En esta guía, analizaremos más detenidamente los requisitos europeos conocidos como «autenticación reforzada de clientes» (SCA) que la Segunda Directiva de Servicios de Pago (PSD2) impuso y los tipos de pago que se verán afectados. También contemplaremos las exenciones disponibles que se pueden solicitar en nombre de las empresas para ofrecer una experiencia de proceso de compra sin fricciones.

También hemos publicado una guía para ayudarte a identificar cuándo debes agregar la autenticación en el recorrido del cliente y una guía sobre cómo prepararte para cumplir con la Tercera Directiva de Servicios de Pago (PSD3). Visita nuestro sitio para obtener más información sobre los productos de Stripe listos para SCA.

¿Qué es la autenticación reforzada de clientes?

La autenticación reforzada de clientes (SCA) es un requisito normativo europeo para reducir el fraude y conseguir que los pagos por Internet y de los pagos con métodos sin contacto sean más seguros. Para aceptar pagos y cumplir con los requisitos de la SCA, tendrás que incorporar un paso adicional a tu proceso de compra. La SCA exige que en la autenticación se utilicen al menos dos de los siguientes tres elementos:

Si quieres leer el texto original de los requisitos de la SCA, puedes consultar las normas técnicas de regulación para la autenticación reforzada de clientes. Los bancos deberán rechazar pagos que requieran SCA y no cumplan con estos criterios.

¿Cuándo se requiere la autenticación reforzada de clientes?

La autenticación reforzada de clientes se aplica a los pagos electrónicos y fuera de línea sin contacto «iniciados por el cliente» dentro del Reino Unido y Europa. Todos los pagos electrónicos (es decir, pagos con tarjeta y transferencias bancarias) requieren la SCA, salvo que se pueda aplicar una exención o la transacción se considere fuera de alcance de dicha SCA (por ejemplo, las transacciones iniciadas por el comerciante, como el débito directo).

Para los pagos electrónicos con tarjeta, estos requisitos rigen para las transacciones en las cuales la empresa y el banco del titular de la tarjeta se encuentran ubicados en el Espacio Económico Europeo (EEE).

Cómo autenticar un pago con tarjeta

Actualmente, la forma más común de autenticación de pagos electrónicos con tarjeta se basa en 3D Secure, un estándar de autenticación compatible con la gran mayoría de las tarjetas europeas. Por lo general, la aplicación de 3D Secure añade un paso adicional después del proceso de compra en el cual el banco solicita al titular de la tarjeta que proporcione información adicional para completar el pago (por ejemplo, un código único enviado a su teléfono o una autenticación por huella digital a través de la aplicación móvil del banco).

3D Secure 2 será el método principal para autenticar los pagos electrónicos con tarjeta y cumplir con los requisitos de la SCA.

Normalmente, las transacciones con tarjeta fuera de línea cumplen los requisitos de autenticación con el ingreso de un código PIN. Otros métodos de pago con tarjeta, como Apple Pay o Google Pay, ya admiten flujos de pago con una capa de autenticación integrada (biométrica o con contraseña). Estas pueden ser una excelente vía para que las empresas cumplan con los nuevos requisitos y ofrezcan a la vez una experiencia de proceso de compra sin fricciones.

Forma en que se asigna la responsabilidad en relación con las disputas por fraude en el contexto de 3DS

Uno de los beneficios de aplicar la SCA en los casos en que la autenticación de múltiples factores sea exitosa es que las empresas pueden acceder a la protección contra la responsabilidad que generan las disputas por fraude.

Exenciones a la autenticación reforzada de clientes

No todos los pagos se encuentran dentro del alcance de la autenticación de múltiples factores en virtud de la SCA. Algunos pueden reunir los requisitos para acceder a alguna exención que otorgue la normativa; otros están fuera del alcance de aplicación de la SCA. En los casos en que el banco del titular de la tarjeta solicite y acepte la exención, la empresa sigue siendo responsable de las disputas por fraude.

Los proveedores de servicios de pago como Stripe pueden solicitar exenciones al momento de procesar el pago. El banco del titular de la tarjeta recibirá la solicitud, evaluará el nivel de riesgo de la transacción y, en última instancia, decidirá si aprueba la exención o si la autenticación sigue siendo necesaria. Gracias a las exenciones para pagos de bajo riesgo, se puede reducir la cantidad de veces que el cliente debe autenticarse y, de ese modo, reducir también las fricciones y la pérdida de clientes.

Stripe usa el machine learning para determinar la exención óptima en cada caso a fin de ayudarte a brindar a los clientes la experiencia de proceso de compra más efectiva posible. Hemos diseñado nuestros nuevos productos destinados a los pagos listos para SCA para que puedas aprovechar las exenciones cuando sea posible y así proteger tu conversión.

Las exenciones más importantes para las empresas que aceptan pagos electrónicos son las siguientes:

Transacciones de bajo riesgo

Un proveedor de servicios de pagos (como Stripe) puede realizar un análisis de riesgo en tiempo real, conocido como Análisis de Riesgos de Transacción (TRA), para determinar si aplica la SCA a una transacción. La aplicación de esta exención solo es posible si las tasas generales de fraude del proveedor asociadas con los pagos con tarjeta no superan los siguientes umbrales:

• 0.13 % para que las transacciones con un importe inferior a €100/£85 estén exentas
  
• 0.06 % para que las transacciones con un importe inferior a €250/£220 estén exentas
  
• 0.01 % para que las transacciones con un importe inferior a €500/£440 estén exentas
  

Estos umbrales se convertirán a importes equivalentes en la moneda local cuando sea pertinente.

