En esta guía, analizaremos con detalle los nuevos requisitos de autenticación reforzada de clientes (SCA, por sus siglas en inglés) que ha establecido la segunda directiva sobre servicios de pago (PSD2) y los tipos de pagos que se verán afectados. También te contaremos cómo funcionan las exenciones que podrás solicitar en nombre de tu empresa para que puedas ofrecerles a tus clientes una experiencia de compra más sencilla y agradable.
También hemos publicado una guía para ayudarte a identificar cuándo añadir la autenticación en el recorrido de tu cliente y una guía sobre cómo prepararte para la próxima Directiva de Servicios de Pago 3 (PSD3). Visita nuestro sitio web para obtener más información sobre los productos listos para SCA de Stripe.
¿Qué es la autenticación reforzada de clientes?
La autenticación reforzada de clientes (SCA) es un requisito normativo europeo para reducir el fraude y conseguir que los pagos por Internet y con métodos sin contacto sean más seguros. Para aceptar pagos y cumplir con los requisitos de la SCA, tendrás que incorporar un paso de autenticación adicional al flujo de tu proceso de compra. La SCA exige que en la autenticación se utilicen al menos dos de los siguientes tres elementos.
Si quieres leer los requisitos de SCA originales, se detallan en las Normas Técnicas de Regulación o RTS (por sus siglas en inglés). Los bancos deben rechazar los pagos que requieran SCA y no cumplan estos criterios.
¿Cuándo se requiere la autenticación reforzada de clientes?
La autenticación reforzada de clientes se aplica a los pagos en línea y con métodos sin contacto «iniciados por el cliente» en el Reino Unido o Europa. Todos los pagos electrónicos (es decir, pagos con tarjeta y transferencias bancarias) requieren esa autenticación adicional, a no ser que se pueda aplicar una exención o que se considere que la transacción está fuera del alcance de la SCA, como ocurre con las transacciones «iniciadas por el comerciante» (por ejemplo, adeudos directos).
Para los pagos con tarjeta por Internet, estos requisitos se aplican a las transacciones en las que tanto la empresa como el banco del titular de la tarjeta están ubicados en el Espacio Económico Europeo (EEE).
Cómo autenticar un pago con tarjeta
Actualmente, la forma más común de autenticar un pago por Internet con tarjeta es a través de 3D Secure, un estándar de autenticación compatible con la gran mayoría de las tarjetas europeas. Al aplicar 3D Secure, se añade un paso tras el proceso de compra en el que el banco solicita al titular de la tarjeta que proporcione información adicional para completar el pago (por ejemplo, un código de un solo uso enviado a su teléfono o la autenticación con sus datos biométricos a través de la aplicación móvil de su banco).
3D Secure 2 es el método principal para autenticar los pagos con tarjeta por Internet y cumplir los requisitos de SCA.
Las transacciones con tarjeta presenciales suelen cumplir los requisitos de autenticación mediante la introducción del PIN. Otros métodos de pago con tarjeta, como Apple Pay o Google Pay, ya aceptan flujos de pago con una capa de autenticación integrada (biométrica o con contraseña). Pueden ser una excelente manera para que las empresas ofrezcan una experiencia del proceso de compra sin fricciones al tiempo que cumplen los requisitos.
Cómo funciona la responsabilidad de las disputas por fraude en el marco de 3DS
Una de las ventajas que tiene aplicar la SCA con una autenticación en varios pasos satisfactoria es que las empresas pueden obtener protección de responsabilidad en caso de disputas por fraude.
La siguiente tabla explica cómo el resultado de la autenticación determina la responsabilidad ante disputas para los pagos con tarjeta por Internet.
|
Empresa
|
Código ATECO
|
|
|---|---|---|
| Empresa | Código ATECO | |
| Desafío de 3DS completado correctamente* | Emisor | |
|
Flujo sin fricción de 3DS completado correctamente** (no se han solicitado exenciones) | Emisor** | |
|
Exención de SCA aplicada (redes de 3DS o redes de autorización) | Empresa | |
|
Directo a autorización (3DS no iniciado o fuera del alcance de la SCA) | Empresa |
*Si el usuario está en un programa de supervisión de fraude o en un MCC no apto, es posible que las reglas de transferencia de responsabilidad no se apliquen a sus transacciones, independientemente del resultado de la autenticación de 3DS.
