L'autenticazione forte del cliente, in inglese strong customer authentication o SCA, è l'obbligo introdotto dalla direttiva europea sui servizi di pagamento PSD2 di verificare l'identità di chi paga online con almeno due fattori indipendenti. Per un e-commerce significa che quasi ogni pagamento con carta passa da un protocollo di verifica, il 3-D Secure 2, che decide se chiedere al cliente un passaggio in più o lasciarlo pagare senza attrito. Questo articolo, pubblicato nel 2020 quando l'obbligo stava per entrare in vigore e aggiornato nel 2026, spiega cosa impone la normativa, come funziona il 3-D Secure 2, quali esenzioni esistono, come limitare l'impatto sulla conversione e cosa cambierà con la revisione in corso delle regole europee.
TL;DR
- La PSD2 (direttiva (UE) 2015/2366) richiede l'autenticazione forte per i pagamenti elettronici: due fattori tra conoscenza, possesso e inerenza.
- Il 3-D Secure 2 è il protocollo con cui banche ed esercenti applicano l'obbligo; il flusso "senza attrito" autentica il cliente senza chiedergli nulla quando il rischio è basso.
- Le esenzioni (importi bassi, analisi del rischio, beneficiari fidati, pagamenti ricorrenti) sono la leva per ridurre l'attrito, ma le decide chi emette la carta.
- Un e-commerce deve inviare dati completi al protocollo, gestire i rifiuti "soft decline" e misurare l'impatto sulla conversione.
- Le proposte PSD3 e PSR della Commissione europea rivedono queste regole: lo stato dell'iter va verificato prima di pianificare cambiamenti.
Cosa impone la PSD2 agli e-commerce?
La PSD2 impone che i pagamenti elettronici avviati dal cliente siano protetti da autenticazione forte, cioè dalla combinazione di almeno due fattori indipendenti, salvo esenzioni definite dalla normativa tecnica. La direttiva (UE) 2015/2366 è in vigore dal 13 gennaio 2018 e il suo scopo è aumentare la sicurezza delle transazioni e combattere le frodi rafforzando l'autenticazione. (eur-lex.europa.eu)
I tre fattori sono gli stessi dal 2018:
- Conoscenza: qualcosa che il cliente sa, come una password o un PIN.
- Possesso: qualcosa che il cliente ha, come lo smartphone su cui riceve una notifica o un codice.
- Inerenza: qualcosa che il cliente è, come l'impronta digitale o il riconoscimento facciale.
I requisiti tecnici di dettaglio, comprese le esenzioni, sono nel regolamento delegato (UE) 2018/389, le cosiddette RTS sull'autenticazione forte. (eur-lex.europa.eu) Per l'esercente la conseguenza pratica è che il proprio gateway di pagamento deve supportare il 3-D Secure 2 e inviare i dati che permettono alla banca del cliente di valutare il rischio.
Come funziona il 3-D Secure 2?
Il 3-D Secure 2 è il protocollo con cui l'esercente, il gestore del pagamento e la banca che ha emesso la carta si scambiano i dati della transazione e decidono come autenticare il cliente. Rispetto alla prima versione, che chiedeva quasi sempre un codice via SMS, la seconda prevede due percorsi: l'autenticazione con sfida e quella senza attrito.
Nel percorso con sfida (challenge) il cliente deve confermare il pagamento con due fattori, di solito approvando una notifica nell'app della banca o inserendo un codice più una password. Nel percorso senza attrito (frictionless) la banca autentica il cliente sulla base dei dati ricevuti, come dispositivo, indirizzo di consegna e di fatturazione, cronologia e importo, senza chiedergli nulla.
A scegliere il percorso è la banca emittente, analizzando il rischio della transazione con i dati che l'esercente invia: più dati completi arrivano, più probabile è il percorso senza attrito. La specifica del protocollo è gestita da EMVCo. (emvco.com)
Quali esenzioni dall'autenticazione forte esistono?
Le esenzioni previste dalle RTS riguardano i pagamenti di importo basso, le transazioni che l'analisi del rischio classifica come sicure entro soglie legate al tasso di frode, i beneficiari che il cliente ha indicato come fidati e i pagamenti ricorrenti di importo fisso dopo il primo. I pagamenti avviati dall'esercente, come gli addebiti su carta salvata, restano fuori dall'ambito dell'obbligo.
| Esenzione | Quando si applica | Chi la decide |
|---|---|---|
| Importo basso | Transazioni sotto la soglia prevista dalle RTS, con limiti cumulativi | Banca emittente |
| Analisi del rischio (TRA) | Transazioni a basso rischio entro soglie legate al tasso di frode del fornitore di pagamento | Fornitore di pagamento o banca emittente |
| Beneficiario fidato | Esercenti inseriti dal cliente in una lista presso la propria banca | Cliente e banca emittente |
| Pagamenti ricorrenti | Addebiti successivi al primo, di importo fisso, verso lo stesso beneficiario | Banca emittente |
| Pagamenti avviati dall'esercente | Addebiti su credenziali salvate, senza il cliente presente | Fuori ambito, con mandato iniziale autenticato |
Le esenzioni sono una richiesta, non un diritto: l'esercente le propone attraverso il proprio gateway, la banca del cliente decide. Un e-commerce che lavora bene con il gateway sulle esenzioni riduce le sfide inutili senza perdere sicurezza.
