Autenticación reforzada (SCA) e 3D Secure: cando se esixe, exencións e conversión

A Directiva Europea de Servizos de Pagamento (PSD2) transformou os cobramentos no comercio electrónico ao introducir a autenticación reforzada do cliente, coñecida habitualmente como SCA (*Strong Customer Authentication*). Esta esixencia normativa obriga a verificar a identidade do pagador mediante polo menos dous factores independentes de entre tres categorías posibles: algo que sabe (como un contrasinal ou PIN), algo que posúe (como un teléfono móbil verificado mediante unha notificación na aplicación bancaria) e algo que é (biometría facial ou dactilar).

Para artellar este mecanismo nos pagamentos con tarxeta na web, a industria bancaria e as marcas internacionais desenvolveron o estándar 3D Secure nas súas versións 2.x. Aínda que este protocolo reduce a fraude de forma drástica, engade pasos na interacción do usuario. Comprender cando é obrigatoria a SCA, como funcionan as exencións técnicas e que consecuencias ten sobre o abandono na pasarela de pagamento resulta imprescindible para calquera negocio dixital.

Ámbito de aplicación: operacións dentro e fóra da norma

A esixencia de SCA non afecta a todos os movementos de cartos. A normativa comunitaria acouta a súa obrigatoriedade aos pagamentos electrónicos remotos iniciados polo ordenante (*Customer-Initiated Transactions* ou CIT) nos que tanto o banco emisor da tarxeta como a entidade adquirente que procesa o cobramento operen dentro do Espazo Económico Europeo (EEE).

Quedan automaticamente á marxe da SCA os seguintes supostos:

• **Operacións fóra da zona comunitaria (*one-leg out*)**: cando o banco emisor da tarxeta ou o adquirente do comercio se atopa fóra do EEE (por exemplo, un comprador cunha tarxeta estadounidense que adquire un servizo nunha web galega ou española).
• Cobramentos por venda a distancia clásica (MOTO): transaccións xestionadas mediante ordes por correo ou teléfono (*Mail Order / Telephone Order*), tramitadas en contornas manuais sen intervención directa do usuario nun formulario web interactivo.
• Transaccións iniciadas polo comercio (MIT): cobramentos nos que o usuario non está presente no momento da execución, como as renovacións automáticas de subscricións ou os cobramentos variables por consumo. Nestes casos, a primeira transacción na que o usuario introduce e valida a tarxeta si debe superar a SCA para rexistrar o mandato; os cargos posteriores quedan fóra do ámbito da SCA sempre que sigan ese acordo previo, un aspecto crítico na renovación automática de subscricións.

O catálogo de exencións baixo a PSD2

Para evitar que cada pequena compra esixa abrir a aplicación do banco, a normativa permite que os comercios e as entidades adquirentes soliciten exencións formais. Non obstante, a concesión final da exención sempre corresponde ao banco emisor da tarxeta, que analiza o risco antes de autorizar o cobramento ou forzar o paso de autenticación.

Pagamentos de baixo importe

As transaccións remotas inferiores a 30 euros poden beneficiarse dunha exención directa. Porén, o banco emisor monitoriza o uso acumulado: se o cliente realiza cinco pagamentos consecutivos sen SCA baixo esta exención, ou se a suma de cobramentos sucesivos supera os 100 euros, a pasarela esixirá obrigatoriamente autenticar a seguinte compra.

Análise de risco da transacción (TRA)

A exención por análise de risco (*Transaction Risk Analysis*) permite obviar a SCA en importes máis elevados (ata 100, 250 ou 500 euros) sempre que o índice xeral de fraude da entidade adquirente ou do emisor se sitúe por debaixo de limiares moi estritos fixados por lei (0,13 %, 0,06 % e 0,01 % respectivamente). Se o procesador mantén unha taxa de fraude reducida, pode marcar a operación para que flúa sen fricción.

Beneficiarios de confianza (*whitelisting*)

O titular da tarxeta ten dereito a incluír un comercio concreto na súa lista de empresas de confianza a través da aplicación do seu propio banco. Unha vez superada a primeira compra con SCA e incorporado o comercio a dita lista, as transaccións futuras quedan exentas de autenticación adicional, agás que o banco detecte indicios de risco anómalo.

Fricción, abandono e transferencia de responsabilidade

O protocolo 3D Secure 2 contempla dúas vías de procesamento técnico: o fluxo sen fricción (*frictionless flow*), no que o banco emisor avalía centos de parámetros do dispositivo e do contexto para autorizar o cobramento en milisegundos sen amosar pantallas intermedias, e o fluxo con reto (*challenge flow*), no que se abre a ventá bancaria para validar a operación con biometría ou clave temporal.

Cada vez que un cobramento se desvía cara a un *challenge*, a probabilidade de que o cliente abandone o proceso de compra aumenta. Atrasos na recepción da mensaxe SMS, fallos ao abrir a aplicación bancaria ou dúbidas sobre a seguridade da redirección provocan caídas medibles na conversión nos pagamentos online.

Con todo, a autenticación introduce unha vantaxe operativa determinante: o traspaso de responsabilidade (*liability shift*). Cando unha transacción supera con éxito a SCA a través dun *challenge* 3D Secure, a responsabilidade financeira ante un eventual contracargo por fraude trasládase integramente do comercio ao banco emisor. Se o comercio solicita unha exención por TRA e o emisor a aproba sen fricción, as regras das marcas determinan habitualmente quen asume o custo do contracargo se a operación resulta fraudulenta. Pola contra, se o emisor rexeita a exención solicitada, devolverá un código específico (*soft decline*), o que obriga a pasarela a reiniciar a chamada solicitando un *challenge* de inmediato sen perder a venda.

Conclusión

A xestión da SCA non debe exporse como un dilema pechado entre seguridade absoluta e vendas fluídas. As plataformas de cobramento modernas analizan o perfil de cada transacción para solicitar exencións xustificadas cando os importes e os niveis de risco o permiten, xestionando os *soft declines* de maneira transparente para que o usuario complete a autenticación só cando a normativa ou a prevención da fraude o fan estritamente necesario.