**El flujo sin fricción de 3DS se solicita con una elección específica de «indicador de desafío de 3DS» solicitada por el PSP, dependiendo de las reglas del esquema de las distintas redes de tarjetas (p. ej., presencia o ausencia de CAVV).
Exenciones a la autenticación reforzada de clientes
No todos los pagos están dentro del alcance de la autenticación en varios pasos en el marco de la SCA, ya que algunos pueden acogerse a una exención estipulada en la normativa y otros están fuera del alcance de aplicación de la SCA. En aquellos casos en los que se solicite una exención y el banco del titular de la tarjeta la acepte, la responsabilidad relativa a las disputas por fraude seguirá recayendo sobre la empresa.
|
Tipo
|
Exención/exclusión
|
|
|---|---|---|
| Exención | Pagos sin contacto en el sistema POS | |
| Exención | Terminales desatendidos para transporte o aparcamiento | |
| Exención | Beneficiario de confianza | |
| Exención | Transacciones recurrentes | |
| Exención | Transferencias de crédito entre cuentas de una misma persona | |
| Exención | Transacciones de bajo valor | |
| Exención | Pagos corporativos seguros | |
| Exención | Transacciones de bajo riesgo | |
| Fuera del alcance (exclusión) | Una parte fuera (el adquirente o emisor se encuentra fuera del EEE) | |
| Fuera del alcance (exclusión) | Pedido por correo o por teléfono (MOTO) | |
| Fuera del alcance (exclusión) | Transacción iniciada por el comerciante (MIT) |
Los proveedores de servicios de pago (como Stripe) pueden solicitar exenciones al procesar el pago. El banco del titular de la tarjeta recibirá la solicitud, evaluará el nivel de riesgo de la transacción y decidirá, en última instancia, si aprueba la exención o si la autenticación sigue siendo necesaria. Al aplicar exenciones para los pagos de bajo riesgo se reduce la cantidad de veces que es necesaria la autenticación del cliente y, por lo tanto, se reducen las complicaciones y el abandono de clientes.
Stripe utiliza el «machine learning» para determinar la exención óptima en cada caso a fin de ayudarte a ofrecer a tus clientes la experiencia del proceso de compra más fluida posible. Hemos diseñado nuestros productos de pagos para SCA de manera que puedas aprovechar las exenciones cuando sea posible a fin de proteger tu conversión.
Estas son las exenciones más adecuadas para las empresas que aceptan pagos por Internet:
Transacciones de bajo riesgo
Un proveedor de servicios de pago (como Stripe) puede realizar un análisis de riesgo en tiempo real, que se conoce como «análisis de riesgo de las transacciones» (TRA, por sus siglas en inglés), para determinar si aplica la autenticación reforzada de clientes a una transacción. Para ello, también es necesario que las tasas de fraude para pagos con tarjeta del proveedor de servicios de pago no superen los siguientes umbrales:
- 0,13 % para que las transacciones por debajo de 100 €/85 £ queden exentas
- 0,06 % para que las transacciones por debajo de 250 €/220 £ queden exentas
- 0,01 % para que las transacciones por debajo de 500 €/440 £ queden exentas
Estos umbrales se convertirán a la divisa local cuando sea pertinente.
Esta exención es una de las más útiles para las empresas y una de las más aceptadas por los bancos. Stripe Radar ofrece una evaluación de riesgos muy completa y en tiempo real que nos permite aplicar este tipo de exenciones para nuestros usuarios.
