Co to jest silne uwierzytelnianie klienta
Silne uwierzytelnianie klienta (SCA) to wymóg wynikający ze zmienionej unijnej dyrektywy o usługach płatniczych (PSD2) oraz jej regulacyjnych standardów technicznych (RTS). Dotyczy większości elektronicznych płatności inicjowanych przez płatnika na terenie Europejskiego Obszaru Gospodarczego, w tym płatności kartą oraz przelewów z konta na konto. Celem jest potwierdzenie, że osoba autoryzująca płatność jest faktycznie posiadaczem konta, co ogranicza oszustwa w transakcjach zdalnych i bez fizycznego użycia karty.
Zasada dwóch czynników
SCA wymaga uwierzytelnienia przy użyciu co najmniej dwóch niezależnych elementów z trzech kategorii: czegoś, co klient wie (kod PIN lub hasło), czegoś, co klient posiada (telefon, kartę lub token sprzętowy), oraz czegoś, co klienta charakteryzuje (odcisk palca lub skan twarzy). Płatność wykorzystująca tylko jeden z tych czynników, na przykład sam numer karty i datę jej ważności, nie spełnia wymogów SCA. W praktyce SCA realizowane jest najczęściej za pomocą procesów 3-D Secure, aplikacji bankowych lub jednorazowych kodów powiązanych z zarejestrowanym urządzeniem.
Wyjątki, o które mogą wnioskować akceptanci
Standardy techniczne PSD2 przewidują również wyjątki, które pozwalają pominąć dodatkowy etap uwierzytelnienia, gdy ryzyko uznane jest za wystarczająco niskie. Akceptant nie udziela tych wyjątków samodzielnie – wniosek składany jest do wydawcy karty lub dostawcy usług płatniczych, który decyduje, czy go zastosować. Główne kategorie to:
- Płatności o niskiej wartości: transakcje zdalne poniżej ustalonej kwoty, z limitami określającymi, ile płatności o niskiej wartości lub jaka łączna kwota wydatków może pozostać niezweryfikowana, zanim ponownie wymagane będzie SCA.
- Analiza ryzyka transakcji (TRA): acquirerzy i wydawcy, u których poziom oszustw jest niższy niż poziomy referencyjne określone w RTS, mogą zastosować wyjątek do określonych kwot transakcji, oceniany w czasie rzeczywistym dla każdej płatności.
- Płatności cykliczne: SCA jest wymagane przy pierwszej płatności w serii cyklicznych obciążeń o ustalonej kwocie; kolejne płatności w tej samej serii mogą zostać objęte wyjątkiem.
- Zaufani odbiorcy (białe listy akceptantów): gdy klient doda akceptanta do listy zaufanych odbiorców swojego banku w ramach kroku SCA, kolejne płatności na rzecz tego akceptanta mogą pomijać dalsze uwierzytelnianie.
- Płatności korporacyjne: transakcje realizowane za pomocą dedykowanych korporacyjnych procesów lub protokołów płatniczych, niedostępnych dla konsumentów, mogą kwalifikować się do wyjątku.
Każdy wyjątek może zostać jednak unieważniony. Wydawca może zawsze zażądać pełnego uwierzytelnienia, jeśli jego własne mechanizmy oceny ryzyka oznaczą płatność jako podejrzaną, więc wnioskowanie o wyjątek nie gwarantuje, że transakcja przejdzie bez dodatkowej weryfikacji.
Jak to się wpisuje w proces płatności
Ponieważ ostateczną decyzję o wyjątkach podejmuje wydawca, sposób, w jaki zbudowane jest żądanie płatności, ma znaczenie. Hostowany checkout omwio przekazuje dane transakcji potrzebne wydawcy lub dostawcy do oceny wyjątku, a routing dostawców umożliwia skierowanie transakcji do dostawcy, który obsługuje odpowiednie procesy SCA i wyjątków dla danej metody płatności i korytarza. Panel akceptanta daje akceptantom wgląd w to, jak uwierzytelniono poszczególne transakcje, podczas gdy panel menedżera pozwala zespołom operacji płatniczych przeglądać wyniki uwierzytelniania u różnych akceptantów i dostawców.
Co powinni pamiętać akceptanci
SCA i jego wyjątki funkcjonują w ramach technicznych i regulacyjnych ustanowionych przez PSD2 i RTS, a nie w ramach jednej platformy. Przed oparciem się na wyjątku dla danego procesu akceptanci powinni sprawdzić u swojego acquirera lub PSP, jakie wyjątki są obsługiwane i pod jakimi warunkami, ponieważ wydawcy i organizacje płatnicze stosują te same zasady z pewną dozą swobody decyzyjnej. Ten artykuł wyjaśnia mechanizm działania; nie jest gwarancją tego, jak zachowa się konkretna transakcja, wydawca lub dostawca.
