Kaj je močna avtentikacija strank
Močna avtentikacija strank (SCA) je zahteva, ki izhaja iz prenovljene evropske direktive o plačilnih storitvah (PSD2) in njenih regulativnih tehničnih standardov (RTS). Velja za večino elektronskih plačil, ki jih sproži plačnik znotraj Evropskega gospodarskega prostora, vključno s plačili s kartico in medračunskimi nakazili. Namen je potrditi, da je oseba, ki odobri plačilo, resnično imetnik računa, s čimer se zmanjšajo goljufije pri plačilih na daljavo in plačilih brez prisotnosti kartice.
Pravilo dveh faktorjev
SCA zahteva avtentikacijo z vsaj dvema neodvisnima elementoma iz treh kategorij: nekaj, kar stranka ve (PIN ali geslo), nekaj, kar stranka ima (telefon, kartico ali strojni žeton), in nekaj, kar stranka je (prstni odtis ali skeniranje obraza). Plačilo, ki uporablja le enega od teh dejavnikov, na primer samo številko kartice in datum veljavnosti, ne izpolnjuje zahtev SCA. V praksi se SCA običajno izvaja prek postopkov 3-D Secure, bančnih aplikacij ali enkratnih kod, povezanih z registrirano napravo.
Izjeme, ki jih lahko zahtevajo trgovci
Tehnični standardi PSD2 določajo tudi izjeme, ki plačilu omogočajo, da izpusti dodaten korak avtentikacije, kadar je tveganje ocenjeno kot dovolj nizko. Trgovec teh izjem ne odobri sam; zahtevo naslovi na izdajatelja kartice ali ponudnika plačilnih storitev, ki odloči, ali jo bo uporabil. Glavne kategorije so:
- Plačila nizke vrednosti: transakcije na daljavo pod določenim zneskom, z omejitvami, koliko plačil nizke vrednosti ali kolikšen skupni znesek lahko ostane nepreverjen, preden je SCA spet zahtevana.
- Analiza tveganja transakcije (TRA): pridobitelji in izdajatelji z deležem goljufij pod referenčnimi ravnmi, določenimi v RTS, lahko uveljavijo izjemo do določenih zneskov transakcije, kar se ocenjuje v realnem času za vsako plačilo.
- Ponavljajoče se transakcije: SCA je zahtevana pri prvem plačilu v nizu ponavljajočih se bremenitev s fiksnim zneskom; za nadaljnja plačila v istem nizu lahko velja izjema.
- Zaupanja vredni prejemniki (seznam zaupanja trgovcev): ko stranka s korakom SCA dodeli trgovca na seznam zaupanja pri svoji banki, lahko nadaljnja plačila temu trgovcu potekajo brez dodatne avtentikacije.
- Korporativna plačila: transakcije, izvedene prek namenskih korporativnih plačilnih postopkov ali protokolov, ki niso na voljo potrošnikom, lahko izpolnjujejo pogoje za izjemo.
Vsako izjemo je mogoče preklicati. Izdajatelj lahko kadarkoli zahteva popolno avtentikacijo, če njegove lastne preverbe tveganja označijo plačilo kot sumljivo, zato zahteva za izjemo ne zagotavlja, da bo transakcija izvedena brez dodatnega preverjanja.
Kam to sodi v postopku plačila
Ker dokončno odločitev o izjemah sprejme izdajatelj, je pomembno, kako je zahtevek za plačilo sestavljen. Omwiov gostovani checkout posreduje podatke o transakciji, ki jih izdajatelj ali ponudnik potrebuje za presojo izjeme, njegovo usmerjanje ponudnikov pa omogoča, da se transakcija usmeri k ponudniku, ki podpira ustrezne postopke SCA in izjem za ta plačilni način in koridor. Merchant Panel trgovcem omogoča vpogled v to, kako je bila posamezna transakcija avtenticirana, Manager Panel pa ekipam za plačilne operacije omogoča pregled rezultatov avtentikacije med trgovci in ponudniki.
Kaj naj trgovci upoštevajo
SCA in njene izjeme so del tehničnega in regulativnega okvira, ki ga določata PSD2 in RTS, ne pa del katere koli posamezne platforme. Preden se trgovci pri določenem postopku zanesejo na izjemo, naj pri svojem pridobitelju ali PSP preverijo, katere izjeme ta podpira in pod kakšnimi pogoji, saj izdajatelji in kartične sheme ista pravila uporabljajo z določeno mero lastne presoje. Ta članek pojasnjuje mehanizem; ni zagotovilo, kako se bo obnašala posamezna transakcija, izdajatelj ali ponudnik.