Pagos por debajo de 30 €/25 £
Los pagos de un importe bajo también pueden estar exentos. Las transacciones por debajo de 30 € o 25 £ se consideran de «bajo valor» y pueden estar exentas de SCA. Sin embargo, los bancos deberán solicitar la autenticación reforzada si la exención ya se ha utilizado cinco veces desde la última autenticación o si la suma de los pagos exentos supera los 100 € o las 85 £. El banco del titular de la tarjeta es el encargado de realizar el seguimiento del número de veces que se ha aplicado la exención y de decidir si la autenticación es necesaria.
Debido a las estrictas limitaciones de esta exención, quizá no sea relevante para muchos pagos. No obstante, admitiremos esta exención para nuestros usuarios.
Transacciones recurrentes
Esta exención puede aplicarse cuando el cliente realiza una serie de pagos recurrentes de un mismo importe y a una misma empresa. El primer pago sí se verá sujeto a la SCA, pero los cargos posteriores podrían estar exentos de esa autenticación adicional.
Esta exención la aceptan la gran mayoría de los bancos europeos y es de gran utilidad para las empresas que ofrecen suscripciones. Si usas Stripe Billing para crear suscripciones, aplicaremos automáticamente esta exención siempre que sea posible y ayudaremos a gestionar las solicitudes de autenticación en caso de que el banco la requiera.
Transacciones iniciadas por el comerciante (para importes fijos o variables)
Los pagos que se realizan con los datos de tarjetas guardadas cuando el cliente no está presente en el flujo del proceso de compra (lo que se conoce como un pago «fuera de la sesión» o con el vocablo inglés «off-session») pueden considerarse como «transacciones iniciadas por el comerciante». Aunque, en teoría, estos pagos quedan fuera del alcance de la SCA, en la práctica, marcar un pago como una «transacción iniciada por el comerciante» será similar a solicitar una exención. Por lo tanto, como con cualquier otra exención, el banco seguirá pudiendo decidir si la transacción requiere autenticación adicional.
Para poder marcar una transacción como «iniciada por el comerciante», deberás haber autenticado los datos de la tarjeta cuando se hayan introducido por primera vez o en el momento del primer pago. También deberás obtener el permiso del cliente (lo que se conoce como un «mandato») para efectuar cargos en su tarjeta más adelante.
Este es un caso de uso imprescindible para los modelos de negocio que trabajan con pagos aplazados, cobran suscripciones de importes variables o suelen añadir cargos adicionales a sus facturas. La mayoría de los bancos europeos acepta esta exención si considera que la transacción es de bajo riesgo.
La API de Stripe te permite autenticar una tarjeta cuando se guarda para usarla más adelante y marcar los pagos posteriores como «transacciones iniciadas por el comerciante». Es importante que las empresas utilicen las API de Stripe más recientes para garantizar la preparación para la SCA.
Ventas telefónicas (MOTO)
Los datos de tarjetas recopilados por teléfono quedan fuera del alcance de la SCA y no requieren autenticación. Este tipo de pagos suele incluirse en la categoría de «pedidos telefónicos y pedidos por correo» (o MOTO, por sus siglas en inglés). Su funcionamiento, sin embargo, es muy similar al de las exenciones: las transacciones MOTO deben ser identificadas como tales, y el banco del titular de la tarjeta es el encargado de tomar la decisión de aceptar o rechazar la transacción.
Este es un caso de uso importante para cualquier empresa que acepte pagos por teléfono y está ampliamente aceptado por los bancos. Los pagos creados a través del Dashboard de Stripe se pueden marcar automáticamente como pagos MOTO para este caso de uso.
Si tu empresa cumple con la normativa PCI y has creado tu propio sistema para aceptar pedidos por teléfono, nuestras nuevas API de pagos te permitirán marcar un pago como MOTO. Contáctanos para habilitar esta función en tu cuenta de Stripe y acceder a la documentación técnica.
