In questa guida, analizzeremo più da vicino i requisiti di autenticazione SCA (Strong Customer Authentication) introdotti dalla direttiva PSD2 (Payments Services Directive 2) e le tipologie di pagamenti interessati. Verranno inoltre presentate le esenzioni disponibili che possono essere richieste per conto delle attività per offrire un'esperienza di pagamento senza complicazioni.
Abbiamo anche pubblicato una guida per aiutarti a identificare quando aggiungere l'autenticazione nel percorso del cliente e una guida su come prepararsi alla futura terza direttiva sui servizi di pagamento (PSD3). Vai sul nostro sito per ulteriori informazioni sui prodotti Stripe dotati di SCA.
Che cos'è l'autenticazione SCA?
L'autenticazione SCA è un requisito normativo europeo volto a ridurre le frodi e rendere più sicuri i pagamenti online e quelli offline contactless. Per accettare pagamenti e soddisfare i requisiti di autenticazione forte del cliente, devi integrare un'autenticazione aggiuntiva nel tuo flusso di checkout. La SCA richiede che l'autenticazione utilizzi almeno due dei tre elementi seguenti.
Per consultare i requisiti di autenticazione forte del cliente originali, è possibile accedere agli standard tecnici normativi o RTS. Le banche dovranno iniziare a rifiutare i pagamenti che richiedono la SCA e non rispettano questi criteri.
Quando è necessaria l'autenticazione SCA?
L'autenticazione SCA si applica ai pagamenti online e ai pagamenti contactless offline disposti dai clienti nel Regno Unito e in Europa. Tutti i pagamenti elettronici (pagamenti con carta e bonifici bancari) richiedono l'autenticazione SCA, a meno che non si possa applicare un'esenzione o che la transazione non sia considerata fuori dal campo di applicazione della SCA, come nel caso delle transazioni avviate dall'esercente (ad esempio, l'addebito diretto).
Per i pagamenti con carta online, questi requisiti si applicano alle transazioni in cui sia l'attività che la banca del titolare della carta si trovano nello Spazio economico europeo (SEE).
Come autenticare un pagamento con carta
Al momento, la modalità più comune per autenticare un pagamento online con carta è il 3D Secure, uno standard di autenticazione supportato dalla stragrande maggioranza delle carte europee. L'applicazione del 3D Secure prevede in genere una fase di autenticazione aggiuntiva, successiva al pagamento, in cui la banca del titolare della carta chiede a quest'ultimo di fornire informazioni aggiuntive per completare il pagamento (ad esempio, un codice una tantum inviato al telefono o l'autenticazione dell'impronta digitale tramite l'app della banca (su dispositivo mobile).
3D Secure 2 è il metodo principale per autenticare i pagamenti con carta online e soddisfare i requisiti di autenticazione forte del cliente.
Le transazioni con carta offline in genere soddisfano i requisiti di autenticazione con l'inserimento del PIN. Altri metodi di pagamento basati su carta, come Apple Pay o Google Pay, supportano già flussi di pagamento con un livello di autenticazione integrato (biometrico o tramite password). Possono essere un'ottima soluzione per consentire alle attività di offrire un'esperienza di checkout fluida rispettando al contempo i requisiti.
Come funziona la responsabilità per le contestazioni fraudolente nel contesto di 3DS
Uno dei vantaggi dell'applicazione della SCA nel contesto dell'autenticazione a più fattori è che le attività possono ottenere una protezione dalla responsabilità in caso di contestazioni fraudolente.
La tabella seguente spiega come l'esito dell'autenticazione determina la responsabilità in caso di contestazioni per i pagamenti con carta online.
|
Attività
|
Codice ATECO
|
|
|---|---|---|
| Attività | Codice ATECO | |
| Successo della richiesta di autenticazione 3DS* | Società emittente | |
|
Esito positivo dell'autenticazione 3DS senza interazione aggiuntiva** (nessuna esenzione richiesta) | Società emittente** | |
|
Esenzione SCA applicata 2 (circuiti 3DS o circuiti di autorizzazione) | Attività | |
|
Invio diretto all'autorizzazione (3DS non avviato o fuori dall'ambito della SCA) | Attività |
*Se l'Utente partecipa a un programma di monitoraggio delle frodi o rientra in una categoria merceologica (MCC) non idonea, le norme di traslazione di responsabilità potrebbero non applicarsi alle sue transazioni, indipendentemente dall'esito dell'autenticazione 3DS.
