在本指南中，我们将详细介绍《支付服务指令 2》(PSD2) 引入的欧洲“强客户身份验证”(SCA) 要求以及受其影响的支付类型。我们还会介绍可代表企业申请的可用豁免，以打造流畅的结账体验。

我们还发布了一份指南，帮助您确定何时在客户旅程中添加身份验证，并发布了一份关于如何为即将出台的《支付服务指令 3》(PSD3) 做好准备的指南。如需了解有关满足 SCA 要求的 Stripe 产品的更多信息，请访问我们的网站。

什么是强客户身份验证？

强客户身份验证 (SCA) 是欧洲一项法规要求，旨在减少欺诈，让线上和非接触式线下付款更加安全。如需收款并满足 SCA 要求，您需要在结账流程中构建额外的验证程序。SCA 要求至少验证以下三要素中的两项。

如果您想要了解原始的 SCA 要求，请参阅监管技术标准 (RTS)。对于需要符合 SCA 要求但不满足这些标准的付款，银行必须予以拒绝。

何时要求强客户身份验证？

强客户身份验证适用于英国或欧洲范围内“由客户发起”的线上付款和非接触式线下付款。所有电子支付（即银行卡支付和银行转账）都需要进行 SCA，除非可以适用豁免，或者该交易被认为超出了 SCA 的范围，例如，商家发起的交易（如直接借记）。

对于线上银行卡支付，这些要求适用于商家和持卡人发卡行均位于欧洲经济区 (EEA) 的交易。

如何验证一笔银行卡支付交易

验证线上银行卡支付的最常用方法是 3DS 验证——这是大多数欧洲银行卡都支持的一种验证标准。应用 3DS 验证通常是在结账之后增加一个额外验证步骤，银行会弹窗提示持卡人提供补充信息来完成支付，例如向他们的手机发送一次性验证码，或在他们的移动银行应用程序中进行指纹验证。

3DS 2.0 验证是对线上银行卡支付进行身份验证且满足 SCA 要求的主要方法。

线下银行卡交易一般通过输入 PIN 来满足验证要求。Apple Pay 或 Google Pay 等其他基于银行卡的支付方式通过内置的验证（生物特征识别或密码）层，已经支持支付流程。这些方式十分实用，可帮助企业在满足要求的同时，实现流畅的结账体验。

3DS 背景下欺诈类争议的责任划分

在多重身份验证成功的情况下应用 SCA，其好处之一是企业可以避免由欺诈类争议引发的责任问题。

下表说明了身份验证结果如何确定线上银行卡支付的争议责任归属。

*如果用户参与了欺诈监控计划，或是 MCC 不符合要求，则无论 3DS 身份验证结果如何，责任转移规则都可能不适用于其交易。

**发起 3DS 无摩擦请求时，使用了 PSP 指定的特定“3DS 质询标识符”选项，具体取决于各卡组织的规则（例如，是否存在 CAVV）。

强客户身份验证豁免情况

并非所有支付都属于 SCA 下的多重因素身份验证范围。有些支付可能符合法规规定的豁免条件，或者不在 SCA 的实施范围内。如果申请了豁免并且获得持卡人银行的认可，欺诈类争议的责任将由企业承担。

处理支付的过程中，Stripe 等支付服务商能够申请豁免。持卡人的银行随之会收到此申请，评估交易的风险等级，并最终决定是否批准豁免还是仍需验证。对低风险支付使用豁免可减少某一客户需要身份验证的次数，并减少阻力和客户流失。

Stripe 使用机器学习来确定每种情况下的最佳豁免方式，以帮助您尽可能为客户提供流畅的结账体验。我们已设计出满足 SCA 要求的支付产品，尽可能帮助您充分利用豁免来保护您的转化率。

对于接受在线支付的企业来说，最密切相关的豁免情况如下：

低风险交易

支付服务商（比如 Stripe）可进行实时风险分析（称为交易风险分析 (TRA)），以确定是否对交易进行 SCA。应用此豁免的前提是支付服务商的总体银行卡支付欺诈率不超过以下阈值：

