Code de sécurité carte bancaire : où le trouver et comment le protéger

Un formulaire de paiement vous réclame un « code de sécurité » et vous hésitez ? Retournez votre carte : les trois chiffres situés près de la zone de signature sont ceux que le site attend. Ce petit nombre joue pourtant un rôle plus important qu’il n’y paraît, puisqu’il prouve au commerçant que vous détenez bien la carte physique. C’est aussi l’une des données les plus recherchées par les fraudeurs. Ce guide, à jour en 2026, détaille où le lire selon le type de carte, ce qu’il protège vraiment, les cas où il n’est pas imprimé et les erreurs qui ouvrent la porte à la fraude, sur une carte personnelle comme sur une carte professionnelle confiée à des collaborateurs.

Où trouver le code de sécurité d’une carte bancaire selon le réseau

Sur la grande majorité des cartes émises en France, la recherche prend quelques secondes. La méthode est la même pour une carte de débit ou de crédit :

1. Retournez la carte pour afficher le verso.
2. Repérez la bande blanche ou grise prévue pour la signature, ou à défaut la zone placée sous la bande magnétique noire.
3. Lisez le groupe de 3 chiffres imprimé à droite de cette bande, parfois isolé dans un petit cadre blanc.
4. Si une suite plus longue apparaît, ne gardez que les 3 derniers chiffres : sur certains modèles anciens, les premiers reprennent simplement la fin du numéro de carte.

Le nom donné au code et son emplacement varient légèrement d’un réseau à l’autre. Le tableau ci-dessous résume les cas que l’on rencontre le plus souvent sur le marché français.

Attention aux cartes de nouvelle génération. Les modèles au format vertical ou au design épuré regroupent souvent le numéro, la date d’expiration et le cryptogramme sur une seule face, généralement le verso, pour laisser le recto vierge. Si vous ne voyez rien à l’endroit habituel, examinez l’ensemble de la carte avant de conclure qu’il manque.

Cryptogramme visuel, CVV, CVC : un seul code de sécurité sous plusieurs noms

Chaque réseau a imposé son propre sigle, ce qui sème la confusion lors d’un achat sur un site étranger. Un formulaire anglophone parlera de « CVV », « CVC » ou « security code », une banque française de « cryptogramme visuel », un hôtel de « CSC ». Dans tous les cas, il s’agit du même champ à remplir avec les chiffres du dos de la carte.

Le « 2 » qui suit parfois le sigle a une signification précise. Le CVV1 est une valeur enregistrée dans la puce et la piste magnétique, utilisée lors d’un paiement en magasin, que vous ne voyez jamais. Le CVV2, lui, est imprimé pour les transactions sans présence de la carte : internet, téléphone, courrier.

Ce code n’est pas tiré au hasard. L’émetteur le calcule avec un algorithme cryptographique qui combine le numéro de carte, la date d’expiration et une clé secrète conservée par la banque. Deux conséquences pratiques en découlent : impossible de le deviner à partir du seul numéro, et une carte renouvelée porte presque toujours un nouveau cryptogramme, puisque la date d’expiration change.

Carte bancaire, code de sécurité et paiement en ligne : ce que le cryptogramme protège vraiment

Le cryptogramme sert à vérifier que la personne qui paie à distance a vu la carte. Un fraudeur qui aurait récupéré un numéro dans une base de données piratée, sans le code, voit en principe sa transaction refusée. C’est pour cette raison que les règles du secteur, la norme PCI DSS en tête, interdisent aux commerçants et prestataires de paiement de conserver le cryptogramme après l’autorisation de la transaction, même chiffré.

Cette protection a toutefois une limite évidente : quiconque photographie le verso de votre carte dispose de tout le nécessaire. C’est ce qui explique l’arrivée de l’authentification forte imposée par la directive européenne DSP2. Lors d’un achat en ligne, la banque demande désormais le plus souvent une validation supplémentaire dans son application ou par un code à usage unique, via le protocole 3-D Secure. Certaines opérations peuvent en être dispensées, comme les petits montants, les abonnements déjà validés ou certains marchands jugés peu risqués, d’où l’intérêt de surveiller régulièrement ses relevés.

En pratique, numéro, date et cryptogramme forment un trio à garder pour soi. Si vous vous demandez dans quelles situations le partage de ces données reste acceptable, notre analyse Est-il dangereux de donner son numéro de carte bancaire passe en revue les risques concrets et les précautions à prendre avant de communiquer quoi que ce soit.

Carte virtuelle, cryptogramme dynamique, carte sans numéro : les cas particuliers

Toutes les cartes n’affichent plus un code fixe imprimé à l’encre. Plusieurs situations méritent d’être connues :

• La carte virtuelle. Proposée par de nombreuses banques et néobanques, elle génère un numéro, une date et un cryptogramme consultables uniquement dans l’application, après connexion sécurisée. Certaines sont à usage unique, d’autres permanentes avec un plafond paramétrable.
• Le cryptogramme dynamique. Un petit écran au dos de la carte affiche un code qui se renouvelle automatiquement à intervalles réguliers, souvent de l’ordre d’une heure selon les établissements. Un code volé devient vite inutilisable.
• La carte sans numéro imprimé. Plusieurs acteurs ont supprimé toute donnée visible sur le plastique. Le code de sécurité se lit alors dans l’espace client mobile.
• Le cryptogramme effacé ou illisible. L’usure efface parfois les chiffres. Seule la banque peut fournir une carte de remplacement : aucun service client légitime ne vous communiquera le code par téléphone ou par courriel.

