Protection RFID d'un portefeuille, ce que bloque réellement la doublure

« Bloque le piratage de vos cartes bancaires » : l’argument s’affiche sur un nombre croissant de portefeuilles et de porte-cartes. La protection RFID repose sur un principe physique solide, mais le discours qui l’entoure grossit souvent le danger. Pour savoir si une doublure dite protectrice vaut la peine, il faut comprendre ce qu’elle arrête, à quelles fréquences, contre quel risque réel, et comment vérifier soi-même qu’elle fonctionne.

Ce que l’on appelle protection RFID

RFID désigne l’identification par radiofréquence : une puce associée à une antenne répond à un lecteur qui l’alimente par un champ électromagnétique. Les cartes bancaires sans contact utilisent une variante de cette technologie, la communication en champ proche, ou NFC, qui fonctionne à 13,56 MHz. Le lecteur émet un champ, la carte en tire l’énergie nécessaire pour répondre, et l’échange ne dure qu’une fraction de seconde.

Une maroquinerie présentée comme offrant une protection RFID intègre dans sa doublure une couche conductrice : une feuille d’aluminium laminée, un tissu métallisé au cuivre et au nickel, ou un film comparable. Cette couche joue le rôle d’une cage de Faraday partielle. Quand la carte est entourée par ce matériau, le champ du lecteur est fortement atténué avant de l’atteindre ; la puce ne reçoit plus assez d’énergie pour répondre.

Le mot « partielle » compte. Une cage de Faraday n’est efficace que si elle enveloppe vraiment ce qu’elle protège. Un portefeuille dont la doublure ne couvre qu’une face, ou dont une poche reste ouverte sur un côté, laisse passer une partie du champ. C’est la principale différence entre un objet réellement bloquant et un objet simplement étiqueté comme tel.

Les fréquences concernées par la doublure

Toutes les puces sans contact n’utilisent pas la même fréquence, et une doublure n’arrête pas toutes les ondes avec la même efficacité.

Pour les cartes de paiement, la bande qui compte est la haute fréquence, à 13,56 MHz. C’est aussi celle sur laquelle les doublures du commerce se montrent le plus régulièrement efficaces, à condition d’envelopper la carte. Les badges d’immeuble basse fréquence, en revanche, sont parfois moins bien arrêtés par une feuille très fine : le champ magnétique à ces fréquences traverse plus facilement les métaux minces.

Le risque réel de lecture à distance

C’est ici que le discours commercial et la réalité technique divergent le plus. Pour décider si une protection RFID est utile, il faut regarder ce qu’un lecteur malveillant pourrait obtenir, et dans quelles conditions.

Une distance très courte

Les cartes bancaires sans contact sont conçues pour être lues à quelques centimètres du terminal. Au-delà, le champ devient trop faible pour alimenter la puce. Des démonstrations de laboratoire ont montré qu’avec des antennes spécifiques et beaucoup de puissance, on peut allonger cette portée, mais il s’agit de dispositifs encombrants et peu discrets, loin de l’image du pirate qui « aspire » des cartes à travers une salle. Dans la vie courante, une lecture frauduleuse supposerait de coller un lecteur contre la poche ou le sac de la victime.

Des données limitées

Une carte sans contact ne livre pas tout ce qu’elle contient. Sur la plupart des cartes récentes, le lecteur peut obtenir le numéro de carte et la date d’expiration, mais pas le cryptogramme visuel imprimé au dos, ni le code confidentiel. Chaque paiement sans contact s’appuie par ailleurs sur un cryptogramme dynamique calculé par la puce pour cette transaction précise : rejouer une transaction capturée ne suffit donc pas à en produire une nouvelle valide.

Un montant plafonné

En France, le paiement sans contact par carte sans saisie de code est plafonné à 50 euros par transaction depuis mai 2020 ; au-delà, les terminaux compatibles avec le service Sans Contact Plus, déployé depuis 2024, exigent la saisie du code. Les banques ajoutent en général un plafond cumulé : au-delà d’un certain montant total ou d’un certain nombre de paiements sans contact consécutifs, le terminal exige la saisie du code. Les seuils cumulés varient d’un établissement à l’autre et figurent dans les conditions de la carte. Ces garde-fous limitent fortement l’intérêt d’une fraude par lecture de proximité, qui exigerait en outre un terminal de paiement enregistré, donc traçable.

Ce qui reste un risque

Le danger n’est pas nul pour autant. Un numéro de carte et une date d’expiration peuvent, en théorie, servir sur des sites marchands peu exigeants qui ne demandent pas le cryptogramme ; ces cas deviennent rares avec la généralisation de l’authentification forte. Le risque concret le plus fréquent reste plus banal : deux cartes sans contact dans le même portefeuille qui perturbent le terminal, ou une carte débitée par erreur parce qu’elle était plus proche du lecteur que celle que l’on voulait utiliser.

Ce que bloque réellement la doublure

Concrètement, une doublure de protection RFID bien construite fait trois choses, et seulement trois.