**Il 3DS senza interazione aggiuntiva viene richiesto tramite una specifica selezione dell'"indicatore di richiesta di autenticazione 3DS" da parte del PSP, in base alle regole dei diversi circuiti delle carte (ad esempio, con o senza CAVV).
Esenzioni all'autenticazione SCA
Non tutti i pagamenti rientrano nell'ambito dell'autenticazione a più fattori ai sensi della SCA. Alcuni possono beneficiare di un'esenzione prevista dal regolamento oppure sono fuori dal campo di applicazione della SCA. Nei casi in cui l'esenzione è richiesta e accettata dalla banca del titolare della carta, la responsabilità delle contestazioni fraudolente resta a carico dell'attività.
|
Tipo
|
Esenzione/Esclusione
|
|
|---|---|---|
| Esenzione | Pagamenti contactless presso i terminali POS | |
| Esenzione | Terminali non presidiati per trasporti/parcheggi | |
| Esenzione | Beneficiario attendibile | |
| Esenzione | Transazioni ricorrenti | |
| Esenzione | Bonifici tra conti intestati alla stessa persona | |
| Esenzione | Transazioni di basso importo | |
| Esenzione | Pagamenti aziendali sicuri | |
| Esenzione | Transazioni a basso rischio | |
| Fuori ambito (esclusione) | Operazione one-leg-out (la banca acquirente o la società emittente si trova al di fuori del SEE) | |
| Fuori ambito (Esclusione) | Ordine per posta/ordine telefonico (MOTO) | |
| Fuori ambito (Esclusione) | Transazione avviata dall'esercente (MIT) |
I fornitori di servizi di pagamento come Stripe possono richiedere esenzioni quando elaborano il pagamento. La banca del titolare della carta riceverà la richiesta, valuterà il livello di rischio della transazione e deciderà quindi se approvare l'esenzione o se l'autenticazione è comunque necessaria. Con l'attivazione delle esenzioni per i pagamenti a basso rischio è possibile ridurre gli ostacoli e i tassi di abbandono da parte dei clienti.
Stripe si avvale del machine learning per determinare l'esenzione ottimale in ogni caso, per aiutarti a fornire ai tuoi clienti un'esperienza di checkout il più semplice possibile. Abbiamo progettato i nostri prodotti di pagamento dotati di SCA per aiutarti a sfruttare le esenzioni ove possibile per proteggere la conversione.
Le esenzioni più rilevanti per le attività che accettano pagamenti online sono:
Transazioni a basso rischio
Un fornitore di servizi di pagamento (come Stripe) può effettuare un'analisi del rischio in tempo reale, nota come TRA (Transaction Risk Analysis), per determinare se applicare l'autenticazione SCA a una transazione. Questa esenzione potrebbe essere applicabile solo se i tassi di frode complessivi del fornitore di servizi di pagamento per i pagamenti con carta non superano le seguenti soglie:
- 0,13% per applicare l'esenzione a transazioni di importo inferiore a 100 €/85 £
- 0,06% per applicare l'esenzione a transazioni di importo inferiore a 250 €/220 £
- 0,01% per applicare l'esenzione a transazioni di importo inferiore a 500 €/440 £
Tali soglie verranno convertite negli importi locali equivalenti, se pertinente.
Questa è una delle esenzioni più utili per le attività e una delle più supportate dalle banche. Stripe Radar offre una valutazione del rischio completa e in tempo reale che ci consente di supportare questa esenzione per i nostri utenti.
