Visa prépare l’après-OTP : cinq banques publiques indiennes passent au Payment Passkey

Visa et le spécialiste des infrastructures de paiement In-Solutions Global (ISG) ont annoncé l’intégration de Visa Payment Passkey à leur plateforme commune. Cinq banques publiques indiennes participent au déploiement : Union Bank of India, Central Bank of India, Bank of Maharashtra, Indian Overseas Bank et Indian Bank.

À la place d’un OTP envoyé par SMS, le titulaire d’une carte peut confirmer certaines transactions en ligne ou dans une application à l’aide du mécanisme déjà utilisé pour déverrouiller son téléphone : empreinte digitale, reconnaissance faciale ou PIN.

La différence paraît minime pour l’utilisateur. Techniquement, elle est considérable.

À retenir:

• Visa et ISG intègrent Payment Passkey à une infrastructure desservant cinq banques publiques indiennes.
• Le système permet de remplacer le code OTP par une authentification basée sur le téléphone de l’utilisateur.
• Les passkeys reposent sur les standards FIDO et la cryptographie à clé publique.
• Elles sont conçues pour résister au phishing, contrairement aux OTP qui peuvent être volés ou transmis à un faux site.
• Le déploiement exact banque par banque reste à préciser : ISG parle de capacités déjà actives ou dont la livraison est confirmée.

Cinq banques publiques rejoignent l’écosystème Payment Passkey

L’annonce concerne Union Bank of India, Central Bank of India, Bank of Maharashtra, Indian Overseas Bank et Indian Bank, cinq établissements classés comme banques du secteur public par le gouvernement indien.

Visa et ISG expliquent avoir intégré Payment Passkey directement aux infrastructures d’émission et d’acquisition de paiements d’ISG.

C’est un point important.

Au lieu de reconstruire séparément le système d’authentification de chaque banque, la technologie peut être proposée à travers une plateforme de paiement déjà utilisée par plusieurs établissements.

La communication publiée autour du lancement demande cependant une nuance : les entreprises indiquent que les fonctionnalités présentées sont déjà opérationnelles ou en cours de livraison confirmée et promettent davantage de détails sur le calendrier de déploiement. Il serait donc prématuré d’affirmer que chaque client des cinq banques peut déjà utiliser une passkey pour tous ses achats.

Visa avait déjà lancé Payment Passkey en Inde en juillet 2026 avec IDFC FIRST Bank, accompagnée de plusieurs marchands et partenaires fintech.

La nouveauté est donc surtout l’extension de cette technologie vers plusieurs grandes banques publiques via l’infrastructure d’ISG.

Pourquoi Visa veut s’éloigner des codes OTP

Un OTP améliore la sécurité par rapport à un simple mot de passe, mais il conserve une faiblesse fondamentale : le code peut être communiqué à quelqu’un d’autre.

Un faux site bancaire peut par exemple demander à sa victime de saisir son OTP, puis transmettre immédiatement ce code au véritable service.

Les attaques par ingénierie sociale peuvent également pousser un utilisateur à communiquer volontairement le code à un fraudeur.

Une passkey fonctionne différemment.

La FIDO Alliance explique que cette technologie s’appuie sur une paire de clés cryptographiques. La clé privée reste protégée sur l’appareil de l’utilisateur, tandis que le service dispose de la clé publique permettant de vérifier l’authentification.

Il n’existe donc plus de code à six chiffres que l’utilisateur peut accidentellement donner à un escroc.

Pourquoi c’est important : un faux site peut copier l’apparence d’une banque. Il lui est beaucoup plus difficile de détourner une authentification cryptographiquement liée au service légitime.

Empreinte digitale et Face ID : que reçoit réellement Visa ?

L’utilisation d’une empreinte ou de la reconnaissance faciale peut donner l’impression que Visa ou la banque reçoit les données biométriques du client.

Ce n’est pas ainsi que fonctionnent les passkeys FIDO.

La vérification biométrique est normalement réalisée localement sur l’appareil. La FIDO Alliance précise que les données biométriques ne sont pas envoyées au service distant ; celui-ci reçoit la preuve que l’utilisateur a réussi la vérification nécessaire pour utiliser sa passkey.

