Qué es la autenticación reforzada del cliente
La autenticación reforzada del cliente (SCA, por sus siglas en inglés) es un requisito establecido por la directiva revisada de servicios de pago de la UE (PSD2) y sus normas técnicas de regulación (RTS). Se aplica a la mayoría de los pagos electrónicos iniciados por un pagador dentro del Espacio Económico Europeo, incluidos los pagos con tarjeta y las transferencias de cuenta a cuenta. El objetivo es confirmar que la persona que autoriza un pago es realmente el titular de la cuenta, reduciendo el fraude en transacciones a distancia y sin presencia de la tarjeta.
La regla de los dos factores
La SCA exige autenticar el pago mediante al menos dos elementos independientes de tres categorías: algo que el cliente sabe (un PIN o una contraseña), algo que el cliente tiene (un teléfono, una tarjeta o un token físico) y algo que el cliente es (una huella digital o un escaneo facial). Un pago que utiliza solo uno de estos factores, como el número de tarjeta y la fecha de caducidad por sí solos, no cumple el umbral de la SCA. En la práctica, la SCA suele llevarse a cabo mediante flujos de 3-D Secure, aplicaciones bancarias o códigos de un solo uso vinculados a un dispositivo registrado.
Exenciones que los comercios pueden solicitar
Las normas técnicas de la PSD2 también establecen exenciones que permiten que un pago omita el paso de autenticación adicional cuando el riesgo se considera suficientemente bajo. El propio comercio no concede estas exenciones; la solicitud se dirige al emisor de la tarjeta o al proveedor de servicios de pago, que decide si la aplica. Las principales categorías son:
- Pagos de bajo importe: transacciones a distancia por debajo de un importe establecido, con límites en cuántos pagos de bajo importe o cuánto gasto acumulado pueden quedar sin verificar antes de que vuelva a exigirse la SCA.
- Análisis de riesgo de la transacción (TRA): los adquirentes y emisores con tasas de fraude por debajo de los niveles de referencia fijados en las RTS pueden aplicar una exención hasta determinados importes de transacción, evaluada en tiempo real para cada pago.
- Pagos recurrentes: la SCA es obligatoria en el primer pago de una serie de cargos recurrentes de importe fijo; los pagos posteriores de la misma serie pueden quedar exentos.
- Beneficiarios de confianza (lista blanca de comercios): una vez que el cliente añade un comercio a la lista de confianza de su banco mediante un paso de SCA, los pagos posteriores a ese comercio pueden eludir una autenticación adicional.
- Pagos corporativos: las transacciones realizadas mediante procesos o protocolos de pago corporativos dedicados, no disponibles para los consumidores, pueden calificar para una exención.
Cualquier exención puede dejarse sin efecto. El emisor siempre puede exigir la autenticación completa si sus propios controles de riesgo marcan el pago, por lo que solicitar una exención no garantiza que una transacción se complete sin un desafío adicional.
Cómo encaja esto en el flujo de pago
Dado que el emisor toma la decisión final sobre las exenciones, la forma en que se construye la solicitud de pago importa. El checkout alojado de omwio transmite los datos de la transacción que un emisor o proveedor necesita para evaluar una exención, y su enrutamiento de proveedores permite dirigir una transacción hacia un proveedor que admite los flujos de SCA y de exención correspondientes para ese método de pago y ese corredor. El Merchant Panel ofrece a los comercios visibilidad sobre cómo se autenticó cada transacción, mientras que el Manager Panel permite a los equipos de operaciones de pago revisar los resultados de autenticación entre comercios y proveedores.
Qué deben tener en cuenta los comercios
La SCA y sus exenciones forman parte de un marco técnico y regulatorio establecido por la PSD2 y las RTS, no de ninguna plataforma concreta. Antes de confiar en una exención para un flujo determinado, los comercios deben consultar con su adquirente o PSP qué exenciones admite y en qué condiciones, ya que los emisores y los esquemas de tarjetas aplican las mismas normas con cierto margen de discrecionalidad. Este artículo explica el mecanismo; no es una garantía de cómo se comportará una transacción, un emisor o un proveedor concretos.
