Directiva PSD2 para pagos en línea con tarjeta de crédito
Artículo traducido por máquina
Este texto es una traducción automática. Está prevista una versión revisada.
Utilice la función «Imprimir» al final de la página para crear un PDF.
Válido para iPayment.
Las nuevas normas técnicas reglamentarias de la Directiva de Servicios de Pago 2 (PSD2) están en vigor desde el 14 de septiembre de 2019. Estas fueron definidas por la Autoridad Bancaria Europea y todos los minoristas en línea europeos están obligados a garantizar una mejor autenticación de los clientes cuando compran en línea. Este artículo le informa sobre los detalles.
Antecedentes de la cobertura fuerte
En detalle, esto significa para todos los minoristas europeos en línea: todas las transacciones de pago con tarjeta de crédito deben estar "fuertemente" protegidas y ser objeto de una doble comprobación para garantizar que el comprador es realmente el titular de la tarjeta. Este proceso se denomina autenticación de dos factores.
Los requisitos de autenticación fuerte del cliente (SCA) pretenden aumentar la seguridad de los pagos electrónicos y proteger así contra el fraude en las compras en línea. Desde el 1 de enero de 2021, la SCA debe utilizarse en todas las transacciones de comercio electrónico, a menos que se aplique una excepción.
¿Qué es la autenticación robusta de clientes?
Con la autenticación fuerte, la identidad se verifica mediante dos factores. Estos factores se dividen en categorías. Por regla general, los factores utilizados deben proceder de categorías diferentes.
Las categorías habituales en la actualidad son
- Conocimiento: Esto incluye contraseñas o un PIN
- Posesión: Por ejemplo, una tarjeta de crédito o un smartphone
- Inherencia (características o comportamiento): Esto incluye, por ejemplo, las huellas dactilares y el reconocimiento facial
Ejemplo: El procedimiento utilizado a menudo en el pasado para proteger el número de la tarjeta de crédito con el código de seguridad del reverso de la tarjeta no cumple el requisito de autenticación fuerte. Esto se debe a que tanto el número de tarjeta de crédito como el código de seguridad pertenecen a la categoría de posesión.
Consecuencia: además del número de tarjeta de crédito, debe utilizarse otro factor, por ejemplo, una contraseña, un PIN o TAN o una huella dactilar, ya que estos factores pertenecen a la categoría de conocimiento o inherencia.
La autenticación de dos factores no es un procedimiento nuevo en sí. Lo que es nuevo es que su uso es obligatorio para todos los pagos electrónicos por primera vez.
¿Qué significa esto en concreto para los minoristas en línea?
- Introduzca la comprobación de seguridad o el procedimiento de seguridad 3D Secure. Esto se aplica a todos los pagos online con tarjeta de crédito, por ejemplo, MasterCard Identity Check (antes SecureCode) o Visa Secure (Verified by Visa), Amex Safe Key.
- Active la opción Realizar comprobación 3D Secure en el menú de configuración de ipayment en Aplicaciones > Configuración de seguridad.
- Para nuevas instalaciones, activaremos 3D Secure por defecto. Requisito: La tienda debe soportar el reenvío 3D Secure. Compruebe si es necesario marcar la casilla 3D Secure:
- - Para ello, haga clic en Métodos de pago en el menú de administración de ipayment.
- - Seleccione un proveedor de pago y haga clic en Editar.
- - En la página de detalles del método de pago, marque la casilla correspondiente a 3D Secure.
- Informe a sus clientes para que estén lo mejor preparados posible para el proceso. Esto minimizará sus tasas de abandono de compra y evitará compradores frustrados con los pagos con tarjeta.
La interfaz Shop > ipayment existente puede seguir utilizándose como de costumbre.
El nuevo proceso 3D Secure
3D Secure Procedure 2 (3DS2) es una nueva norma introducida en el mercado por EMVCo y los principales sistemas de tarjetas de crédito. Introduce un nuevo enfoque de la autenticación a través de un amplio espectro de datos, autenticación biométrica y una experiencia en línea mejorada y normalizada. 3D Secure Procedure 1, que se utilizaba anteriormente, seguirá funcionando en paralelo.
El objetivo de 3DS2 es comprobar, en función del riesgo, si el cliente necesita realmente pasar por la autenticación (SCA). Los bancos pueden evaluar mejor el riesgo de fraude, ya que entre el comerciante y el banco se intercambian más datos sobre el cliente que antes. Pueden ser más de 100 puntos de datos. Los datos incluyen, por ejemplo, información sobre el navegador, el dispositivo utilizado (teléfono móvil, tableta) y la dirección de entrega. Por ejemplo, el banco puede comparar si los datos transmitidos por el comerciante coinciden con los que ya tiene archivados de sus propios clientes. Esto debería facilitar la detección de usos indebidos.
Los datos se almacenan en el banco emisor de la tarjeta, pero suelen borrarse al cabo de un año. El objetivo es también ofrecer al cliente un procedimiento de autenticación lo más sencillo posible.
El proceso dinámico y fácil de usar de procesamiento de pagos con 3DS2 mejora así la experiencia básica del cliente en comparación con su predecesor y conduce a menos posibles cancelaciones de compras por parte del comerciante.
Además, ahora la nueva 3DS2 también funcionará de forma más sencilla y segura en los teléfonos inteligentes.
Las excepciones más importantes a la autenticación robusta de los clientes
La Directiva sobre servicios de pago define varias excepciones. Sin embargo, el banco puede decidir si permite una excepción o exige una doble identificación.
Transacciones iniciadas por el comerciante (MIT), incluidos los pagos recurrentes y las suscripciones con importes variables
Las transacciones recurrentes están exentas a partir de la segunda transacción. Sólo la primera transacción requiere una autenticación fuerte del cliente. Tenga en cuenta que estas transacciones deben etiquetarse como transacciones recurrentes para poder beneficiarse de la exención. Es importante que la transacción inicial se realice con 3D Secure y que la transacción inicial y todas las transacciones posteriores estén correctamente etiquetadas como transacciones recurrentes.
Encontrará más detalles en el manual técnico de ipayment en el capítulo "Pagos recurrentes"
Bajo riesgo
Los pagos para los que el banco emisor de su tarjeta prevea un bajo riesgo de fraude también pueden realizarse con autenticación simple.
Pedidos por correo y teléfono (MOTO)
Las transacciones MOTO no se consideran pagos electrónicos y, por lo tanto, no son relevantes para SCA. Importante, asegúrese de que sus transacciones MOTO están correctamente etiquetadas para todos los escenarios de compra o pago del titular de la tarjeta.
Si la autenticación del titular de la tarjeta se realiza con 3D Secure, los comerciantes suelen estar protegidos frente a devoluciones de cargo relacionadas con fraudes. En estos casos, la responsabilidad se transfiere al emisor de la tarjeta. Si el comerciante aplica una excepción a la transacción al utilizar 3DS2, la responsabilidad no se transfiere al emisor de la tarjeta.
Tenga en cuenta que
3D Secure sólo protege contra devoluciones de cargo relacionadas con fraude. 3D Secure no protege contra devoluciones de cargo debidas a la política habitual de cancelación y devolución, por ejemplo, productos que no se corresponden con la descripción, defectos o no recepción del artículo vendido.