Os pagamentos são uma parte essencial da experiência de compra, independentemente de onde e do que está a vender — mas assumem particular importância online, onde a confiança e a segurança estão sempre em primeiro plano.
Se opera no Espaço Económico Europeu (EEE), é provável que já tenha ouvido falar da Diretiva de Serviços de Pagamento revista (PSD2). Trata-se de uma exigência regulamentar que inclui a Autenticação Forte do Cliente (SCA) e que pretende reforçar a proteção contra fraude nas compras online, com algum impacto nos negócios do EEE.
Em seguida, saiba como lidar com estas complexidades da venda, para que possa concentrar-se na gestão e no crescimento do seu negócio. Este artigo responde a todas as questões que possa ter sobre a PSD2, a SCA e muito mais.
O que é a Autenticação Forte do Cliente?
A Autenticação Forte do Cliente é uma política de segurança em vigor no EEE que ajuda a reduzir a fraude e a tornar os pagamentos mais seguros. Faz parte da Diretiva de Serviços de Pagamento revista.
A SCA é semelhante ao que muitas pessoas conhecem como autenticação de dois fatores: se um cliente estiver a comprar online com o seu cartão de débito ou crédito, a SCA pode exigir que recorra a duas formas de autenticação.
Por exemplo, em vez de apenas introduzir o PIN ou a palavra-passe, a SCA pode pedir ao cliente que insira um código enviado por SMS como segundo passo. Assim, torna-se mais difícil que transações fraudulentas passem despercebidas.
A SCA também ajuda a garantir que a violação de um elemento de autenticação não compromete outro método, reforçando a segurança global dos dados do cliente.
O que é a Diretiva de Serviços de Pagamento revista?
A Diretiva de Serviços de Pagamento revista regula os pagamentos eletrónicos efetuados na União Europeia. A primeira Diretiva de Serviços de Pagamento entrou em vigor em 2007, e a PSD2 foi publicada no final de 2019 — embora só tenha sido totalmente implementada no final de 2020.
Uma das principais novidades desta revisão foi uma proteção mais forte para os clientes que compram online com os seus cartões de débito e crédito. Isto também o protege a si, enquanto comerciante de e-commerce.
Para cumprir estas regras, terá de assegurar que dispõe de Autenticação Forte do Cliente, de modo a ajudar a mitigar a fraude em pagamentos sem cartão presente aceites de compradores europeus.
Exemplos de SCA
A Autenticação Forte do Cliente deve incluir dois destes três elementos: conhecimento, posse e inerência.
Conhecimento
O conhecimento refere-se a algo que apenas o seu cliente saberia. Alguns exemplos incluem:
- Uma palavra-passe
- Uma frase-chave
- Um facto secreto
- Um PIN
- Uma sequência
- Perguntas de segurança baseadas em conhecimento
Posse
A posse refere-se a objetos que o cliente possui fisicamente. Inclui elementos como:
- Um telemóvel
- Um tablet
- Tecnologia vestível
- Um token físico
- Um cartão inteligente
- Um crachá
Inerência
A inerência refere-se àquilo que é intrínseco ao cliente — identificadores pessoais e físicos que ninguém mais possui. É descrita como “algo que o cliente é”. Exemplos:
- Impressões digitais
- Reconhecimento facial
- Deteção de voz
- Formato da íris
- Leitura da retina
- Assinatura de ADN
Como funciona a SCA?
No passado, o acesso a contas e a autorização de pagamentos podiam ser feitos com um simples “algo que o cliente sabe” — como um PIN. A SCA exige mais do que isso, garantindo uma segurança ainda maior.
As palavras-passe podem ser divulgadas ou pirateadas. Os cartões de débito e de crédito podem perder-se ou ser roubados. Mas se for necessário introduzir uma palavra-passe a partir de um dispositivo específico ou facultar uma leitura de impressão digital juntamente com o PIN do cartão, todo o processo torna-se muito mais seguro.
A SCA é feita através de um protocolo chamado 3D Secure — uma tecnologia compatível com a maioria dos cartões europeus. Este protocolo acrescenta uma camada adicional de segurança que os clientes têm de introduzir durante a finalização da compra para se autenticarem.
Os seus clientes verão o indicador 3D Secure surgir nas encomendas, que lhes solicitará então que confirmem a sua identidade através de um processo de autenticação multifator.