Visa indique de son côté que Payment Passkey peut exploiter les mécanismes natifs de déverrouillage du téléphone, notamment l’empreinte digitale, la reconnaissance faciale, le PIN, le mot de passe ou le schéma de verrouillage.

Pour l’utilisateur, l’expérience devient donc proche de celle d’un paiement dans une application mobile moderne : validation sur le téléphone, puis poursuite immédiate de l’achat.

Les OTP ne vont pourtant pas disparaître demain

Il faut également éviter une conclusion trop rapide : Visa Payment Passkey ne signifie pas la disparition immédiate des SMS OTP en Inde.

La Reserve Bank of India a fait évoluer ses règles pour permettre aux banques d’utiliser différents mécanismes d’authentification. Ses directives de 2025 imposent généralement deux facteurs pour les paiements numériques concernés, tout en laissant aux émetteurs une certaine liberté dans le choix de ces facteurs.

La banque centrale précise surtout que son nouveau cadre ne demande pas l’abandon du SMS OTP. Il ouvre plutôt la porte à des alternatives technologiques.

C’est une distinction essentielle.

Une banque peut proposer des passkeys tout en conservant l’OTP comme solution de secours.

Et cela a une conséquence en matière de sécurité : la FIDO Alliance rappelle qu’un système n’obtient une protection complète contre le phishing que si les méthodes alternatives vulnérables au phishing ne permettent pas de contourner la passkey.

Autrement dit, Payment Passkey réduit fortement la surface d’attaque liée aux OTP lorsqu’il remplace réellement leur utilisation, mais il ne supprime pas automatiquement toutes les méthodes de fraude autour d’un compte bancaire.

Un changement qui prépare aussi les paiements par IA

Visa et ISG associent également cette évolution à l’émergence du commerce agentique, où des assistants basés sur l’intelligence artificielle pourraient rechercher un produit, comparer les offres puis participer au processus d’achat.

Lors du Global Fintech Fest 2026, Visa a présenté des expériences de commerce agentique avec plusieurs banques et sociétés de paiement indiennes, en s’appuyant notamment sur la tokenisation et Payment Passkey pour sécuriser l’authentification.

L’enjeu devient évident : demander systématiquement à un humain de recopier un SMS s’intègre mal dans un parcours où certains processus peuvent être automatisés.

Les passkeys offrent une infrastructure cryptographique beaucoup plus adaptée à cette évolution, à condition de maintenir un contrôle clair de l’utilisateur sur les paiements autorisés.

Pour suivre les nouveautés liées à la cybersécurité, à l’IA et aux nouvelles technologies, retrouvez également les analyses de Tech Explorateur.

Le déploiement indien est donc intéressant au-delà de Visa. Il illustre une transition plus large : après avoir progressivement remplacé les mots de passe sur les comptes en ligne, les passkeys commencent maintenant à s’attaquer à l’un des derniers bastions du code à usage unique — le paiement bancaire.

FAQ:

Qu’est-ce que Visa Payment Passkey ?

Visa Payment Passkey est un système d’authentification basé sur les standards FIDO permettant de confirmer un paiement avec le mécanisme de sécurité du téléphone, comme une empreinte digitale, la reconnaissance faciale ou un PIN.

Quelles banques indiennes participent au nouveau déploiement ?

Les établissements cités sont Union Bank of India, Central Bank of India, Bank of Maharashtra, Indian Overseas Bank et Indian Bank. Le calendrier précis d’ouverture à l’ensemble des clients n’a pas encore été détaillé.

Les passkeys sont-elles plus sûres que les OTP ?

Elles sont conçues pour résister au phishing grâce à la cryptographie à clé publique et évitent d’envoyer un secret que l’utilisateur peut communiquer à un fraudeur. Leur efficacité dépend toutefois aussi de la sécurité des méthodes de récupération et de secours proposées.

Sources officielles et fiables:

Visa — lancement officiel de Visa Payment Passkey en Inde
Visa launches Payment Passkey in India

FIDO Alliance — fonctionnement et sécurité des passkeys
FIDO Alliance — Passkeys Explained

Reserve Bank of India — règles 2025 sur l’authentification des paiements numériques
RBI — Authentication Mechanisms for Digital Payment Transactions, 2025

Annonce Visa / In-Solutions Global sur le déploiement auprès des cinq banques
Visa and ISG launch Visa Payment Passkey at GFF 2026