O que é a Autenticação Forte do Cliente
A Autenticação Forte do Cliente (SCA, Strong Customer Authentication) é um requisito previsto na Diretiva de Serviços de Pagamento revista da UE (PSD2) e nas respetivas Normas Técnicas Regulamentares (RTS). Aplica-se à maioria dos pagamentos eletrónicos iniciados por um pagador dentro do Espaço Económico Europeu, incluindo pagamentos com cartão e transferências entre contas. O objetivo é confirmar que a pessoa que autoriza um pagamento é, de facto, o titular da conta, reduzindo a fraude em transações remotas e sem presença física do cartão.
A Regra dos Dois Fatores
A SCA exige autenticação através de, pelo menos, dois elementos independentes de três categorias: algo que o cliente sabe (um PIN ou palavra-passe), algo que o cliente possui (um telemóvel, cartão ou token físico) e algo que o cliente é (uma impressão digital ou reconhecimento facial). Um pagamento que utilize apenas um destes fatores, como apenas o número do cartão e a data de validade, não cumpre os requisitos da SCA. Na prática, a SCA é normalmente realizada através de fluxos 3-D Secure, aplicações bancárias ou códigos de utilização única associados a um dispositivo registado.
Isenções Que os Comerciantes Podem Solicitar
As normas técnicas da PSD2 definem também isenções que permitem que um pagamento dispense o passo de autenticação adicional quando o risco é considerado suficientemente baixo. O comerciante não concede estas isenções por sua própria iniciativa; o pedido é feito ao emissor do cartão ou ao prestador de serviços de pagamento, que decide se a aplica. As principais categorias são:
- Pagamentos de baixo valor: transações remotas abaixo de um montante definido, com limites quanto ao número de pagamentos de baixo valor ou ao valor acumulado que pode passar sem verificação antes de a SCA voltar a ser exigida.
- Análise de Risco da Transação (TRA): adquirentes e emissores com taxas de fraude inferiores aos níveis de referência definidos nas RTS podem aplicar uma isenção até determinados montantes de transação, avaliada em tempo real por cada pagamento.
- Transações recorrentes: a SCA é exigida no primeiro pagamento de uma série de cobranças recorrentes de valor fixo; os pagamentos seguintes da mesma série podem ficar isentos.
- Beneficiários de confiança (lista branca de comerciantes): depois de um cliente adicionar um comerciante à lista de confiança do seu banco através de um passo de SCA, os pagamentos seguintes a esse comerciante podem dispensar autenticação adicional.
- Pagamentos empresariais: transações realizadas através de processos ou protocolos de pagamento empresarial dedicados, não disponíveis para consumidores, podem qualificar-se para uma isenção.
Qualquer isenção pode, ainda assim, ser substituída. O emissor pode sempre exigir autenticação completa se as suas próprias verificações de risco assinalarem o pagamento, pelo que solicitar uma isenção não garante que a transação seja processada sem desafio adicional.
Onde Isto se Encaixa no Fluxo de Checkout
Como é o emissor que toma a decisão final sobre as isenções, a forma como um pedido de pagamento é construído é determinante. O checkout hospedado da omwio transmite os dados da transação de que um emissor ou prestador necessita para avaliar uma isenção, e o seu encaminhamento de prestadores (provider routing) permite direcionar uma transação para um prestador que suporte os fluxos de SCA e de isenção relevantes para esse método de pagamento e corredor. O painel do comerciante dá visibilidade sobre a forma como cada transação foi autenticada, enquanto o painel de gestor permite às equipas de operações de pagamento analisar os resultados de autenticação entre comerciantes e prestadores.
O Que os Comerciantes Devem Ter em Mente
A SCA e as respetivas isenções enquadram-se num quadro técnico e regulamentar definido pela PSD2 e pelas RTS, e não numa única plataforma. Antes de confiar numa isenção para um determinado fluxo, os comerciantes devem confirmar junto do seu adquirente ou PSP quais as isenções que este suporta e em que condições, uma vez que emissores e redes de pagamento aplicam as mesmas regras com alguma margem de discricionariedade. Este artigo explica o mecanismo; não constitui uma garantia sobre o comportamento de qualquer transação, emissor ou prestador específico.
