Autentifikazio indartua (SCA) eta 3D Secure: noiz eskatzen den, salbuespenak eta konbertsioa

Ordainketa Zerbitzuen Europako Zuzentarauak (PSD2) goitik behera aldatu zituen merkataritza elektronikoko kobrantzak, bezeroaren autentifikazio indartua edo SCA (*Strong Customer Authentication*) nahitaezko bihurtu zenean. Araudi honek ordaintzailearen nortasuna egiaztatzea eskatzen du, hiru kategoria posibleren arteko gutxienez bi faktore independente erabiliz: dakien zerbait (pasahitza edo PIN zenbakia), duen zerbait (bankuko aplikazioaren jakinarazpen bidez egiaztatutako telefono mugikorra) eta den zerbait (aurpegi- edo hatz-marka bidezko biometria).

Mekanismo hori sareko txartel-ordainketetan txertatzeko, bankuek eta nazioarteko markek 3D Secure estandarra garatu zuten bere 2.x bertsioetan. Protokolo honek iruzurra nabarmen murrizten badu ere, urrats gehigarriak sartzen ditu erabiltzailearen esperientzian. Edozein negozio digitalentzat ezinbestekoa da jakitea noiz den nahitaezkoa SCA, nola funtzionatzen duten salbuespen teknikoek eta zer eragin duten ordainketa-pasabidean gertatzen diren erosketa-uzteetan.

Aplikazio-eremua: arauaren barruko eta kanpoko eragiketak

SCA betebeharrak ez die diru-mugimendu guztiei eragiten. Europako araudiak eragileak hasitako urruneko ordainketa elektronikoetara mugatzen du betebeharra (*Customer-Initiated Transactions* edo CIT), betiere txartela jaulki duen bankuak eta kobrantza prozesatzen duen erakunde eskuratzaileak Europako Esparru Ekonomikoaren (EEE) barruan jarduten badute.

Honako egoera hauek automatikoki SCAtik kanpo geratzen dira:

• **Batasuneko eremutik kanpoko eragiketak (*one-leg out*)**: txartelaren banku jaulkitzailea edo merkataritzaren eskuratzailea EEEtik kanpo dagoenean (adibidez, Estatu Batuetako txartel batekin Espainiako webgune batean erosten duen bezeroa).
• Urruneko salmenta klasikoa (MOTO): posta edo telefono bidezko eskaeren bidez kudeatutako eragiketak (*Mail Order / Telephone Order*), eskuzko inguruneetan bideratuak, erabiltzaileak web-formulario interaktibo batean zuzenean parte hartu gabe.
• Merkataritzak hasitako transakzioak (MIT): exekuzio-unean erabiltzailea bertan ez dagoen kobrantzak, hala nola harpidetzen berritze automatikoak edo kontsumoaren araberako kargu aldakorrak. Kasu horietan, erabiltzaileak txartela sartu eta baliozkotzen duen lehen transakzioak SCA gainditu behar du baimena erregistratzeko; ondorengo karguak SCAtik kanpo geratzen dira aldez aurreko hitzarmen hori betetzen bada, eta hori funtsezkoa da harpidetzen berritze automatikoan.

PSD2 araudipeko salbuespenen katalogoa

Erosketa txiki bakoitzean bankuko aplikazioa ireki behar izatea saihesteko, araudiak merkatariei eta erakunde eskuratzaileei baimena ematen die salbuespen formalak eskatzeko. Dena dela, salbuespena onartzea beti dagokio txartelaren banku jaulkitzaileari, arriskua aztertu ondoren kobrantza baimendu edo autentifikazioa eskatu erabakitzen baitu.

Zenbateko txikiko ordainketak

30 eurotik beherako urruneko eragiketek zuzeneko salbuespena jaso dezakete. Hala ere, banku jaulkitzaileak erabilera metatua zaintzen du: bezeroak salbuespen honen bidez SCArik gabeko bost ordainketa jarraian egiten baditu, edo segidako kobrantzen batura 100 eurotik gorakoa bada, pasabideak hurrengo erosketa autentifikatzea eskatuko du nahitaez.

Transakzioaren arrisku-analisia (TRA)

Arrisku-analisiaren bidezko salbuespenak (*Transaction Risk Analysis*) zenbateko handiagoetan (100, 250 edo 500 eurora arte) SCA alde batera uztea ahalbidetzen du, betiere eskuratzailearen edo jaulkitzailearen iruzur-tasa orokorra legeak ezarritako muga zorrotzen azpitik badago (% 0,13, % 0,06 eta % 0,01, hurrenez hurren). Prozesadoreak iruzur-maila baxua mantentzen badu, eragiketa marruskadurarik gabe bideratzeko marka dezake.

Konfiantzazko onuradunak (*whitelisting*)

Txartelaren titularrak eskubidea du bere bankuaren aplikazioaren bidez negozio jakin bat bere konfiantzazko enpresen zerrendan sartzeko. Lehenengo erosketa SCArekin egin eta enpresa zerrendan sartu ondoren, etorkizuneko transakzioek ez dute autentifikazio gehigarririk beharko, bankuak ezohiko arrisku-zantzurik ikusten ez badu behintzat.

Marruskadura, uzte-tasa eta erantzukizunaren eskualdaketa

3D Secure 2 protokoloak bi prozesamendu-bide eskaintzen ditu teknikoki: marruskadurarik gabeko fluxua (*frictionless flow*), non banku jaulkitzaileak gailuaren eta testuinguruaren ehunka parametro ebaluatzen dituen kobrantza milisegundotan baimintzeko tarteko pantailarik erakutsi gabe, eta erronka bidezko fluxua (*challenge flow*), non bankuaren leihoa irekitzen den eragiketa biometria bidez edo aldi baterako gako batekin baliozkotzeko.

Kobrantza bat erronka batera bideratzen den bakoitzean, bezeroak erosketa-prozesua bertan behera uzteko probabilitatea handitu egiten da. SMS mezua jasotzeko atzerapenek, bankuko aplikazioa irekitzean sortutako arazoek edo birbideratzearen segurtasunari buruzko zalantzek konbertsio-galera nabarmenak eragiten dituzte online ordainketetan.

Nolanahi ere, autentifikazioak abantaila operatibo erabakigarria dakar: erantzukizunaren eskualdaketa (*liability shift*). Transakzio batek 3D Secure erronka baten bidez SCA arrakastaz gainditzen duenean, iruzurrezko chargeback baten aurreko finantza-erantzukizuna saltokitik banku jaulkitzailera pasatzen da erabat. Saltokiak TRA bidezko salbuespena eskatzen badu eta jaulkitzaileak marruskadurarik gabe onartzen badu, marken arauek zehazten dute nork bere gain hartzen duen chargeback horren kostua eragiketa iruzurrezkoa gertatuz gero. Aldiz, jaulkitzaileak eskatutako salbuespena ukatzen badu, kode zehatz bat itzuliko du (*soft decline*); horrek ordainketa-pasabidea behartzen du berehala erronka bat eskatzera salmenta galdu gabe.

Ondorioa

SCAren kudeaketa ez da erabateko segurtasunaren eta salmenta arinen arteko talka itxi gisa ulertu behar. Kobrantza-plataforma modernoek eragiketa bakoitzaren profila aztertzen dute arrazoitutako salbuespenak eskatzeko, zenbatekoek eta arrisku-mailek ahalbidetzen dutenean. Gainera, *soft decline* erantzunak modu gardenean kudeatzen dituzte, erabiltzaileak araudiak edo iruzurraren prebentzioak ezinbestekoa denean bakarrik egin dezan autentifikazioa.