Isto pode ser:
- Um código de utilização única enviado por SMS para o smartphone do cliente
- Autenticação por impressão digital através de uma app bancária
- Reconhecimento facial através do smartphone
O facto de muitos dispositivos inteligentes serem compatíveis com estes tipos de autenticação inerente torna ainda mais simples para os clientes efetuarem compras seguras.
Depois de concluído este passo de SCA, quaisquer estornos fraudulentos passam a ser um problema do banco — e não seu.
Como garantir a conformidade com a SCA
Se o seu negócio opera no EEE, tem de estar em conformidade com a PSD2 e a SCA, caso contrário os bancos podem recusar as compras. No entanto, garantir essa conformidade não é difícil — basta fazer uma (ou ambas) destas duas coisas:
- Aplicar o 3D Secure nos pagamentos com cartão de crédito e de débito
- Usar um portal de pagamentos — como o Shopify Payments ou o Apple Pay — que esteja automaticamente otimizado para cumprir a SCA da PSD2
Ter uma loja Shopify facilita o cumprimento das regras. Com o número de opções de pagamento que pode adicionar, consegue garantir facilmente que o 3D Secure é aplicado automaticamente às compras feitas no EEE.
Os utilizadores também conseguem ver, na página de encomendas da Shopify, as encomendas que recorreram à SCA no processamento do pagamento. As encomendas pagas com cartão de débito ou de crédito que passaram pelo 3D Secure terão a indicação 3D Secure (3DS) junto à cronologia da encomenda.
Isto significa que a identidade do comprador foi confirmada pelo banco emissor do cartão, e a transação será classificada por defeito como de baixo risco. Nestas transações, não é necessária qualquer ação por parte do comerciante na página de encomendas.
Quando se aplica a SCA?
A SCA aplica-se a todos os pagamentos online efetuados dentro da União Europeia. Ou seja, quando o cliente reside na UE e fez uma compra a um negócio que também opera na UE.
Ainda assim, cada vez mais países avançam para requisitos semelhantes, de forma a prevenir pagamentos fraudulentos e a proteger comerciantes e prestadores de serviços de pagamento.
Isenções da SCA
Nem todos os pagamentos eletrónicos ou transações de e-commerce estão sujeitos à SCA. Eis alguns exemplos de situações em que a SCA não é exigida.
Transações de baixo risco
As transações de baixo risco são identificadas através de uma análise de risco da transação (TRA). Os prestadores de serviços de pagamento podem realizar análises de risco em tempo real para decidir se é ou não necessário aplicar a SCA.
Este risco é determinado pelas taxas de fraude do prestador de serviços de pagamento. Pode haver isenção se essas taxas de fraude forem inferiores a estes limites:
- 0,13% para transações até 100 €
- 0,06% para transações até 250 €
- 0,01% para transações até 500 €
O prestador de serviços de pagamento pode então solicitar uma “isenção de TRA” para dispensar a utilização da SCA.
Transações de baixo valor
As transações de baixo valor, ou seja, aquelas que não têm custos elevados, também podem estar isentas da SCA. As regras determinam que qualquer transação de 30 € ou menos pode ser considerada uma transação de baixo valor.
Contudo, o banco emissor ou o fornecedor do cartão regista o número de vezes que esta isenção é utilizada. A SCA será exigida a cada cinco transações de baixo valor, para garantir que os pagamentos são seguros e intencionais e para impedir que os fraudadores contornem as regras da PSD2.
Transações recorrentes
Uma transação recorrente, ou subscrição de montante fixo, é outra isenção. A SCA será exigida no primeiro pagamento, mas os pagamentos automáticos subsequentes das subscrições ficam isentos destes requisitos de segurança.
Transações iniciadas pelo comerciante
As transações iniciadas pelo comerciante (MIT) são consideradas “fora do âmbito”, e não isentas. Ainda assim, assinalar uma transação como MIT costuma ser um processo semelhante ao de pedir uma isenção.
Este tipo de pagamento utiliza um cartão já registado. Tal como nas transações recorrentes, o primeiro pagamento tem de passar pela Autenticação Forte do Cliente. No entanto, os pagamentos adicionais não, geralmente porque o cliente aceitou, através de um contrato ou de outra política, que a transação está verificada.