• 0.13%，可豁免金额在 100 欧元/85 英镑以下的交易
  
• 0.06%，可豁免金额在 250 欧元/220 英镑以下的交易
  
• 0.01%，可豁免金额在 500 欧元/440 英镑以下的交易
  

这些阈值将在适用情况下换算为等值的本地货币金额。

30 欧元/25 英镑以下的支付

金额较低的支付也可能适用豁免。金额低于 30 欧元或 25 英镑的交易被视为“小额交易”，可免于进行 SCA。但是，如果自持卡人上次成功验证以来已使用该豁免五次，或此前获得豁免的支付总额超过 100 欧元/85 英镑，银行就需要要求进行身份验证。持卡人的银行需要跟踪该豁免的使用次数，并决定是否需要进行身份验证。

定期交易

当客户向同一企业以相同金额进行一系列定期付款时，适用此豁免。客户的首笔支付需进行 SCA，但后续扣款可免于进行 SCA。

商家发起的交易（包括金额变化的订阅）

使用已保存的银行卡支付，但客户不参与到结账流程（有时称为“会话外”），这种付款可能就属于商家发起的交易。这种付款在技术上不属于 SCA 的要求范围。在实际操作中，将某笔付款标记为“商家发起的交易”类似于请求豁免。与其他形式的豁免一样，仍然由银行决定是否需要对交易进行验证。

如需使用商家发起的交易，您需要在首次保存银行卡或首次支付时对银行卡进行身份验证。最后，您需要获得客户的同意（也称为“授权凭证”），以便之后对其银行卡扣款。

电话销售 (MOTO)

通过电话收集的银行卡信息不属于 SCA 的范畴，不需要进行认证。这类付款有时被称为“邮购和电话订购”(MOTO)。与豁免的支付类似，需要对 MOTO 交易进行这种标记，即由持卡人的银行最终决定是接受还是拒绝交易。

企业付款

这种豁免适用于使用“挂账卡”进行的付款（例如，用于管理员工差旅费用的公司卡直接由在线旅行社持有），也适用于使用虚拟卡号进行的企业付款（虚拟卡号也用于旅游行业）。

受信任收款人

完成一笔付款的身份验证时，客户可以选择将其信任的企业加入允许列表，以免除未来购买时的身份验证。然后这些企业会被列入由客户的银行或支付服务商维护的“受信任收款人”名单。

豁免失败时会怎样？

虽然豁免会非常有用，但必须记住，最终仍然要由持卡人的银行决定是否准予豁免。对于因豁免遭拒导致支付缺少验证而失败的支付，银行可能会返回特定的拒绝代码。然后，必须向客户重新提交此类支付，并且请求进行强客户身份验证。在银行发出请求时，Stripe 满足 SCA 要求的产品会自动触发这一额外的验证程序。

如果您的企业涉及 SCA，我们建议您准备一套备用方案，以便应对豁免被拒、客户需要身份验证的情况。如果您在向客户扣款时客户未主动参与结账流程（即他们“在会话外”），客户本人需要返回您的网站或应用进行身份验证，这套备用方案便显得尤为重要。如需了解更多信息，请阅读我们的强客户身份验证支付流程设计指南。

Stripe 如何帮您满足强客户身份验证要求

该法规所引入的变更会深刻影响欧洲互联网商务。随着欧洲各大银行的 SCA 规则持续调整，受影响企业若不遵守这些要求，其转化率可能受到影响。

除了对 3DS 2.0 验证 等验证方式提供支持外，我们认为成功处理这类豁免是构建更优支付体验的关键要素，由此不仅可以减少欺诈，还可以最大限度地减少客户的阻力。我们的支付产品能够针对不同的监管机构、银行以及卡组织的规则进行优化，并对低风险支付应用相应的豁免，以便只在必要时触发 3DS 验证。我们的高级机器学习模型还可以帮助您适应 SCA 规则的变化。

即将到来的变化

欧盟和英国的监管机构也在修订规则，这些规则将决定这两个地区 SCA 的未来走向。欧盟委员会已修订现行 PSD2 框架，并发布《支付服务指令 3》和《支付服务法规》的提案。Stripe 发布了本指南，详细介绍企业可预期的新规变化，同时我们也在密切关注英国市场同类规则的进展。

进一步了解 Stripe 满足 SCA 要求的产品。如果您有任何疑问或反馈，请随时联系我们。