Pagos por debajo de €30/£25

Los pagos con importes bajos también pueden resultar exentos. Las transacciones por debajo de €30 o £25 se consideran de «valor bajo» y pueden eximirse de la SCA. Sin embargo, los bancos deben solicitar la autenticación si la exención se ha utilizado cinco veces desde la última autenticación efectuada con éxito del titular de la tarjeta o si la suma de los pagos previamente exentos supera los €100/£85. El banco del titular de la tarjeta debe realizar un seguimiento del número de veces que se ha utilizado esta exención y decidir si la autenticación es necesaria.

Transacciones recurrentes

Esta exención puede aplicarse cuando el cliente efectúa una serie de pagos recurrentes por el mismo importe, a la misma empresa. Se requerirá la SCA para el primer pago, mientras que los cargos posteriores podrán ser eximidos de la autenticación.

Transacciones iniciadas por el comerciante (incluidas las suscripciones variables)

Los pagos efectuados con tarjetas guardadas sin la presencia del cliente en el flujo de pago (lo que se conoce como «fuera de sesión») pueden considerarse como transacciones iniciadas por el comerciante. Estos pagos quedan técnicamente fuera del alcance de la SCA. En la práctica, marcar un pago como una «transacción iniciada por el comerciante» será similar a solicitar una exención. Y como con cualquier otra exención, el banco será el que decida si se necesita autenticación para la transacción.

Para utilizar transacciones iniciadas por el comerciante, debes autenticar la tarjeta en el momento de guardarla por primera vez o al hacer el primer pago. Por último, debes obtener el consentimiento del cliente (también llamado «mandato») para poder debitar fondos de su tarjeta más adelante.

Ventas telefónicas (MOTO)

Los datos de la tarjeta recopilados por teléfono quedan fuera del alcance de la SCA y no requieren autenticación. Este tipo de pagos a veces se denominan «pedido telefónico/por correo» (MOTO). Tal como ocurre con los pagos exentos, las transacciones MOTO deben marcarse como tales, y el banco del titular de la tarjeta tomará la decisión final de aceptar o rechazar la transacción.

Pagos corporativos

Esta exención se aplica para pagos efectuados con tarjetas «alojadas» (es decir, tarjetas corporativas para gastos de viaje de los empleados gestionadas directamente por agentes de viaje en línea) y los pagos corporativos efectuados con tarjetas virtuales (también utilizadas en el sector turístico).

Beneficiarios de confianza

Al completar la autenticación de un pago, los clientes tienen la opción de agregar las empresas de su confianza a una lista de permitidos para no tener que autenticar compras futuras. Luego, estas empresas se incluyen en una lista de «beneficiarios de confianza» que guarda el banco del cliente o el proveedor de servicios de pago.

¿Qué sucede si falla una exención?

Si bien las exenciones pueden ser muy útiles, es importante recordar que el banco del titular de la tarjeta es el que decide en última instancia si una exención se acepta o no. Los bancos pueden presentar códigos específicos de rechazo en el caso de los pagos que no puedan concretarse debido a que la exención no fue aceptada y a que, como consecuencia, la autenticación de ese pago se encuentra faltante. Luego, estos pagos deben volver a enviarse al cliente junto con una solicitud de autenticación reforzada de clientes. Los productos listos para SCA de Stripe automáticamente activan esta autenticación extra cuando así lo requieren los bancos.

Si tu empresa se ve afectada por la SCA, te recomendamos que prepares una alternativa en caso de que se rechace una exención y tu cliente deba completar la autenticación. Esto es muy importante si cobras sin la participación activa del cliente en el flujo de compra (es decir, si está fuera de sesión) y si dicho cliente debe regresar al sitio web o aplicación para completar la autenticación. Consulta nuestra guía sobre el diseño de flujos de pago para SCA a fin de obtener más información.

Cómo Stripe te ayuda a cumplir los requisitos de la autenticación reforzada de clientes

Los cambios introducidos por esta nueva normativa afectan en gran medida al comercio en línea europeo. Las empresas afectadas que no cumplen con estos requisitos podrían ver afectadas sus tasas de conversión a medida que las reglas de la SCA siguen evolucionando en los bancos europeos.

Además de admitir métodos de autenticación como 3D Secure 2, creemos que la gestión eficaz de las exenciones es un componente clave para crear una experiencia de pagos optimizada que reduzca el fraude y también minimice la fricción para los clientes. Nuestros productos de pagos han sido optimizados en función de las diferentes disposiciones normativas, bancarias y de las redes de tarjetas, y aplican las exenciones correspondientes para pagos de bajo riesgo, de modo que la autenticación con 3D Secure solo se activará cuando sea necesario. Nuestros modelos de machine learning avanzados también te ayudan a adaptar tu empresa a los cambios en las reglas de la SCA.

Próximos cambios

Las entidades reguladoras de la Unión Europea y el Reino Unido también trabajan en la revisión de las reglas que le darán forma al futuro de la SCA en ambas regiones. La Comisión Europea revisó el marco actual de la PSD2 y propuso cambios para la Tercera Directiva de Servicios de Pago y el Reglamento de servicios de pago. Stripe publicó esta guía que detalla cómo las nuevas reglas pueden afectar a las empresas. Además, supervisaremos de cerca el progreso de reglas similares en el mercado del Reino Unido.

Más información sobre los productos de Stripe listos para SCA. Si tienes alguna pregunta o comentario, contáctanos.