Pagamenti inferiori a 30 €/25 £
Anche i pagamenti di importo ridotto possono essere esentati. Le transazioni inferiori a 30 € o 25 £ sono considerate "a basso valore" e potrebbero godere dell'esenzione dell'autenticazione SCA. Le banche comunque devono richiedere l'autenticazione se l'esenzione è già stata utilizzata cinque volte dall'ultima autenticazione andata a buon fine per il titolare della carta o se la somma dei pagamenti precedentemente esentati supera i 100 €/85 £. La banca del titolare della carta deve tenere traccia del numero di volte in cui è stata utilizzata l'esenzione e decidere se l'autenticazione è necessaria.
A causa delle rigide limitazioni, questa esenzione potrebbe non essere rilevante per molti pagamenti. Tuttavia, supportiamo questa esenzione per i nostri utenti.
Transazioni ricorrenti
L'esenzione è applicabile se il cliente effettua una serie di pagamenti ricorrenti dello stesso importo alla stessa attività. L'autenticazione SCA è necessaria per il primo pagamento del cliente, mentre i successivi potrebbero essere esentati dall'autenticazione .
Questa esenzione è molto utile per le attività che offrono abbonamenti ed è ampiamente supportata dalle banche europee. Se stai usando Stripe Billing per creare gli abbonamenti, applicheremo automaticamente questa esenzione, se pertinente, e ti aiuteremo a gestire le richieste di autenticazione nel caso in cui la banca del cliente rifiuti l'esenzione.
Transazioni avviate dall'esercente (inclusi gli abbonamenti variabili)
I pagamenti effettuati tramite carte salvate quando il cliente non è presente durante il flusso di pagamento (chiamati anche pagamenti all'esterno della sessione) potrebbero essere considerati transazioni avviate dall'esercente. Tali pagamenti tecnicamente non rientrano nell'ambito di applicazione dell'autenticazione SCA. In pratica, effettuare un pagamento come transazione avviata dall'esercente è simile a richiedere un'esenzione. E, come per qualsiasi altra esenzione, decide la banca se applicare o meno l'autenticazione.
Per utilizzare le transazioni avviate dall'esercente, devi autenticare la carta al momento del primo salvataggio o del primo pagamento. Infine, dovrai ricevere un'autorizzazione dal cliente (un mandato) per eseguire addebiti successivi sulla carta.
È un importante caso d'uso per i modelli di business che si basano su pagamenti ritardati, addebitano abbonamenti con importo variabile o addebitano servizi aggiuntivi. È supportato dalla maggior parte delle banche europee e accettato se la transazione è considerata a basso rischio dalla banca.
L''API di Stripe consente di autenticare una carta al momento del salvataggio per utilizzarla in seguito e considerare i pagamenti successivi come "transazioni avviate dall'esercente". È importante che le attività utilizzino le API di Stripe più recenti per garantire la conformità alla SCA.
Vendite telefoniche (MOTO)
I dati delle carte raccolti al telefono non rientrano nell'ambito della SCA e non richiedono l'autenticazione. Questa tipologia di pagamento spesso rientra nella categoria "ordini postali e telefonici" ("Mail Order and Telephone Orders", in breve "MOTO"). Similmente ai pagamenti con esenzione, le transazioni MOTO devono essere contrassegnate come tali, ma sarà sempre la banca del titolare della carta a stabilire se accettare o rifiutare la transazione.
Questo è un importante caso d'uso per qualsiasi attività che accetta pagamenti per telefono ed è ampiamente supportato dalle banche. I pagamenti creati tramite la Dashboard Stripe possono essere contrassegnati automaticamente come pagamenti MOTO per questo caso d'uso.
Se la tua attività è conforme agli standard PCI e hai sviluppato il tuo sistema per accettare ordini telefonici, le nostre API di pagamento ti consentono di contrassegnare un pagamento come MOTO. Contattaci per abilitare questa funzione sul tuo account Stripe e accedere alla documentazione tecnica.
Pagamenti aziendali
L'esenzione potrebbe riguardare i pagamenti effettuati con carte cosiddette lodged (ad esempio, quando una carta aziendale utilizzata per gestire le spese di viaggio di un dipendente è gestita direttamente da un operatore di viaggi online) o i pagamenti aziendali completati tramite numeri di carte virtuali (utilizzate anche queste nel settore dei viaggi).