1. Elle empêche une lecture des cartes à travers le portefeuille fermé, ce qui ferme la porte à la lecture de proximité, aussi improbable soit-elle.
2. Elle évite que le terminal ne lise une carte non souhaitée quand on présente le portefeuille entier au lieu de sortir la carte.
3. Elle apporte une tranquillité d’esprit, ce qui a sa valeur même si le risque de départ est faible.

Elle ne protège en revanche ni contre le vol du portefeuille, ni contre le hameçonnage ou l’usage frauduleux des données de carte sur internet, qui concentrent l’essentiel de la fraude à la carte. Elle n’a aucun effet sur une carte sortie de son étui, ni sur un paiement par téléphone. Et elle impose une contrainte : il faut sortir la carte pour payer sans contact.

Une remarque concerne les passeports biométriques, souvent cités dans la publicité. Leur puce, également en haute fréquence, est protégée par un mécanisme d’accès qui exige de lire au préalable la bande de caractères imprimée sur la page d’identité. Une lecture à travers un passeport fermé est donc déjà très difficile sans protection supplémentaire.

Tester un portefeuille dit protégé

On peut vérifier soi-même l’efficacité d’une doublure, avec des moyens simples et une méthode rigoureuse.

Le test au smartphone

La plupart des smartphones récents intègrent un lecteur NFC. Des applications gratuites de lecture de cartes, ou la simple détection d’étiquette du système, indiquent si une carte répond.

1. Activer le NFC du téléphone et vérifier qu’il détecte la carte posée à nu contre son dos : cette étape confirme que le test est possible.
2. Placer la carte dans le portefeuille, le fermer complètement, puis appliquer le téléphone contre chacune de ses faces et de ses tranches.
3. Recommencer avec la carte dans chaque emplacement du portefeuille : une poche peut être protégée et une autre non.

Si le téléphone ne détecte la carte dans aucune position, la doublure fait son travail à cette distance. Si la carte répond à travers une tranche ou une poche, la protection est incomplète.

Le test au terminal

Dans un commerce, présenter le portefeuille fermé, carte à l’intérieur, contre le terminal lors d’un paiement donne une indication comparable. Un refus de lecture confirme l’effet bloquant ; il suffit ensuite de sortir la carte pour payer normalement.

Les limites du test

Un smartphone est un lecteur peu puissant. Un portefeuille qui le bloque peut, en théorie, laisser passer un lecteur beaucoup plus puissant placé tout contre. Le test reste néanmoins pertinent, puisqu’il reproduit la situation réaliste d’un lecteur de proximité. Pour savoir quelles cartes de votre portefeuille sont concernées par la question, notre article expliquant comment savoir si une carte a une puce RFID détaille les indices à repérer.

Faut-il choisir un portefeuille avec protection RFID

La réponse dépend moins de la menace, modeste, que de l’usage. Une protection RFID se justifie pour ceux qui gardent plusieurs cartes sans contact au même endroit et veulent éviter les lectures parasites au terminal, pour ceux qui voyagent souvent dans des lieux très fréquentés, ou tout simplement pour qui préfère cette tranquillité. Elle ajoute rarement de l’épaisseur perceptible et ne modifie pas l’entretien de l’objet.

Elle devient superflue pour qui paie surtout par téléphone, ou qui préfère présenter la carte directement au terminal sans la sortir de son emplacement. Sur un objet comme le porte-carte magique, où l’on cherche le geste le plus rapide, la doublure oblige à sortir la carte à chaque paiement, ce qui va un peu à l’encontre du principe.

La durabilité de la doublure

Une doublure de protection n’est pas éternelle. Les feuilles d’aluminium laminées supportent mal les pliages répétés : à force d’être cintrées au même endroit, elles se fissurent et la cage de Faraday présente alors une brèche, invisible de l’extérieur. Les tissus métallisés résistent mieux à la flexion, mais leur couche conductrice peut s’user par frottement sur les tranches des cartes. Sur un portefeuille utilisé depuis plusieurs années, refaire le test au smartphone de temps en temps permet de vérifier que la protection tient toujours. Les produits d’entretien gras ou les solvants appliqués à l’intérieur peuvent aussi abîmer le film : les soins se réservent à l’extérieur de l’objet, comme le rappelle notre guide sur l’entretien d’un portefeuille en cuir. Enfin, une doublure qui se décolle et forme un pli à l’intérieur d’une poche signale presque toujours une protection dégradée, même si l’objet paraît intact de l’extérieur.

Dernier conseil : se méfier des promesses chiffrées invérifiables, du type « bloque 100 % des scanners », et privilégier les modèles dont la doublure enveloppe entièrement les emplacements à cartes. Un test de deux minutes au smartphone en dira toujours plus long que l’étiquette. Pour la carte elle-même, quelques réflexes simples protègent davantage que n’importe quelle doublure : surveiller ses relevés, activer les notifications de paiement de sa banque et faire opposition sans attendre en cas de perte.