Direttiva PSD2 per i pagamenti online con carta di credito
Articolo tradotto a macchina
Questo testo è una traduzione automatica. È prevista una versione riveduta.
Per creare un PDF, utilizzare la funzione “Stampa” in fondo alla pagina.
Valido per iPayment.
I nuovi standard tecnici normativi della Payment Service Directive 2 (PSD2) sono in vigore dal 14 settembre 2019. Questi sono stati definiti dall'Autorità bancaria europea e tutti i rivenditori online europei sono obbligati a garantire una migliore autenticazione dei clienti quando fanno acquisti online. Questo articolo vi informa sui dettagli.
Il contesto della copertura forte
In dettaglio, questo significa per tutti i rivenditori online europei: tutte le transazioni di pagamento con carta di credito devono essere "fortemente" protette e sottoposte a un doppio controllo per garantire che l'acquirente sia effettivamente il titolare della carta. Questo processo è chiamato autenticazione a due fattori.
I requisiti per l'autenticazione forte del cliente (SCA) mirano ad aumentare la sicurezza dei pagamenti elettronici e quindi a proteggere dalle frodi negli acquisti online. Dal 1° gennaio 2021, la SCA deve essere utilizzata per tutte le transazioni di e-commerce, a meno che non si applichi un'eccezione.
Che cos'è l'autenticazione forte dei clienti?
Con l'autenticazione forte, l'identità viene verificata da due fattori. Questi fattori sono suddivisi in categorie. Come regola generale, i fattori utilizzati devono appartenere a categorie diverse.
Attualmente le categorie abituali sono
- Conoscenza: Include le password o il PIN
- Possesso: ad esempio, una carta di credito o uno smartphone
- Inerenza (caratteristiche o comportamento): Ad esempio, le impronte digitali e il riconoscimento facciale
Esempio: la procedura spesso utilizzata in passato per proteggere il numero della carta di credito con il codice di sicurezza sul retro della carta non soddisfa i requisiti di autenticazione forte. Questo perché sia il numero della carta di credito che il codice di sicurezza appartengono alla categoria del possesso.
Conseguenza: oltre al numero della carta di credito, è necessario utilizzare un altro fattore, ad esempio una password, un PIN o un TAN o un'impronta digitale, poiché questi fattori appartengono alla categoria della conoscenza o dell'ereditarietà.
L'autenticazione a due fattori non è di per sé un processo nuovo. La novità è che per la prima volta il suo utilizzo è obbligatorio per tutti i pagamenti elettronici.
Cosa significa questo per i rivenditori online nel dettaglio?
- Introdurre il controllo di sicurezza o la procedura di sicurezza 3D Secure. Questo vale per tutti i pagamenti online con carta di credito, ad esempio MasterCard Identity Check (ex SecureCode) o Visa Secure (Verified by Visa), Amex Safe Key.
- Attivare l'opzione Esegui verifica 3D Secure nel menu di configurazione di ipayment in Applicazioni > Impostazioni di sicurezza.
- Per le nuove installazioni, l'attivazione di 3D Secure è predefinita. Prerequisito: il negozio deve supportare l'inoltro 3D Secure. Verificate se la casella 3D Secure deve essere spuntata :
- - A tale scopo, cliccare su Metodi di pagamento nel menu di amministrazione di ipayment.
- - Selezionate ora un fornitore di pagamenti e cliccate su Modifica.
- - Nella pagina dei dettagli del metodo di pagamento, spuntare la casella corrispondente a 3D Secure.
- Informate i vostri clienti in modo che siano preparati al meglio al processo. In questo modo si ridurrà al minimo il tasso di abbandono degli acquisti e si eviteranno gli acquirenti frustrati dai pagamenti con carta.
L'interfaccia Shop > ipayment esistente può essere utilizzata come di consueto.
Il nuovo processo 3D Secure
3D Secure Procedure 2 (3DS2) è un nuovo standard introdotto sul mercato da EMVCo e dai principali circuiti di carte di credito. Introduce un nuovo approccio all'autenticazione attraverso un ampio spettro di dati, l'autenticazione biometrica e un'esperienza online migliorata e standardizzata. La procedura 3D Secure 1, utilizzata in precedenza, continuerà a essere utilizzata in parallelo.
L'obiettivo di 3DS2 è verificare, in base al rischio, se il cliente ha davvero bisogno di passare attraverso l'autenticazione (SCA). Le banche possono valutare meglio il rischio di frode, poiché tra l'esercente e la banca vengono scambiati più dati del passato. I dati possono essere più di 100. I dati comprendono, ad esempio, informazioni sul browser, sul dispositivo utilizzato (cellulare, tablet) e sull'indirizzo di consegna. Ad esempio, la banca può confrontare i dati trasmessi dal commerciante con quelli già in possesso dei propri clienti. In questo modo dovrebbe essere più facile riconoscere gli abusi.
I dati vengono conservati presso la banca che emette la carta, ma di solito vengono cancellati dopo un anno. L'obiettivo è anche quello di offrire al cliente la procedura di autenticazione più semplice possibile.
Il processo dinamico e semplice di elaborazione dei pagamenti con il 3DS2 migliora quindi l'esperienza di base del cliente rispetto al suo predecessore e porta a un minor numero di possibili cancellazioni di acquisti da parte dell'esercente.
Inoltre, il nuovo 3DS2 funzionerà in modo più semplice e sicuro anche sugli smartphone.
Le eccezioni più importanti all'autenticazione forte dei clienti
La direttiva sui servizi di pagamento definisce diverse eccezioni. Tuttavia, la banca può decidere se consentire un'eccezione o richiedere la doppia identificazione.
Transazioni avviate dall'esercente (MIT), compresi pagamenti ricorrenti e abbonamenti con importi variabili
Le transazioni ricorrenti sono esenti a partire dalla seconda transazione. Solo la prima transazione richiede un'autenticazione forte del cliente. Si noti che queste transazioni devono essere etichettate come transazioni ricorrenti per poter beneficiare dell'esenzione. È importante che la transazione iniziale sia effettuata con 3D Secure e che la transazione iniziale e tutte quelle successive siano correttamente etichettate come transazioni ricorrenti.
Ulteriori dettagli sono disponibili nel manuale tecnico di ipayment al capitolo "Pagamenti ricorrenti".
Basso rischio
I pagamenti per i quali la banca emittente della carta prevede un basso rischio di frode possono essere eseguiti anche con una semplice autenticazione.
Ordini telefonici e per corrispondenza (MOTO)
Le transazioni MOTO non sono considerate pagamenti elettronici e non sono quindi rilevanti per SCA. È importante assicurarsi che le transazioni MOTO siano etichettate correttamente per tutti gli scenari di acquisto o pagamento del titolare della carta.
Se l'autenticazione del titolare della carta viene eseguita con 3D Secure, gli esercenti sono generalmente protetti dai chargeback legati alle frodi. In questi casi, la responsabilità viene trasferita all'emittente della carta. Se l'esercente applica un'eccezione alla transazione quando utilizza 3DS2, la responsabilità non viene trasferita all'emittente della carta.
Si prega di notare
3D Secure protegge dai chargeback solo in caso di frode. 3D Secure non protegge dai riaddebiti dovuti alla normale politica di cancellazione e restituzione, ad esempio in caso di merce non corrispondente alla descrizione, di difetti o di mancata ricezione dell'articolo venduto.