Questa esenzione ha un utilizzo pratico limitato al di fuori del settore dei viaggi a causa dell'ambito di applicazione molto ristretto. L'esenzione stessa può essere richiesta solo dalla banca del titolare della carta, in quanto né l'azienda né i fornitori di servizi di pagamento (come Stripe) sono in grado di rilevare se una carta appartiene a queste categorie.
Beneficiari affidabili
Quando completi l'autenticazione per un pagamento, i clienti hanno la possibilità di aggiungere all'elenco consentito un'azienda affidabile per evitare di autenticare i pagamenti futuri. Tali aziende vengono quindi incluse nell'elenco dei beneficiari affidabili gestito dalla banca del cliente o dal fornitore di servizi di pagamento.
Sebbene l'aggiunta all'elenco dei consentiti semplifichi acquisti ripetuti o abbonamenti per i clienti, l'adozione di questa funzione tra gli istituti bancari è stata molto ridotta.
Che succede se un'esenzione non va a buon fine?
Se da un lato le esenzioni hanno una significativa utilità, è importante ricordare che è la banca del titolare della carta a decidere se accettare una deroga. Le banche possono restituire codici di rifiuto specifici per i pagamenti che non sono andati a buon fine perché l'esenzione non è stata accettata e, di conseguenza, il pagamento non è stato autenticato. Tali pagamenti devono quindi essere nuovamente inviati al cliente con una richiesta di autenticazione SCA. I prodotti dotati di SCA di Stripe attivano automaticamente questa autenticazione aggiuntiva quando è richiesta dalle banche.
Se la tua attività è interessata dalla SCA, ti consigliamo di prepararti a utilizzare un procedimento di riserva qualora un'esenzione venga rifiutata e il cliente debba effettuare l'autenticazione. Questo è particolarmente importante se addebiti il pagamento ai clienti quando questi non partecipano attivamente al flusso di checkout(ad esempio nel caso di procedure esterne alla sessione) e il cliente deve tornare al tuo sito web o nell'app per completare l'autenticazione. Per ulteriori informazioni, consulta la nostra guida sulla progettazione dei flussi di pagamento per la SCA.
Ecco come Stripe ti aiuta a rispettare i requisiti dell'autenticazione SCA
Le modifiche introdotte da questo regolamento avranno un forte impatto sul commercio online in Europa. Le attività interessate che non aderiscono a questi requisiti potrebbero registrare un impatto sui tassi di conversione, man mano che le norme SCA continuano a evolversi presso le banche europee.
Oltre a supportare modalità di autenticazione come il 3D Secure 2, riteniamo che la corretta gestione delle esenzioni rappresenti un pilastro chiave per creare un'esperienza di pagamento ottimizzata in grado di contenere le frodi e ridurre anche al minimo le complicazioni per i clienti. I nostri prodotti di pagamento si adattano alle diverse normative di enti, banche e circuiti delle carte e applicano le esenzioni previste ai pagamenti a basso rischio così che venga attivato il 3D Secure solo quando necessario. Anche i nostri modelli avanzati di machine learning ti saranno utili per gli adattamenti alle modifiche delle norme SCA.
Modifiche imminenti
Le autorità di regolamentazione dell'UE e del Regno Unito stanno inoltre lavorando alla revisione delle norme che definiranno il futuro della SCA in entrambe le regioni. La Commissione europea ha rivisto l'attuale quadro normativo della PSD2 e ha presentato proposte per una terza direttiva sui servizi di pagamento e un regolamento sui servizi di pagamento. Stripe ha pubblicato questa guida, che illustra nel dettaglio cosa possono aspettarsi le attività dalle nuove norme. Stiamo monitorando attentamente i progressi relativi all'introduzione di norme analoghe nel mercato del Regno Unito.
Scopri di più sui prodotti Stripe dotati di SCA. Se hai domande o feedback, non esitare a contattarci.