Что такое Strong Customer Authentication?
О новых нормативах и протоколах безопасности европейского платежного рынка
14 сентября директива PSD2 развернулась почти в полную силу на финансовом рынке ЕС. Особенно это касается ее норматива Strong Customer Authentication (SCA). Сегодня я коротко расскажу его основную суть, после чего — если ваш проект связан с платежными услугами — вы поймете важность этой информации.
Что такое PSD2?
Начну с простого — для тех моих читателей, кто не в курсе всех тонкостей. Payment Services Directive 2015/2366 — это директива ЕС о платежных услугах на внутреннем рынке, принятая в 2015 году. В нормальных, цивилизованных странах период имплементации для важных законов по финансовой сфере делается на пару месяцев, а, например, 2 года. После этого у PSD2 было пошаговое вступления в силу. Дедлайн был 14 сентября 2019 года — чуть больше двух недель назад в силу вступил норматив Strong Customer Authentication (SCA). О нем и поговорим.
Главная цель PSD2 - обеспечивать безопасность транзакций пользователей и расширять экосистему финансовых услуг на финрынке ЕС. Звучит красиво, правда? Это хорошая цель, которой нужно удобное средство реализации. Им и является SCA.
Основа Strong Customer Authentication
SCA — это, фактически, свод новых правил, по которым будет проводиться аутентификация юзеров, совершающих ту или иную транзакцию. Мерчанты и PSP-провайдеры обязуются добавить в user scenario дополнительную верификацию клиента.
К примеру, возьмем стандартный интернет-эквайринг. До Strong Customer Authentication платеж совершался при введении данных вашей банковской карты, после чего payment request подтверждался одноразовым паролем. Привычная история.
После внедрия SCA этого мало, необходим еще один параметр секьюрности платежа, Это могут быть:
- Стандартный пароль/PIN-код/секретное слово;
- Биометрическое подтверждение (отпечаток пальца, лицевая биометрия, сетчатка и т.д.);
- ID умного устройства, посредством которого совершается платеж;
Важный момент: новые требования не касаются расчетов в обычных магазинах и не связаны с прямым дебетованием.
За техническую сторону вопроса во всем этом будет отвечать новый протокол безопасности 3D Secure 2.0. Для клиента добавится лишь второй запрос подтверждения транзакции. Для бизнеса — головная боль, как сделать его удобным, красивым и понятным, а также задачи по интеграции.
В каких случаях вас это не касается? (исключения из SCA)
Для процессингов банков и PSP-провайдеров добавляется еще одна задача — определять, в какие моменты строгая идентификация применятся, а в какие нет, включая оценку риска платежа.
К счастью, законы писались не где-то в СНГ, а в ЕС, поэтому все предельно понятно. Итак, SCA не распространяется на:
- Покупки до 30 евро. Но есть исключения — если идет серия одинаковых платежей с минимальным порогом до лимита, должен работать анти-фрод.
- Подписки. Ничьи подписки на Netflix, Apple Music и другие сервисы не пострадают. Никто не пойдет против большого трастового международного бизнеса;
- Инициированные торговцами платежи. Если вы добавили свою карту в Uber или Bolt, вас не будут требовать дважды подтверждать платеж.
Strong Customer Authentication: what it is and why it’s important for Ukrainian fintech projects to know about it?
On September 14, the PSD2 directive became fully operational in the EU financial market. This is especially true of its Strong Customer Authentication (SCA) standard. Today I will briefly describe it’s main things, after which — if your project is related to payment services — you will understand the importance of this information.
What is PSD2?
I'll start with a simple one - for those of my readers who are not aware of all the details. Payment Services Directive 2015/2366 is the EU directive oа payment services in the domestic EU market, accepted in 2015. You see, in civilized countries the implementation period for important laws, related the financial sphere, is indicated not for a couple of months, but, for example, 2 years. After that, PSD2 had a step-by-step getting into full operational mode. The deadline was September 14, 2019 — a little over two weeks ago the Strong Customer Authentication (SCA) standard came into force. We’ll talk about him.
The main goal of PSD2 is to ensure the security of user transactions and to expand the ecosystem of financial services in the EU financial market. That sounds cool and promising, right? This good goal needs a convenient implementation tool. SCA is this tool.