Transações MOTO
As transações MOTO, ou seja, encomendas por correio e por telefone, também são consideradas fora do âmbito. Como estes tipos de pagamento não são considerados pagamentos eletrónicos ou online, não estão abrangidos pelos requisitos da SCA.
Transações empresariais
As transações empresariais ou B2B são as que ocorrem entre duas empresas. Quando este pagamento é feito com um cartão destinado a transações empresariais, estes pagamentos também ficam isentos dos requisitos da SCA.
Transações inter-regionais
As transações inter-regionais são efetuadas por consumidores que não vivem dentro das regiões ou parâmetros das regras da PSD2 e que, por isso, ficam fora do âmbito dos requisitos da SCA.
Por exemplo, mesmo que o seu negócio esteja localizado na UE, se alguém dos Estados Unidos fizer uma compra, essa transação fica fora do âmbito da SCA.
Beneficiários de confiança
Por último, os próprios clientes podem, no fundo, incluir numa lista de confiança as empresas com que trabalham regularmente ou em que confiam, de modo a que os seus pagamentos deixem de precisar de autenticação. O banco do consumidor mantém então o registo desta lista de “beneficiários de confiança”, permitindo ao consumidor saltar o processo de SCA.
O que significa a PSD2 para os comerciantes da Shopify?
Se usa o Shopify Payments para processar cartões de crédito ou de débito na Alemanha, Dinamarca, Irlanda, Países Baixos, Áustria, Bélgica, Suécia, Espanha ou Reino Unido, não precisa de fazer nada — está automaticamente em conformidade.
O Shopify Payments está otimizado para minimizar a utilização do 3D Secure. Só recorrerá ao 3D Secure quando for estritamente exigido pelo banco emissor para que uma transação seja autorizada.
Se usa o Stripe para processar cartões de crédito ou de débito, também está totalmente em conformidade com a PSD2 e em condições de oferecer a SCA.
Os métodos de pagamento locais, como o iDeal e o Klarna, e as carteiras digitais, como o Google Pay, o Apple Pay e o PayPal Express, já estão em conformidade com a regulamentação e não exigem qualquer ação.
Para os comerciantes que recorrem a gateways de terceiros, a conformidade com a PSD2 não é automática.
Para estar em conformidade, recomendamos que use uma gateway de SCA aprovada pela Shopify e que estabeleça uma ligação com a Cardinal Commerce. No seu painel de administração da Shopify, em Definições > Pagamentos, surgirá a indicação de que a Cardinal Commerce está disponível.
Se opera em países do EEE ou da UE, é do seu interesse e do dos seus clientes garantir a conformidade e oferecer opções de 3D Secure, ou assegurar que a forma como aceita pagamentos está isenta da SCA.
Perguntas frequentes sobre a Autenticação Forte do Cliente
Quando é exigida a Autenticação Forte do Cliente?
A Autenticação Forte do Cliente, ou SCA, é exigida sempre que um pagamento é feito por um consumidor residente no Espaço Económico Europeu (EEE). Embora existam isenções, os negócios que operam no EEE devem assegurar a conformidade, independentemente disso.
O que acontece se não estiver em conformidade com a SCA?
Estas leis aplicam-se aos bancos. Isto significa que o banco não pode (nem deve) aprovar transações que não passem pela segurança da SCA, sob pena de violar a legislação europeia. No entanto, significa também que, se não estiver em conformidade com a SCA, os bancos irão provavelmente recusar a transação, impedindo que os consumidores residentes no EEE comprem no seu negócio. Isto pode prejudicar as vendas, pelo que é do seu interesse garantir a conformidade.
Quem é responsável pela Autenticação Forte do Cliente?
A Autoridade Bancária Europeia (EBA), dentro da União Europeia (UE), é responsável por fazer cumprir a SCA. No Reino Unido, as regras da SCA da PSD2 são aplicadas pela Financial Conduct Authority (FCA).
O que é uma licença PSD2 e como posso obtê-la?
A licença PSD2 é exigida às instituições de pagamento na UE. Entre elas incluem-se a Stripe, o PayPal, a Square, o Apple Pay, o Google Pay e outras. Este tipo de empresas possui licenças para poder prestar serviços de pagamento em conformidade com as diretrizes da PSD2.
