La nueva normativa europea de pagos PSD2 introduce la autenticación reforzada de clientes (SCA por sus siglas en inglés) para securizar el pago remoto (online o vía móvil). La obligación de autenticar al cliente, es decir, de demostrar que un usuario es realmente quien asegura ser, corresponde al emisor del medio de pago. En anteriores artículos hemos explicado la necesidad de usar como garantía algo que posea el cliente (como el número de tarjeta); algo que solo conozca el cliente (como un PIN) o algo inherente al cliente (huella digital, por ejemplo).
Excepciones de PSD2
Sin embargo, la norma contempla una serie de excepciones a estas salvaguardas en función del nivel de riesgo, la cuantía de la operación, la recurrencia y el medio de pago.
Pagos contactless en el punto de venta
Cuando el valor de la transacción sea inferior a 50€ no es necesaria la doble autenticación. Existe un límite de 150€ acumulativo en transacciones de este tipo o bien superar el número de 5 operaciones desde la última vez en la que sí se requirió un método de autenticación.
Pequeños pagos remotos
Para compras por importe inferior a los 30€. El límite de transacciones consecutivas sin autenticación es de 100€ o bien el número de operaciones supera las cinco desde la última en la que sí se requirió un método de autenticación.
Terminales de pago de transporte o parking
Al ser importes muy pequeños, no requiere doble autenticación.
Comercios de confianza (listas blancas)
El usuario podrá (todavía no se aplica) añadir o quitar empresas de una lista de confianza. La lista será actualizada y mantenida por el ASPSP (Proveedor de servicios de pago de servicio de cuentas), que también tiene autoridad para eliminar beneficiarios del fideicomiso. El proveedor de servicios de pago (PSP) de una empresa puede crear mecanismos para "sugerir" beneficiarios de confianza al ASPSP en nombre del cliente final.
Transacciones recurrentes
Son transacciones que se hacen de manera periódica y por la misma cantidad, como por ejemplo pagos a suscripciones (la autenticación se pedirá durante la configuración de la serie o si ésta la inicia el comercio).
Análisis de Riesgos (TRA)
Si el proveedor de pago (PSP) está dotado de herramientas de medición de riesgo en la transacción de pagos a remoto y considera que el riesgo es bajo, entonces no se pedirá la autenticación. Será el banco del titular de la tarjeta quien tenga la última palabra para aprobar o no el pago sin necesidad de más verificación.
Artículos relacionados
Bankinter adapta sus sistemas de acceso a la normativa PSD2
Directiva PSD2: ¿cuáles son sus objetivos y garantías?
Las APIs PSD2 de Bankinter, abiertas a terceros autorizados