The basis of Strong Customer Authentication
SCA is, in fact, a set of new rules by which authentication of users who make a transaction will be carried out. Merchants and PSP providers are obliged to add additional customer verification to their user scenario.
For example, let’s talk about standard internet acquiring. Before the Strong Customer Authentication, payment is done when you entered your bank card details, after which the payment request was confirmed with a one-time password. A familiar story.
After the start of SCA, this is not enough. Another payment security parameter is needed. These can be:
- Standard password / PIN / secret word;
- Biometric confirmation (fingerprint, facial biometry, iris recognition etc.);
- ID of the smart device through which the payment is made;
An important point: the new requirements don’t relate to payments in ordinary stores and are not related to direct debit.
The new 3D Secure 2.0 protocol will be responsible for for the technical side of the SCA. It’s only a second transaction confirmation request for the customers, but for a business is a headache. How to make it convenient, beautiful and understandable, as well as integration tasks?
In what cases this doesn’t concern you? (exceptions from SCA)
For the banks’ and PSP providers’ processing centre, one more task is added — how to determine, in what cases strict identification will be applied and in which it’s not. Including an assessment of the risk of payment.
Fortunately, laws were not written somewhere in the CIS countries, but in the EU, so everything is very clear. So, SCA doesn’t apply to:
- Payments to 30 euros. But there are exceptions. For example, if there are a series of identical payments with a minimum threshold before the limit, anti-fraud should work.
- Subscriptions. Don’t worry, your Netflix, Apple Music or other services subscription won’t suffer. No one will go against a large international trust business;
- Merchant-initiated payments. If you added your bank card to Uber or Bolt, you won’t be required to confirm the payment twice.
- Альтернативи децентралізації енергогенерації в Україні не існує Олексій Гнатенко вчора о 15:31
- Відкриті дані: прозорість проти корупції Діана Граділь вчора о 13:39
- Способи захисту прав власника від самочинного будівництва на земельній ділянці Євген Морозов вчора о 10:45
- Власть, наука, интеллект – инвестиции в средний и малый бизнес и устойчивое развитие Вільям Задорський вчора о 04:01
- Прифронтовий Миколаїв. Яку допомогу можна отримати у місті, де лінія фронту зовсім близько Галина Скіпальська 25.07.2024 13:53
- На що дивляться інвестори? Олександр Висоцький 25.07.2024 12:22
- Де нормальний начпрод, там якісні продукти харчування Дана Ярова 25.07.2024 12:06
- Розвиток європейського ринку водню: Нові ініціативи та перспективи Олексій Гнатенко 25.07.2024 10:17
- Внесіть зміни у свій щоденний "to do list" Катерина Кошкіна 25.07.2024 09:59
- Гранти на відновлення та енергоефективність житла: можливості від Фонду енергоефективності Єгор Фаренюк 24.07.2024 21:44
- Порушення прав власника земельної ділянки внаслідок самочинного будівництва Євген Морозов 24.07.2024 19:48
- Як застосувати методи відбору постачальників НАТО у наших реаліях? Євгеній Сільверстов 24.07.2024 18:00
- Кого підтримуватиме Ізраїль під час виборів у США? Олег Вишняков 24.07.2024 13:22
- Європейська рада схвалила висновки щодо інфраструктури електромережі ЄС Олексій Гнатенко 24.07.2024 12:30
- Спільна власність чоловіка та жінки, які проживають без реєстрації шлюбу Євген Морозов 23.07.2024 19:26
- Boris Johnson: Запрошення до усвідомлення – домовлянь з РФ не буде 1882
- Суди проти рф – реалії, фантазії, міфи. Перспективи Арбітражу 299
- Як застосувати методи відбору постачальників НАТО у наших реаліях? 91
- Чому конкурентні закупівлі – це більше ніж просто вимога закону 65
- Дизайн дитячого простору 63
-
11 млрд доларів тому, кого немає. На що просила гроші Україна в Берліні
Бізнес 87040
-
У Харкові обрали нові назви для трьох станцій метро
Бізнес 11226
-
Помпео виклав своє бачення мирного плану Трампа: лендліз на $500 млрд і реальні санкції
Бізнес 9240
-
Криза мобільного зв’язку. Скільки коштуватиме подовження зв'язку під час відключень
Бізнес 5708
-
Київський підприємець почав розбирати Tesla, щоб заряджати оселі – FT
Технології 5386