Les cartes destinées aux mineurs constituent un cas à part, car certaines limitent ou bloquent les paiements en ligne par défaut. Si vous êtes parent et que la question se pose, l’article Mon enfant a une carte bancaire explique comment régler plafonds et options pour éviter les mauvaises surprises.

Les arnaques qui visent le cryptogramme visuel en 2026

Les escrocs ont bien compris que le code imprimé au dos de la carte ouvre la voie aux achats frauduleux. Leurs méthodes se sont professionnalisées et jouent sur l’urgence ou la confiance.

Le hameçonnage reste la porte d’entrée la plus fréquente : faux SMS de livraison bloquée, faux remboursement d’impôts, fausse amende de stationnement. Le lien mène vers une page imitant un site officiel qui réclame numéro, date et cryptogramme pour « régler les frais ». Viennent ensuite les appels du prétendu conseiller bancaire, dont le numéro affiché a été usurpé, qui demande de « confirmer » les données de la carte pour bloquer une opération suspecte.

D’autres scénarios vont jusqu’à récupérer la carte elle-même. Un faux agent annonce qu’un livreur viendra chercher la carte compromise pour la détruire. Ce mode opératoire est détaillé dans notre dossier Arnaque faux coursiers carte bancaire, avec les signaux qui doivent alerter. Les fraudeurs savent aussi détourner les paiements vers le virement : un RIB modifié dans une facture ou un courriel de fournisseur suffit, comme le montre notre guide sur le Faux compte bancaire et la vérification des coordonnées avant de payer.

Côté entreprises, la menace prend une forme plus technique. Les attaques de type Magecart injectent un script malveillant dans la page de commande d’un site marchand pour copier les données de carte au moment de la saisie, cryptogramme compris. Les parades passent par des champs de paiement hébergés par le prestataire (iframe), une politique de sécurité du contenu stricte, la surveillance de l’intégrité des scripts et une authentification multifacteur robuste sur les comptes d’administration. Sur ce dernier point, notre fiche consacrée à la pingid clé de couplage montre comment sécuriser l’accès des collaborateurs aux outils sensibles.

Erreurs fréquentes avec le code CVV et réflexes de sécurité

La plupart des fraudes ne viennent pas d’un piratage sophistiqué mais d’un geste anodin. Voici les erreurs que l’on observe le plus souvent, et la bonne pratique correspondante :

• Envoyer une photo recto verso de sa carte par messagerie, à un proche ou à un « service client ». Une capture suffit à vider un plafond de paiement.
• Noter le cryptogramme dans son téléphone, dans une application de notes ou un fichier non chiffré. Un gestionnaire de mots de passe protégé reste la seule option raisonnable si vous tenez à le stocker.
• Saisir le code sur une page atteinte via un lien reçu par SMS. Tapez vous-même l’adresse du site ou passez par l’application officielle.
• Communiquer le code par téléphone à quelqu’un qui se dit de votre banque. Un établissement bancaire ne demande jamais ni le cryptogramme, ni le code PIN, ni la validation d’une opération que vous n’avez pas initiée.
• Confondre cryptogramme et code PIN. Le PIN à 4 chiffres sert au distributeur et au terminal en magasin. Il ne doit jamais être saisi sur un site internet.

Certains particuliers mémorisent leur cryptogramme puis le masquent avec un autocollant opaque. L’idée peut limiter le risque en cas de vol ou de photo indiscrète, à condition de ne pas abîmer la carte. La solution la plus efficace reste néanmoins la carte virtuelle pour les achats sur des sites peu connus.

Pour les entreprises, les cartes affaires partagées entre plusieurs salariés posent un problème spécifique : le cryptogramme circule par courriel ou reste affiché sur un post-it près du poste comptable. Mieux vaut attribuer des cartes virtuelles par fournisseur ou par collaborateur, avec des plafonds adaptés, afin de tracer chaque dépense et de révoquer un accès sans bloquer toute la société.

Code de sécurité divulgué : les démarches à mener sans attendre

Si vous avez saisi votre cryptogramme sur un site douteux ou l’avez communiqué à un interlocuteur suspect, la rapidité limite les dégâts. Voici l’ordre conseillé :

1. Faire opposition immédiatement, depuis l’application de votre banque ou via le serveur interbancaire d’opposition (0 892 705 705), joignable à toute heure.
2. Examiner les dernières opérations sur votre relevé et noter celles que vous ne reconnaissez pas.
3. Contester les paiements non autorisés auprès de votre banque. Le Code monétaire et financier prévoit en principe un délai de 13 mois après le débit pour une opération non autorisée. Le remboursement intervient en général rapidement, sauf si la banque démontre une fraude ou une négligence grave de votre part : chaque situation s’apprécie au cas par cas.
4. Signaler la fraude sur la plateforme publique Perceval, dédiée aux usages frauduleux de cartes bancaires, et déposer plainte si nécessaire.
5. Activer la nouvelle carte dès réception : elle porte un nouveau numéro et un nouveau cryptogramme, ce qui rend les anciennes données inutilisables.

En cas de doute sur vos droits ou sur un refus de remboursement, rapprochez-vous du service réclamations de votre banque, puis du médiateur bancaire si le désaccord persiste.