3D Secure 2 és SCA a PSD2 alapján: mentességek, felelősségáthárítás és konverzió

Mi a 3D Secure 2, és hogyan kapcsolódik az SCA-hoz?

Az erős ügyfél-hitelesítés jogi követelmény: a PSD2 szerint a fizető fél által online kezdeményezett fizetést két független tényezővel kell megerősíteni, és a hitelesítési kódnak dinamikusan kapcsolódnia kell az összeghez és a kedvezményezetthez. A 3D Secure 2 az EMVCo által gondozott műszaki szabvány, amelyet a kártyahálózatok ennek teljesítésére használnak. A vásárlók a kártyatársaságok márkái alatt találkoznak vele, például Visa Secure, Mastercard Identity Check, American Express SafeKey és Cartes Bancaires FAST'R.

A 3D Secure első verziója minden vásárlót átirányított egy banki jelszóoldalra. A 2. verzió több mint 100 adatelemet cserél az eszközről, a rendelésről és a számláról, így a kibocsátó a fizetések többségét a vásárló számára láthatatlanul jóváhagyhatja, a megerősítést, általában banki alkalmazásban, pedig a kockázatos fizetésekre tartja fenn. Támogatja a natív alkalmazásos folyamatokat is, amelyekre a régi protokoll nem volt képes.

Mikor kötelező az SCA, és mely fizetések esnek a hatályán kívül?

Az SCA a fizető fél által kezdeményezett elektronikus fizetésekre vonatkozik, ha a kibocsátó és az elfogadó egyaránt az EGT-ben van; az Egyesült Királyság az RTS saját változatán keresztül ugyanezeket a szabályokat alkalmazza. Egy uniós webáruháznál ez gyakorlatilag minden első kártyás fizetést, minden egyszeri vásárlást és a tárolt kártya megbízásának minden módosítását érinti.

Több tranzakciótípus teljesen kívül esik a kötelezettségen, ami más, mint a mentesség: jogilag nincs szükség hitelesítésre, a kibocsátó azonban továbbra is elutasíthat. Ezeket az engedélyezési üzenetben helyesen kell jelölni, mert a téves jelölés gyakori oka az „SCA required” lágy elutasításnak.

• Kereskedő által kezdeményezett tranzakciók (MIT): változó összegű előfizetések, késleltetett terhelések és meg nem jelenési díjak, ha a megbízást SCA-val hozták létre
• Postai és telefonos rendelések (MOTO) fizetései, ahol a kártyaadatokat nem a vásárló adja meg online
• Egyik oldalon az EGT-n kívüli fizetések, ahol a kibocsátó vagy az elfogadó az EGT-n kívül van; az SCA legjobb erőfeszítés alapján érvényes
• A kedvezményezett által csoportos beszedési megbízás alapján kezdeményezett fizetések, például a SEPA csoportos beszedés

Milyen SCA-mentességeket használhatnak a kereskedők?

A mentességek választhatók: az elfogadó vagy a kibocsátó alkalmazhatja őket, és az utolsó szó mindig a kibocsátóé. Ha elutasítja a mentességet, lágy elutasítást ad (Visánál az 1A, Mastercardnál a 65-ös válaszkód), és a fizetést hitelesítéssel kell megismételni. A táblázat az (EU) 2018/389 felhatalmazáson alapuló rendelet online értékesítésnél fontos mentességeit foglalja össze.

A tranzakciós kockázatelemzés (TRA) az alacsony csalási rátájú kereskedők számára a legértékesebb mentesség, mert 500 €-ig terjedő kosarakat fed le. A mentességet alkalmazó PSP 90 napra számított csalási rátája számít, ezért a tiszta portfólióval rendelkező elfogadó az Ön nevében is kérheti.

Hogyan működik a súrlódásmentes és a megerősítéses folyamat?

A kereskedő 3DS-szervere, amelyet általában a PSP üzemeltet, hitelesítési kérést küld a kártyatársaság címtárszerverén keresztül a kibocsátó hozzáférés-vezérlő szerverének. A kibocsátó az eszköz-, rendelés- és számlaadatok alapján pontozza a kérést, és körülbelül egy másodpercen belül válaszol.

Ha a kockázat alacsony, a fizetés súrlódás nélkül hitelesül, és a vásárló semmit sem lát. Ellenkező esetben a kibocsátó megerősítést kér: push-értesítést a banki alkalmazásban, biometrikus ellenőrzést vagy egyszer használatos kódot. Mindkét esetben az eredmény és egy kriptogram az engedélyezéshez kerül, így a kibocsátó látja, hogy SCA történt.

1. Adatok gyűjtése A fizetési oldal összegyűjti a böngésző- vagy alkalmazásadatokat, a számlázási és szállítási adatokat, valamint a vásárló fiókjának előzményeit.
2. Hitelesítés A 3DS-szerver elküldi a kérést; a kibocsátó súrlódásmentes jóváhagyással, megerősítéses kéréssel vagy elutasítással válaszol.
3. Engedélyezés A hitelesítés eredménye és a kriptogram az engedélyezési kéréssel együtt eljut a kibocsátóhoz.

Mi a 3D Secure felelősségáthárítás?

Ha a fizetés 3D Secure-ral sikeresen hitelesült, a csalási visszaterhelések, például a Visa 10.4 vagy a Mastercard 4837 okkód felelőssége a kereskedőről a kibocsátóra száll. A legtöbb esetben ez akkor is igaz, ha a kereskedő megkísérelte a hitelesítést, de a kibocsátó nem volt elérhető.

Az áthárítás nem terjed ki a nem csalásalapú vitákra, például a nem kapott vagy nem a leírásnak megfelelő árura, és elvész, ha a mentességet az elfogadó oldalán alkalmazzák: a konverziót megnyeri, de a csalási kockázatot megtartja. Ezért a kereskedők a TRA-t szelektíven alkalmazzák, például visszatérő vásárlókra és alacsony kockázatú kosarakra, a többit pedig hitelesítésre küldik.

Hogyan hat a 3D Secure 2 a fizetési oldal konverziójára?

Minden megerősítés egy újabb lépés, ahol a vásárló elhagyhatja vagy elronthatja a folyamatot, különösen, ha a banki alkalmazás másik eszközön van. Az EBA és az EKB 2025 decemberében arról számolt be, hogy az SCA-val hitelesített kártyás fizetések továbbra is kevésbé ki vannak téve a csalásnak, így a cél nem az SCA elkerülése, hanem az, hogy csak ott kérjenek megerősítést, ahol az megtérül.

A konverzió javul, ha a hitelesítési kérés teljes adatot tartalmaz, a tranzakciójelölések helyesek, webes nézet helyett natív alkalmazás-SDK-t használnak, a mentességeket alacsony csalási rátájú elfogadón keresztül kérik, és lágy elutasítás után azonnal megismétlik a fizetést hitelesítéssel. A súrlódásmentes arányt, a megerősítés sikerességét és az engedélyezési arányt kibocsátói országonként külön mérje; egyetlen összevont jóváhagyási szám elrejti, hol morzsolódnak le a vásárlók.

Hogyan adható hozzá a 3D Secure 2 az OrsunPayen keresztül?

Az OrsunPay a kereskedő saját PSP- és elfogadói számlái fölött működő technikai szolgáltatás. A hosztolt fizetési oldallal a kártyaadatok és a 3D Secure folyamat a PSP saját felületén zajlik, így a hitelesítést, a mentességkéréseket és a felelősségi szabályokat az Ön és a PSP közötti szerződés határozza meg. A kockázatalapú útválasztás és a RiskCogs-integráció a tervekben szerepel, jelenleg nem érhető el.