Payer sans déverrouiller son téléphone profite aux voleurs, pas à vous

Combien de secondes vaut la sécurité de votre téléphone ? Google s’apprête peut-être à répondre: à peu près le temps de regarder un écran ou de poser un doigt sur un capteur. Wallet pourrait bientôt permettre de payer en magasin sans déverrouiller d’abord le téléphone, et nous pensons que le marché est moins bon qu’il n’y paraît.

Un réglage trouvé dans le code, pas un lancement

Selon Android Authority, Google Wallet pourrait bientôt permettre de payer sans contact sans déverrouiller le téléphone, grâce à de nouveaux paramètres de vérification. Frandroid ajoute que l’option s’appelle « Tap to pay » et que, une fois activée, elle ferait sauter la vérification normalement exigée. D’autres médias la décrivent comme un réglage expérimental en cours de test. Rien de tout cela n’est officiel: il s’agit d’un élément repéré dans une application, pas d’un lancement, et Google n’a rien dit dans la documentation dont nous disposons.

Le confort est réel, mais minuscule

Soyons honnêtes. Déverrouiller son téléphone à la caisse est un petit désagrément, et quiconque s’est déjà débattu avec un masque, des gants ou des mains mouillées le sait. Google accepte déjà cette logique dans un cas: sa documentation pour les développeurs indique que Wallet permet de payer sur les bornes de transport en commun sans déverrouiller l’appareil, car les portiques et les bus exigent des transactions simples et rapides.

C’est là que l’argument coince. Les transports forment un cas maîtrisé: un type précis de borne, un type précis de paiement et une raison claire pour laquelle chaque seconde compte. Un « Tap to pay » généralisé pour les achats courants, tel que le décrivent les informations, est tout autre chose. Personne ne bloque la file d’un grand magasin parce qu’il lui a fallu deux secondes de plus.

Le vrai gagnant, c’est celui qui tient le téléphone

Pensez à qui profite le plus d’un téléphone qui paie en restant verrouillé. Le propriétaire gagne un instant. Un voleur qui vient de s’en emparer, ou quelqu’un qui le trouve sur la table d’un café, gagnerait bien davantage: un appareil capable de dépenser de l’argent sans connaître ni code PIN, ni schéma, ni visage. Le déverrouillage n’est pas un rituel; c’est la seule barrière entre votre téléphone et celui qui l’a entre les mains.

Nous ignorons quelles limites Google envisage, et c’est toute la question. Les éléments dont nous disposons ne disent pas s’il y aurait un plafond par transaction, un plafond de dépenses total, ou l’obligation de déverrouiller de nouveau après quelques paiements. Sans cela, « confort » est une manière polie de dire « sécurité affaiblie ». Un utilisateur de forum affirme pouvoir déjà payer de petits montants sans déverrouiller son téléphone, par exemple à un distributeur automatique, ce qui suggère que des gens veulent cette fonction. Mais l’anecdote du distributeur ne fait pas un modèle pour tout l’écosystème des paiements.

Comment Google devrait la déployer, le cas échéant

Notre position est simple. Si cette option arrive, elle devrait remplir quatre conditions:

• Désactivée par défaut. Ceux qui ont le plus besoin de protection sont ceux qui n’ouvrent jamais les réglages; l’option sûre doit donc être le point de départ.
• Des plafonds de dépenses fermes. Des montants faibles, strictement plafonnés, avec déverrouillage obligatoire une fois la limite dépassée.
• Un avertissement clair. Le réglage devrait expliquer en termes simples ce que cela implique si le téléphone est perdu ou volé.
• Facile à désactiver à distance. Si le téléphone disparaît, la fonction devrait cesser de fonctionner avec tout le reste.

Si Google ne peut pas s’y engager, mieux vaut laisser le réglage dans le code et l’y garder. Une fonction trouvée en décortiquant une application et jamais lancée ne coûte rien à personne.

Gardez le déverrouillage actif, même si le réglage apparaît

Sauter le déverrouillage est un raccourci qui se justifie pour les transports et pour très peu d’autres usages. Si vous utilisez Wallet, notre conseil est de laisser la vérification activée même si l’option apparaît, et de considérer tout réglage « plus rapide » comme un compromis, non comme un cadeau. Deux secondes à la caisse, c’est un petit prix. Un inconnu qui présente votre téléphone à une borne, non.