Che cos'è l'Autenticazione forte del cliente
L'Autenticazione forte del cliente (SCA) è un requisito previsto dalla direttiva europea sui servizi di pagamento rivista (PSD2) e dai relativi standard tecnici di regolamentazione (RTS). Si applica alla maggior parte dei pagamenti elettronici avviati da un pagatore all'interno dello Spazio economico europeo, inclusi i pagamenti con carta e i trasferimenti da conto a conto. L'obiettivo è confermare che la persona che autorizza un pagamento sia realmente il titolare del conto, riducendo le frodi sulle transazioni a distanza e senza presenza della carta.
La regola dei due fattori
La SCA richiede un'autenticazione basata su almeno due elementi indipendenti scelti tra tre categorie: qualcosa che il cliente conosce (un PIN o una password), qualcosa che il cliente possiede (un telefono, una carta o un token hardware) e qualcosa che il cliente è (un'impronta digitale o una scansione del volto). Un pagamento che utilizza solo uno di questi fattori, come il solo numero di carta e la data di scadenza, non soddisfa i requisiti della SCA. In pratica, la SCA viene solitamente eseguita tramite flussi 3-D Secure, app bancarie o codici temporanei associati a un dispositivo registrato.
Le esenzioni che gli esercenti possono richiedere
Gli standard tecnici della PSD2 prevedono anche delle esenzioni che permettono a un pagamento di saltare l'ulteriore passaggio di autenticazione quando il rischio è giudicato sufficientemente basso. Un esercente non concede queste esenzioni da solo: la richiesta viene presentata all'emittente della carta o al prestatore di servizi di pagamento, che decide se applicarla. Le principali categorie sono:
- Pagamenti di importo basso: transazioni a distanza inferiori a un importo stabilito, con limiti al numero di pagamenti di importo basso o alla spesa cumulata che possono restare non verificati prima che la SCA sia nuovamente richiesta.
- Analisi del rischio della transazione (TRA): gli acquirer e gli issuer con tassi di frode inferiori ai livelli di riferimento stabiliti dagli RTS possono applicare un'esenzione fino a determinati importi di transazione, valutati in tempo reale per ogni pagamento.
- Transazioni ricorrenti: la SCA è richiesta per il primo pagamento di una serie di addebiti ricorrenti a importo fisso; i pagamenti successivi della stessa serie possono essere esentati.
- Beneficiari fidati (whitelist dei merchant): una volta che un cliente aggiunge un esercente all'elenco di fiducia della propria banca tramite un passaggio di SCA, i pagamenti successivi a quell'esercente possono evitare un'ulteriore autenticazione.
- Pagamenti aziendali: le transazioni effettuate tramite processi o protocolli di pagamento aziendali dedicati, non disponibili ai consumatori, possono beneficiare di un'esenzione.
Qualsiasi esenzione può comunque essere annullata. L'emittente può sempre richiedere un'autenticazione completa se i propri controlli del rischio segnalano il pagamento, quindi richiedere un'esenzione non garantisce che una transazione venga completata senza verifiche aggiuntive.
Come si inserisce nel flusso di checkout
Poiché è l'emittente ad avere l'ultima parola sulle esenzioni, il modo in cui viene costruita una richiesta di pagamento è importante. Il checkout ospitato di omwio trasmette i dati della transazione di cui un emittente o un prestatore ha bisogno per valutare un'esenzione, e il suo instradamento dei prestatori consente di indirizzare una transazione verso un prestatore che supporta i flussi di SCA ed esenzione rilevanti per quel metodo di pagamento e quel corridoio. Il pannello merchant offre agli esercenti visibilità su come sono state autenticate le singole transazioni, mentre il pannello manager permette ai team delle operazioni di pagamento di esaminare gli esiti di autenticazione su esercenti e prestatori.
Cosa devono tenere a mente gli esercenti
La SCA e le sue esenzioni rientrano in un quadro tecnico e normativo stabilito dalla PSD2 e dagli RTS, non in una singola piattaforma. Prima di affidarsi a un'esenzione per un determinato flusso, gli esercenti dovrebbero verificare con il proprio acquirer o PSP quali esenzioni supporta e a quali condizioni, poiché gli emittenti e gli schemi applicano le stesse regole con un certo margine di discrezionalità. Questo articolo spiega il meccanismo; non costituisce una garanzia sul comportamento di una specifica transazione, emittente o prestatore.
