” encryption keys demonstrates. This suggests that, while the formal equivalency between paper evidence and electronic evidence is legally established, actual equivalency remains susceptible to technical weaknesses. Furthermore, although the distinction among different types of electronic signatures is significant, judges frequently misinterpret electronic documents submitted to them, sometimes applying the reasoning relevant to qualified electronic signatures to simple or advanced ones. This indicates that the reliability presumption specific to qualified electronic signatures is not always fully understood by judges. Indeed, judges' assessments of electronic signatures can be too cursory to clarify the source of a document's reliability. Often, judges rely on the proof file or the beginning of contract execution to infer its validity, even though not all proof files are necessarily reliable, nor does every beginning of execution guarantee the acknowledgment of the document by the person it is presented against. In cases challenging electronic documents, the judge's role should be to determine the type of signature to deduce the applicable legal regime. If, after analysis, judges find that the disputed electronic document does not meet the conditions set by Articles 1366 and 1367 of the Civil Code, they must then verify the reliability of the document per Article 287 of the Code of Civil Procedure. However, if the electronic document complies with Articles 1366 and 1367, the judge will apply the reliability presumption, meaning the burden of proving a lack of authenticity falls to the challenger. Notably, Éric A. Caprioli observes that as of now, it is not possible in France to produce a qualified electronic signature that meets the requirements of Decree No. 2017-1416 of September 28, 2017. In addition, regarding electronic documents, especially emails, there is no established case law on this subject. Some judges refuse to acknowledge a contractual obligation solely based on email exchanges, even when these exchanges demonstrate a meeting of the parties' minds. Others accept that a contract can be validly formed through an exchange of emails, even where written form is required for validity. Despite the practical difficulties in implementing the evidentiary weight of electronic documents, an electronic document can alone substantiate the existence of a contract, which is not the case for electronic payments. B) The Weakened Evidentiary Value of Electronic Authentication in Online Payment In a ruling dated January 18, 2017, the High Court reiterated that strong authentication of a payment transaction alone is insufficient to hold the account holder liable for financial losses due to fraud. In this decision, the Court clarified that the payment service provider cannot pass financial losses resulting from fraud onto the payer solely based on the use of the security mechanism tied to their payment instrument in the contested transaction. This case law implies that an authenticated payment transaction does not automatically equate to an authorized transaction. Consequently, the Court of Cassation dismisses any possibility for the payment service provider to rely solely on the security system's reliability and efficiency as grounds for refusing reimbursement. Even if the strong authentication process for the payment transaction was free from technical deficiency or hacking, the Court of Cassation would not deduce the payment instrument holder's gross negligence as a reason to deny reimbursement. Therefore, it is clear that the reliability level of the security system required for strong authentication of online payment operations serves more as a tool to combat online fraud than as a means for payment service providers to unilaterally justify the payment instrument holder's liability. Conclusion The considerations outlined above demonstrate not only that the concepts of electronic authentication and electronic signatures, authorization, and identification lack a uniform understanding, but also that the evidentiary strength associated with them varies depending on the phase of the contract. With the recognition of electronic writing as equivalent to paper writing, the notion of authentication in law assumes two definitions with different legal consequences: electronic authentication and authentication by a public officer. Unlike signatures on paper, the evidentiary force of an electronic signature depends on the creation process, which can range from a simple signature to a qualified signature, complicating the legal reasoning for practitioners, including judges. Similarly, although recognized as literal proof, the authentication of a payment transaction does not guarantee its authorization by the payer. As Éric A. Caprioli notes, the conclusion of electronic contracts and the execution of online payments have become commonplace in the banking and financial sectors. Furthermore, since online transactions are never immune to the risk of fraud, it is common for consumers to dispute commitments made online. Consequently, with the emergence of alternative dispute resolution methods, the Mediator has become one of the primary recipients of disputes related to electronic transactions. To resolve these disputes, the Mediator must be well-informed about the applicable legislation to ensure a fair application of legal texts, which requires rigorous legal monitoring. However, the key issue in contesting electronic transactions is the authentication of the banking and financial service user, often referred to as the consumer. Nonetheless, it is evident that the texts governing electronic authentication, both regarding unauthorized payments and contract subscriptions, are marked by continuous evolution, revealing the instability of the applicable legal rules. It is against this backdrop that we proposed to the French Association of Financial Companies to support our thesis, following an enriching experience within their organization during our master's program. We believe that a CIFRE thesis represents the best means of acquiring significant professional experience while pursuing our academic development, which is why we have chosen a research topic at the heart of the Mediator's activities. Thus, in addition to the contributions this research may provide to the Mediator in terms of legal compliance and anticipating developments in case law, the French Association of Financial Companies could, based on the results of this research, recommend to its members to update their authentication systems to facilitate the Mediator's work. From an academic standpoint, this doctoral thesis aims to enable a clear understanding of the legal meaning of the technical concepts employed in securing electronic transactions. Furthermore, after highlighting that the notion of electronic authentication possesses an evidentiary strength that varies depending on the phase of the contract, we will propose measures to harmonize the application of electronic authentication under current law. Additionally, given that verifying the sincerity of electronic transactions, particularly regarding the validity of contracts, poses a challenge for judges, we will doctrinally propose methods to facilitate the analysis of their reliability. Thus, we will establish a framework that serves as a reference for stakeholders to determine the evidentiary force corresponding to the electronic authentication that would have facilitated the establishment of the contested act. Moreover, we will ensure regular publications to raise awareness among stakeholders about the risks arising from the lack of strong authentication and the necessity for users to safeguard their security data in order to prevent, at worst, minimize the risks of fraud.