Virtualis, le service de carte virtuelle du Crédit Mutuel de Bretagne (CMB), génère un numéro de carte temporaire pour chaque achat en ligne. Le principe est simple, mais plusieurs erreurs récurrentes provoquent des refus de paiement ou des blocages que la plupart des utilisateurs attribuent à tort à un dysfonctionnement du service. Comprendre ces erreurs permet de les éviter avant même de lancer la transaction.
Authentification DSP2 et Virtualis : pourquoi le paiement est refusé
La majorité des échecs de paiement avec Virtualis ne viennent pas du numéro de carte généré. Ils surviennent lors de l’étape d’authentification forte imposée par la DSP2, la directive européenne sur les services de paiement.
Concrètement, après avoir saisi le numéro Virtualis sur le site marchand, la banque envoie une demande de validation sur l’application mobile CMB ou par SMS. Si cette validation n’aboutit pas dans le délai imparti, le paiement est rejeté, même si le numéro de carte virtuelle est parfaitement valide.
Trois situations provoquent ce blocage :
- L’application CMB n’est pas à jour ou les notifications push sont désactivées sur le téléphone, ce qui empêche la réception de la demande d’authentification.
- Le numéro de téléphone enregistré auprès de la banque ne correspond plus au téléphone utilisé, rendant impossible la réception du code SMS de secours.
- Le délai de validation est dépassé parce que l’utilisateur ne surveille pas son téléphone au moment de la transaction.
Ce que beaucoup ignorent : le règlement délégué UE 2018/389 prévoit des exemptions à l’authentification forte pour certains cas précis (paiements récurrents, bénéficiaires de confiance, analyse de risque de transaction). Quand un commerçant applique l’une de ces exemptions, le paiement peut passer sans validation sur le téléphone. Quand il ne l’applique pas, la validation est systématique. Cette différence explique pourquoi un même montant passe chez un marchand et pas chez un autre.
Numéro Virtualis CMB : les erreurs de saisie qui bloquent la transaction
Un numéro Virtualis est généré avec un montant et une durée de validité. C’est un numéro à usage unique ou limité dans le temps. Deux erreurs de saisie reviennent constamment.
La première : saisir un montant de génération inférieur au montant réel de l’achat. Virtualis autorise un paiement jusqu’au plafond défini lors de la création du numéro. Si le site marchand ajoute des frais de livraison après la génération du numéro, le total dépasse le plafond et la transaction échoue. La parade consiste à toujours générer un montant légèrement supérieur au prix affiché, frais inclus.
La seconde erreur concerne la date d’expiration. Un numéro Virtualis a sa propre date de validité, distincte de celle de la carte bancaire physique. Copier la date d’expiration de la carte physique au lieu de celle affichée par Virtualis provoque un refus immédiat. Le cryptogramme (CVV) est lui aussi propre au numéro virtuel généré.
Cas particulier des abonnements et paiements différés
Virtualis génère des numéros conçus pour des transactions ponctuelles. Un abonnement mensuel (streaming, presse en ligne, logiciel) nécessite que le numéro reste valide lors de chaque prélèvement suivant. Si la durée de validité choisie est trop courte, le deuxième prélèvement sera refusé.
Le même problème se pose avec les sites qui pratiquent le paiement en plusieurs fois : chaque échéance constitue une transaction distincte. Le numéro Virtualis doit couvrir la totalité de la période de paiement, pas seulement la première échéance.
Refus de carte virtuelle par certains sites marchands
Tous les sites n’acceptent pas les cartes virtuelles. Ce n’est pas un bug de Virtualis, mais une restriction du côté du commerçant. Certains marchands, notamment dans la location de véhicules, l’hôtellerie ou les plateformes de billetterie, exigent une carte physique pour pouvoir effectuer une empreinte bancaire ou une caution.
Depuis le 31 mars 2025, les exigences PCI DSS version v4.0.1 sont devenues pleinement applicables. Ce durcissement des normes de sécurité pour les commerçants a conduit certains sites à modifier leurs flux de paiement, créant parfois des incompatibilités temporaires avec des cartes virtuelles. Un site qui fonctionnait avec Virtualis il y a quelques mois peut très bien rejeter la carte aujourd’hui sans explication claire côté utilisateur.
Face à un refus répété sur un site précis, la seule vérification utile consiste à tester avec la carte physique. Si le paiement passe avec la carte classique mais pas avec Virtualis, le problème vient du marchand et non du service bancaire.
Sécurité du paiement en ligne CMB : bonnes pratiques souvent négligées
Générer un numéro Virtualis protège contre la réutilisation frauduleuse des données de carte. Cette protection perd son efficacité si l’environnement dans lequel la transaction est réalisée n’est pas sécurisé.
Utiliser Virtualis depuis un réseau Wi-Fi public expose les données échangées entre le navigateur et le site marchand. Le numéro virtuel est certes temporaire, mais il reste utilisable tant qu’il n’a pas expiré. Sur un réseau non sécurisé, une interception reste techniquement possible avant que la transaction ne soit finalisée.
L’autre point sous-estimé concerne les alertes de transaction configurables depuis l’application CMB. Activer les notifications par SMS ou par mail pour chaque opération permet de détecter immédiatement toute utilisation non souhaitée d’un numéro Virtualis encore actif. Sans ces alertes, un numéro généré avec une durée de validité longue (pour un abonnement par exemple) pourrait être utilisé à l’insu du titulaire si les données étaient compromises.
Dernier réflexe utile : ne jamais enregistrer un numéro Virtualis dans un navigateur. Les gestionnaires de mots de passe des navigateurs proposent souvent de sauvegarder les données de carte. Accepter cette sauvegarde pour un numéro temporaire n’a aucun intérêt pratique et crée un risque inutile si le navigateur est compromis.
La plupart des échecs de paiement avec Virtualis au Crédit Mutuel de Bretagne relèvent d’un décalage entre le montant généré et le montant réel, d’une date de validité mal reportée ou d’une authentification DSP2 qui n’aboutit pas à temps. Corriger ces trois points résout la grande majorité des blocages, sans avoir besoin de contacter le service client.
