Aller au contenu principal
Quelle Trésorerie

Pourquoi votre connexion bancaire demande une revalidation

Pour qui : Votre logiciel affiche une connexion à revalider, ou des opérations manquent. Vous voulez savoir si c’est normal et qui doit agir.

C’est normal si le logiciel demande une revalidation. Si des opérations manquent sans cette demande, la cause peut être autre : voyez notre page sur les connexions cassées.

Depuis le 25 juillet 2023, l’article 10 bis du règlement délégué 2018/389 impose à la banque de redemander une authentification forte quand plus de 180 jours se sont écoulés depuis la dernière. Cette règle vise l’accès à vos comptes par un agrégateur, le prestataire qui lit vos comptes pour votre logiciel. L’authentification forte est la double preuve que vous donnez à votre banque, par exemple un code et une validation sur téléphone. C’est cette nouvelle demande que nous appelons revalidation.

Le risque se situe ailleurs. Si personne ne revalide, le logiciel peut continuer à afficher un solde ancien et vos prévisions partent d’un faux point de départ.

Désignez donc un titulaire et un suppléant, puis posez un rappel avant l’échéance.

Notre avis

La revalidation, cette nouvelle authentification forte demandée à la banque après 180 jours, est une règle : prévoyez-la. Désignez pour chaque banque un titulaire et un suppléant, posez un rappel à 150 jours, et contrôlez chaque semaine la date de la dernière opération reçue.

Pourquoi

  • La banque doit réappliquer l’authentification forte quand plus de 180 jours se sont écoulés.
  • Elle peut aussi la demander plus tôt pour des raisons motivées de fraude, donc le calendrier ne protège pas de tout.
  • Cette revalidation passe par une personne : son absence peut couper vos données.

Ce qui change le choix

Plusieurs banques, personne de disponible pour revalider, ou une coupure qui a déjà faussé une décision.

L’ordre à suivre

  1. Noter pour chaque banque la date de la dernière authentification
  2. Désigner un titulaire et un suppléant munis de leur propre accès bancaire
  3. Poser un rappel à 150 jours
  4. Passer en EBICS si la revalidation devient une charge

La règle exacte

Le langage courant parle de consentement à renouveler. Le texte parle d’authentification forte. La nuance compte. Notre lecture est que votre consentement ne tombe pas forcément au 180e jour : c’est la dispense d’authentification qui prend fin. Le contrat de votre logiciel peut prévoir autre chose.

Article 10 bis du règlement délégué 2018/389
SituationAuthentification forteParagraphe
Accès limité au solde ou aux opérations des 90 derniers joursNon appliquée1
Premier accès par cet agrégateurAppliquée2, a
Plus de 180 jours depuis la dernière authentificationAppliquée2, b
Raisons motivées et documentées de fraude ou d’accès non autoriséPermise à tout moment3
Banque en bascule sur la solution de secours de son interface, sous conditionsLa banque peut ne pas appliquer la dispense4

Un calendrier à poser

Si vous authentifiez une connexion le 5 novembre 2026, le 180e jour tombe le 4 mai 2027. Un rappel à 150 jours sonne le 4 avril 2027 : il laisse un mois pour joindre le titulaire. Ce délai de 150 jours est notre méthode, aucun texte ne le fixe.

Comme chaque connexion a sa date, tenez un tableau par banque : date de la dernière authentification, titulaire, suppléant, date du rappel. Une personne qui quitte l’entreprise avec son accès bancaire laisse la connexion sans relais : retirez-la du tableau le jour de son départ.

Demandez à l’éditeur si le suppléant peut revalider avec son propre accès, ou s’il faut recréer la connexion, et ce que devient alors l’historique.

Si cette charge pèse, EBICS, un échange de fichiers sous contrat avec votre banque, évite cette échéance selon l’éditeur Okimia. Confirmez-le avec la banque, et voyez notre page sur ce choix.

Vérifier sans attendre une alerte

Regardez chaque lundi la date de la dernière opération reçue. Le seuil de deux jours ouvrés et les questions à poser à l’éditeur figurent sur notre page consacrée aux connexions cassées.

Ce qui peut encore changer

Le futur règlement européen sur les services de paiement prévoit un tableau de bord de gestion des consentements chez la banque (article 44 de la position du Conseil). Il n’est pas applicable au 5 novembre 2026. Dans la position du Conseil, l’article 93 garde une échéance de 180 jours, mais la confie à l’agrégateur : la banque n’authentifierait plus qu’au premier accès, sauf soupçon de fraude. Ce texte peut encore changer : gardez votre calendrier.

