SCA

Суть требования

SCA введена директивой PSD2PSD2PSD2 — директива ЕС 2015/2366, которая регулирует платёжные услуги в Европейской экономической зоне, вводит сильную аутентификацию клиента (SCA) и открывает доступ к банковским данным через API. для платёжных услуг в Европейской экономической зоне и Великобритании. Она требует, чтобы инициирование электронного платежа или доступа к платёжному счёту подтверждалось как минимум двумя факторами из трёх категорий: знание (пароль, PIN, код), владение (телефон, карта, токен, приложение банка) и присущность (отпечаток, распознавание лица). Факторы должны быть независимы, то есть компрометация одного не должна раскрывать другой.

Как это работает на практике

При онлайн-оплате картой эмитентБанк-эмитентБанк-эмитент — банк, который выпускает платежную карту клиенту, ведет его счет и решает, одобрить ли операцию по карте. Противоположная сторона платежа — банк-эквайер, обслуживающий продавца. обычно запрашивает подтверждение через протокол 3-D Secure3-D Secure3-D Secure — протокол дополнительной аутентификации держателя карты при онлайн-оплате: банк-эмитент подтверждает, что платёж совершает владелец карты. 2.x: одноразовый код в SMS или push в банковском приложении, биометрию или подтверждение в приложении. Для удалённых платежей дополнительно требуется динамическая привязка: код подтверждения должен быть привязан к конкретной сумме и получателю, иначе перехваченный код можно применить к другой операции.

Исключения

PSD2 и RTS предусматривают исключения: низкие суммы (в RTS — до 30 евро за операцию с накопительными ограничениями), транзакционный анализ рисков (TRA) для операций с низким уровнем риска, повторяющиеся платежи на одного получателя после первого SCA, операции, инициированные мерчантомМерчант-аккаунтСчёт компании у эквайера или PSP, через который она принимает оплату. (MIT), и платежи с выделенными корпоративными протоколами. Решение о применении исключения обычно принимает эмитент, и оно не гарантировано.

Влияние на конверсию и отказы

Введение SCA повышает долю шагов подтверждения, что снижает конверсию в платёжных потоках. Частая ошибка — считать, что достаточно передать 3DS-флаг провайдеру: если challenge не проходит, эмитент возвращает отказ, который в статистике выглядит как declineОтказ платежаОтказ платежа (payment decline) — ситуация, когда транзакция не проходит авторизацию: банк-эмитент, эквайрер, платёжный провайдер или антифрод-система отклоняет списание или пополнение. по банку. Для high-risk мерчантовHigh-risk мерчантHigh-risk мерчант — бизнес, которому банк-эквайер или платежный провайдер присваивает повышенный уровень риска из-за отрасли, частоты чарджбэков или регуляторных ограничений. важно отслеживать долю challenge, отказы после SCA и конверсию по странам и эмитентам отдельно.

Частые ошибки

Типичные ошибки: отправка SMS-кода без привязки к сумме, хранение клиентских данных для обхода SCA вместо правильной интеграции, игнорирование требований по сохранённым картам (card-on-file) и подписок, где SCA нужна при первом платеже и при изменении параметров. Правила зависят от юрисдикции и конкретного эмитента, поэтому их стоит сверять с актуальной документацией платёжного провайдера и банка.