Perché la Strong Customer Authentication (SCA) è importante per le piattaforme B2C

Per questo articolo abbiamo intervistato Rita Stankevičiūtė, Product Manager di ConnectPay, per parlare dell’autenticazione forte del cliente: cos’è, a quali tipi di pagamenti si applica e perché le piattaforme B2C dovrebbero prestarle attenzione.

Sin dall'introduzione del Direttiva sui servizi di pagamento 2 (PSD2) nel 2015, alcune tipologie di pagamento sono state assoggettate ai requisiti di autenticazione forte del cliente (SCA) previsti dalla normativa. Questa misura si è rivelata necessaria per ridurre le frodi e rendere più sicuri i pagamenti online, nonché quelli offline senza contatto. Le banche sono state obbligate a rifiutare tutti i pagamenti che rientrano nei requisiti della SCA, ma che non soddisfano tali criteri.

Allora, quali sono questi criteri? In sostanza, per essere conformi, le aziende devono integrare almeno due dei seguenti tre elementi aggiuntivi nei propri flussi di pagamento: qualcosa che il cliente conosce (ad esempio, una password o un PIN), qualcosa che il cliente possiede (ad esempio, un dispositivo mobile o un token hardware) e qualcosa che caratterizza il cliente (ad esempio, il riconoscimento facciale o vocale). 

Tali requisiti si applicano ai pagamenti online e offline senza contatto “avviati dal cliente” (ad esempio, bonifici bancari e pagamenti tramite portafoglio digitale o carta) effettuati nel Regno Unito o in Europa. Alcuni pagamenti sono esenti, sia in virtù di una disposizione contenuta nel regolamento stesso, sia semplicemente perché non rientrano nel suo ambito di applicazione. Tali esenzioni includono:

• Transazioni a basso rischio. L’esenzione si applica qualora i tassi di frode del prestatore di servizi di pagamento relativi ai pagamenti con carta non superino determinate soglie previste.
• Pagamenti inferiori a 30 € / 25 £. Tuttavia, una volta che l’esenzione è stata utilizzata cinque volte a partire dall’ultima autenticazione riuscita del titolare della carta, oppure se la somma dei pagamenti precedentemente esentati supera i 100 € / 85 £, le banche sono tenute a richiedere l’autenticazione.
• Pagamenti ricorrenti. La SCA si applica al primo pagamento effettuato dal cliente, mentre quelli successivi ne sono esenti, a condizione che siano tutti dello stesso importo e destinati alla stessa azienda.
• Transazioni avviate dall'esercente. I pagamenti effettuati con carte salvate senza la presenza del cliente durante la procedura di checkout sono esenti dalla SCA. La carta deve essere autenticata una prima volta al momento del salvataggio o in occasione del primo pagamento, e il cliente deve acconsentire all'addebito sulla propria carta secondo tale modalità.
• Vendite telefoniche. Talvolta denominate anche “vendite per corrispondenza” o “ordini telefonici”, queste operazioni sono esenti poiché i dati delle carte di credito raccolti per telefono non rientrano nell’ambito di applicazione della SCA.
• Sono esenti i pagamenti aziendali effettuati con carte aziendali utilizzate per la gestione delle spese di viaggio dei dipendenti e intestate direttamente a un'agenzia di viaggi online. Lo stesso vale per i pagamenti aziendali effettuati utilizzando numeri di carte virtuali. 
• Beneficiari di fiducia. In alcuni casi, i clienti possono scegliere di consentire a un’azienda di fiducia di saltare la procedura di autenticazione per tutti gli acquisti futuri.

Come potete vedere, queste esenzioni non sono applicabili alla maggior parte delle aziende B2C, il che significa che la vostra azienda dovrebbe avvalersi delle proprie risorse per realizzare l'infrastruttura digitale richiesta e implementare le funzionalità di autenticazione sopra descritte.

“Questo non solo richiede molto tempo e denaro, ma impone anche alle aziende di farsi carico di numerosi oneri amministrativi legati a questioni giuridiche di estrema delicatezza. Ad esempio, bisognerebbe garantire la conservazione sicura dei dati personali, presentare relazioni alle autorità di regolamentazione, tenere registri dettagliati ed elenchi di indirizzi IP, oltre a svolgere altri compiti impegnativi e di grande responsabilità”, ha affermato Rita.

Se tra i tuoi progetti futuri c'è quello di dotare la tua piattaforma B2C di servizi finanziari integrati, è consigliabile adottare fin dall'inizio uno strumento di autenticazione sicura dei clienti. In questo modo, potrete evitare inutili complicazioni in futuro. 

Uno dei principali vantaggi di affidarsi a ConnectPay come fornitore unico di servizi finanziari è che offre una procedura SCA di facile implementazione e gestisce la maggior parte delle operazioni di back-end per conto dei propri clienti. 

“Il problema nell'affrontare la questione della SCA quando la propria piattaforma è già operativa da tempo risiede nella complessità insita nell'aggiungere nuovi livelli di codice a un sistema esistente. Non solo, ma si dovrebbero anche coinvolgere nuovi fornitori per le diverse funzionalità di autenticazione, il che ovviamente aumenterebbe ulteriormente la complessità”, ha spiegato Rita. 

Per aiutare le piattaforme a evitare di finire in questo groviglio, ConnectPay utilizza l’autenticazione tramite SMS con password monouso, che non richiede il download di app aggiuntive e non è vincolata a nessun dispositivo specifico. “È anche una soluzione molto sicura perché il messaggio è valido solo per un periodo di tempo limitato ed è strettamente associato a un determinato pagamento. Ciò significa che un codice emesso per confermare un pagamento è valido solo per 5 minuti, riducendo al minimo il lasso di tempo a disposizione per un accesso non autorizzato. Trascorso quel tempo, il codice diventa non valido e il cliente dovrebbe riprovare. Ma anche questo tentativo fallirebbe, poiché il cliente inserirebbe semplicemente il codice sbagliato e dovrebbe riprovare”, ha concluso Rita. 

Non aspettare che i problemi si accumulino: porta il sistema di autenticazione della tua piattaforma a un livello superiore. Se non sei sicuro di quale tipo di autenticazione sia più adatto alla tua piattaforma, o se hai semplicemente delle domande da porci, non esitare a contattare il nostro team, sempre disponibile, per trovare insieme la strada da seguire.