Come limitare l'impatto dell'autenticazione forte sulla conversione?
L'impatto sulla conversione si limita inviando al protocollo dati completi e corretti, usando le esenzioni dove applicabili, gestendo i rifiuti "soft decline" ripetendo il pagamento con autenticazione, e misurando il tasso di sfida e di abbandono per gateway e banca. Ogni passaggio in più nel checkout costa conversione; l'obiettivo è che la sfida compaia solo quando serve.
La checklist che applichiamo nei progetti e-commerce:
- Dati completi. Indirizzi, e-mail, telefono, dispositivo e cronologia dell'account inviati al 3-D Secure 2 in ogni richiesta.
- Esenzioni configurate. Richieste di esenzione per importi bassi e analisi del rischio attivate con il gateway, con monitoraggio del tasso di accettazione.
- Soft decline gestito. Se la banca rifiuta una transazione esente chiedendo l'autenticazione, il pagamento va ripetuto con la sfida, senza che il cliente debba ricominciare.
- Carte salvate e abbonamenti. Primo pagamento autenticato, addebiti successivi come pagamenti avviati dall'esercente con il mandato corretto.
- Misurazione. Tasso di sfida, tasso di successo della sfida, abbandono al checkout e frodi, per circuito e per banca.
- Test. Scenari di test del gateway per percorso con sfida, senza attrito e soft decline, ripetuti a ogni modifica del checkout.
Questi punti rientrano nello sviluppo di una web app e-commerce su misura e nelle verifiche di conformità e sicurezza che eseguiamo sui sistemi di pagamento; il nostro articolo sull'e-commerce con Sitecore mostra come si integra il pagamento in una piattaforma commerce.
Cosa cambia con PSD3 e PSR?
Nel giugno 2023 la Commissione europea ha proposto una revisione del quadro: una nuova direttiva (PSD3) e un regolamento sui servizi di pagamento (PSR) che applicherebbe regole uniformi in tutta l'Unione, con interventi su autenticazione forte, condivisione dei dati sulle frodi e tutela dei consumatori. Le proposte seguono l'iter legislativo europeo e i testi finali, con le date di applicazione, vanno verificati su EUR-Lex prima di pianificare modifiche al checkout. (finance.ec.europa.eu)
Per un e-commerce la direzione è chiara anche prima dei testi definitivi: l'autenticazione forte resta, le esenzioni basate sul rischio diventano più importanti, e la qualità dei dati inviati al protocollo continua a decidere quanta parte dei pagamenti passa senza attrito.
Volete verificare come il vostro checkout gestisce autenticazione forte ed esenzioni? Parlatene con un ingegnere WWG: business@wwg.it.
Fonti
FAQ
Domande frequenti
È l'obbligo, introdotto dalla PSD2, di verificare chi paga online con almeno due fattori indipendenti tra conoscenza (una password), possesso (lo smartphone) e inerenza (impronta o volto). Si applica ai pagamenti elettronici avviati dal cliente nello Spazio economico europeo, salvo le esenzioni previste dalle norme tecniche, e viene attuata con il protocollo 3-D Secure 2.
No. Nel percorso senza attrito la banca del cliente autentica il pagamento sulla base dei dati ricevuti da esercente e gateway, senza chiedere nulla. La sfida con due fattori compare solo quando il rischio è giudicato alto o quando nessuna esenzione è applicabile. Più dati completi invia l'e-commerce, più pagamenti passano senza attrito.
Gli importi bassi entro i limiti delle norme tecniche, le transazioni a basso rischio secondo l'analisi del fornitore di pagamento, i pagamenti verso beneficiari che il cliente ha segnato come fidati e gli addebiti ricorrenti di importo fisso dopo il primo. I pagamenti avviati dall'esercente su carte salvate restano fuori ambito se il mandato iniziale è stato autenticato.
È la proposta della Commissione europea del giugno 2023: una nuova direttiva PSD3 e un regolamento PSR con regole uniformi sui pagamenti, compresa l'autenticazione forte. I testi devono completare l'iter legislativo e le date di applicazione dipendono da esso, quindi lo stato va verificato su EUR-Lex prima di pianificare interventi sul checkout.