Pagos corporativos
Esta exención se aplica a pagos con tarjetas emitidas específicamente para los gastos de viaje de una empresa (por ejemplo, una tarjeta corporativa gestionada directamente por un agente de viajes y que se usa para administrar los gastos de viaje de los empleados) y a pagos realizados con tarjetas virtuales (que también se usan en el sector turístico).
El alcance de esta exención es muy limitado, por lo que tiene poco uso fuera del sector de los viajes. Esta exención solo la puede solicitar el banco del titular de la tarjeta, ya que ni la empresa que recibe el pago ni los proveedores de servicios de pago (como Stripe) pueden detectar si una tarjeta pertenece a esta categoría.
Beneficiarios de confianza
Tras autenticar un pago, los clientes pueden tener la opción de añadir el negocio a su lista de «beneficiarios de confianza» para no tener que autenticar compras futuras. Aunque los negocios los elige el cliente, esta lista de «beneficiarios de confianza» debe guardarla su banco o el proveedor de servicios de pago.
Si bien estas listas de «beneficiarios de confianza» pueden conseguir que las compras recurrentes o las suscripciones sean mucho más cómodas para los clientes, los bancos han empezado a adoptar esta función muy lentamente.
¿Qué sucede si falla una exención?
Si bien las exenciones pueden ser muy útiles, es importante recordar que el banco del titular de la tarjeta es quien tiene la última palabra sobre si acepta o no una exención. Los bancos pueden devolver códigos de rechazo concretos si un pago ha fallado porque no se ha aceptado la exención y, por lo tanto, le faltaba autenticación. Tras el pago fallido, se debe volver a enviar la solicitud al cliente y pedirle un paso de autenticación adicional. Los productos para pagos para la SCA de Stripe activan automáticamente esta solicitud de autenticación siempre que el banco lo requiera.
Si tu empresa se ve afectada por la SCA, te recomendamos que tengas en marcha un plan alternativo para los casos en que se rechace una exención y tu cliente necesite autenticarse. Esto es especialmente importante si cobras a tus clientes cuando no participan activamente en el flujo del proceso de compra (por ejemplo, si se les envían cobros recurrentes por una suscripción) y es posible que deban volver a tu sitio web o aplicación para autenticarse. Consulta nuestra guía sobre el diseño de flujos de pago para la SCA si quieres más información sobre cómo preparar tus pagos para la nueva normativa.
Cómo Stripe te ayuda a cumplir con los requisitos de la autenticación reforzada de clientes
Los cambios que introduce esta nueva normativa afectarán significativamente al comercio por Internet en Europa. Las empresas afectadas que no cumplan estos nuevos requisitos podrían experimentar repercusiones en su tasa de conversión a medida que las reglas de la SCA sigan cambiando en los bancos europeos.
Además de admitir nuevos métodos de autenticación como 3D Secure 2, creemos que optimizar la aplicación de exenciones es un componente fundamental para ofrecer a tus clientes una experiencia de pagos sencilla, agradable y con menos fraude. Nuestros nuevos productos de pagos se optimizan para las distintas normativas, bancos y redes de tarjetas, y aplican exenciones siempre que sea posible para pagos de bajo riesgo, por lo que los pasos adicionales de autenticación solo se activan cuando sea estrictamente necesario. Nuestros modelos de «machine learning» avanzados también te ayudan a adaptarte a los cambios en las reglas de la SCA.
Próximos cambios
Los organismos reguladores de la UE y el Reino Unido también están trabajando en la revisión de las reglas que darán forma al futuro de la SCA en ambas regiones. La Comisión Europea ha revisado el marco actual de la PSD2 y ha emitido propuestas para una Directiva de Servicios de Pago 3 y un Reglamento de Servicios de Pago. Stripe ha publicado esta guía en la que se detallan los aspectos que las empresas pueden esperar de las nuevas reglas; estamos supervisando de cerca el progreso de reglas similares en el mercado del Reino Unido.
Obtén más información sobre los productos listos para SCA de Stripe. Si tienes alguna pregunta o comentario, contacta con nosotros.