Limites de cette page

Nous n’avons observé la revalidation dans aucun logiciel. Les pratiques réelles varient selon la banque et l’agrégateur : testez une revalidation pendant l’essai et chronométrez qui doit intervenir.

Prochaine action

Aujourd’hui, ouvrez la liste de vos connexions et notez la date de dernière authentification de chacune. Attribuez un titulaire et un suppléant, puis posez le rappel à 150 jours. Sur un accès EBICS, l’article 10 bis ne joue pas, car il vise l’accès par agrégateur : c’est notre déduction, et l’éditeur Okimia annonce aussi l’absence de revalidation à 180 jours. Confirmez-le avec votre banque. En EBICS TS, suivez l’échéance des certificats de signature.

Preuves et sources

Lu le 5 novembre 2026 : règlement délégué 2018/389 consolidé, règlement délégué 2022/2360, aide en ligne d’Okimia, position du Conseil sur le futur règlement.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 10 bis du règlement délégué 2018/389, inséré par le règlement 2022/2360 et applicable depuis le 25 juillet 2023, écarte l’authentification forte pour un accès limité au solde ou aux opérations des 90 derniers jours, mais l’impose au premier accès et quand plus de 180 jours se sont écoulés.

    Portée : Comptes de paiement lus via un agrégateur

    Réserve : Autres dérogations à l’article 10 pour l’accès direct.

  • Fait lu. Le paragraphe 3 du même article autorise la banque à appliquer l’authentification forte pour des raisons objectivement motivées et documentées liées à un accès non autorisé ou frauduleux, et le paragraphe 4 prévoit un cas lié au mécanisme d’urgence.

    Portée : Article 10 bis

    Réserve : Le mécanisme d’urgence suppose des conditions détaillées au texte.

  • Notre calcul ou déduction. Pour une authentification le 5 novembre 2026, le 180e jour tombe le 4 mai 2027 et un rappel à 150 jours le 4 avril 2027.

    Portée : Calcul calendaire

    Réserve : Le décompte part de la dernière authentification réelle.

    Daté du 5 novembre 2026.

  • Notre méthode. Le rappel à 150 jours et le partage entre titulaire et suppléant constituent une méthode de la rédaction.

    Portée : PME

    Réserve : Aucun texte ne fixe ce délai.

    Daté du 5 novembre 2026.

  • Déclaration de l’éditeur. L’éditeur Okimia annonce qu’une connexion EBICS ne demande « aucun renouvellement de consentement tous les 180 jours », soit aucune revalidation à cette échéance.

    Portée : Okimia, article du 3 août 2026

    Réserve : Déclaration d’éditeur, à confirmer avec la banque.

  • Fait lu. La position du Conseil sur le règlement services de paiement prévoit un tableau de bord de gestion des consentements à l’article 44 ; son article 93, 3 limite l’authentification forte de la banque au premier accès d’un agrégateur, sauf soupçon de fraude, et son article 93, 4 charge l’agrégateur de l’appliquer au moins 180 jours après la dernière. Ce texte n’est pas applicable au 5 novembre 2026.

    Portée : Texte en cours d’adoption

    Réserve : Texte non adopté définitivement : il peut encore changer.

  • Notre avis. Le risque principal d’une revalidation oubliée est une prévision qui part d’un solde ancien.

    Portée : Outils connectés

    Réserve : Avis de la rédaction ; le comportement d’affichage dépend de chaque outil.

    Daté du 5 novembre 2026.

  • Notre calcul ou déduction. Le consentement ne tombe pas forcément au 180e jour : l’article 10 bis parle d’authentification forte et met fin à une dispense.

    Portée : Lecture de la rédaction

    Réserve : Le contrat du logiciel peut prévoir autre chose.

  • Notre calcul ou déduction. L’article 10 bis ne joue pas sur un accès EBICS, car il vise l’accès par un agrégateur.

    Portée : Déduction de la rédaction, rejointe par l’annonce d’Okimia

    Réserve : À confirmer avec la banque.

  • Déclaration de l’éditeur. L’aide d’Okimia présente EBICS TS avec un certificat personnel de signature, par exemple 3SKey, et EBICS T sans clé USB ni certificat personnel.

    Portée : Okimia

    Réserve : Déclaration d’éditeur.