Vad är stark kundautentisering (SCA) enligt PSD2?

Betalningar är en central del av köpupplevelsen, oavsett var och vad du säljer – men de är särskilt viktiga online, där tillit och säkerhet står högst upp på kundens lista.

Om du är verksam inom Europeiska ekonomiska samarbetsområdet (EES) har du kanske hört talas om det reviderade betaltjänstdirektivet (PSD2). Det är ett regelverk som bland annat omfattar stark kundautentisering (Strong Customer Authentication, SCA) och är avsett att öka skyddet mot bedrägerier vid köp på nätet. Det kommer att påverka företag inom EES på vissa sätt.

Här får du lära dig att navigera dessa komplexa delar av försäljningen, så att du kan fokusera på att driva och växa ditt företag. Den här artikeln svarar på alla frågor du kan tänkas ha om PSD2, SCA och mer därtill.

Vad är stark kundautentisering?

Stark kundautentisering är en säkerhetsregel inom EES som bidrar till att minska bedrägerier och göra betalningar säkrare. Den är en del av det reviderade betaltjänstdirektivet.

Stark kundautentisering (SCA) liknar det många hänvisar till som tvåfaktorsautentisering: om en kund handlar online med sitt bank- eller kreditkort kan SCA kräva att hen använder två former av autentisering.

Som exempel kan SCA, i stället för att kunden bara anger PIN-kod eller lösenord, be om en kod som skickas via sms som ett andra steg. Det gör det svårare för bedrägliga transaktioner att gå igenom.

SCA bidrar också till att ett intrång i en autentiseringsmetod inte äventyrar en annan, vilket ytterligare stärker säkerheten kring kundens information.

Vad är det reviderade betaltjänstdirektivet?

Det reviderade betaltjänstdirektivet reglerar elektroniska betalningar som görs inom EU. Det första betaltjänstdirektivet trädde i kraft 2007, och PSD2 kom i slutet av 2019 – även om det inte var fullt genomfört förrän i slutet av 2020.

En av de större uppdateringarna i revideringen var ett starkare skydd för kunder som handlar online med sina bank- och kreditkort. Detta skyddar även dig som e-handlare.

För att följa dessa regler behöver du se till att du har stark kundautentisering för att hjälpa till att motverka bedrägerier där kortet inte är fysiskt närvarande vid betalningar från europeiska köpare.

Exempel på stark kundautentisering

Stark kundautentisering måste innehålla två av dessa tre element: kunskap, innehav och biometri.

Kunskap

Kunskap hänvisar till något som bara din kund känner till. Några exempel på detta är:

• Ett lösenord
• En lösenordsfras
• Ett hemligt faktum
• En PIN-kod
• En sekvens
• Kunskapsbaserade kontrollfrågor

Innehav

Innehav hänvisar till föremål som kunden fysiskt äger. Detta inkluderar saker som:

• En telefon
• En surfplatta
• Bärbar teknik
• En hårdvarutoken
• Ett smartkort
• En bricka

Biometri

Biometri hänvisar till saker som i grunden är kunden – personliga och fysiska kännetecken som ingen annan kan matcha. Det beskrivs som "något som kunden är". Exempel är:

• Fingeravtryck
• Ansiktsigenkänning
• Röstigenkänning
• Irismönster
• Näthinneskanning
• DNA-signatur

Hur fungerar stark kundautentisering?

Tidigare kunde åtkomst till konton och godkännande av betalningar göras med ett enkelt "något som kunden vet" – som en PIN-kod. Stark kundautentisering kräver mer än så och ger därmed ännu bättre säkerhet.

Lösenord kan läcka eller hackas. Bank- och kreditkort kan tappas bort eller stjälas. Men om någon måste ange ett lösenord från sin specifika enhet eller lämna ett fingeravtryck tillsammans med kortets PIN blir hela processen betydligt säkrare.

Stark kundautentisering sköts genom ett protokoll som kallas 3D Secure – en teknik som stöds av de flesta europeiska kort. Protokollet lägger till ett extra säkerhetssteg som kunderna måste ange i kassan för att autentisera sig.

Dina kunder ser 3D Secure-indikatorn dyka upp, och den uppmanar dem sedan att autentisera sig ytterligare genom en process i flera steg.

Det kan vara:

• En engångskod som skickas via sms till kundens smartphone
• Autentisering med fingeravtryck via en bankapp som BankID
• Ansiktsigenkänning via telefonen

Att många smarta enheter är kompatibla med dessa typer av biometrisk autentisering gör det ännu enklare för kunder att göra säkra köp.

När detta SCA-steg har genomförts är eventuella bedrägliga återkrav bankens problem – inte ditt.

Se till att du uppfyller kraven för stark kundautentisering

Om ditt företag är verksamt inom EES måste du uppfylla kraven i PSD2 och SCA, annars kan banker neka köp. Det är dock inte svårt att se till att du är i linje med reglerna – du behöver helt enkelt göra något av (eller båda) följande:

• Tillämpa 3D Secure på betalningar med bank- och kreditkort
• Använda en betalportal – som Shopify Payments eller Apple Pay – som automatiskt är optimerad för att uppfylla kraven i PSD2 och SCA

Att ha en Shopify-butik gör det enkelt att följa reglerna. Med alla betalningsalternativ du kan lägga till är det lätt att se till att 3D Secure automatiskt tillämpas på köp som görs inom EES.

Användare kan även se vilka köp som har använt SCA för betalningshantering på sina beställningssidor i Shopify. Köp som betalats med bank- eller kreditkort och gått igenom 3D Secure har noteringen 3D Secure (3DS) bredvid tidslinjen för köpet.

Det innebär att köparens identitet har bekräftats av banken som utfärdat kortet, och att transaktionen klassas som standard som låg risk. Ingen åtgärd krävs från handlaren på ordersidan för dessa transaktioner.

När gäller reglerna för stark kundautentisering?

SCA gäller alla onlinebetalningar som görs inom EU. Det innebär att kunden är bosatt inom EU och har gjort ett köp från ett företag som också är verksamt inom EU.

Allt fler länder inför dock liknande krav för att förhindra bedrägliga betalningar och skydda handlare och betalningsleverantörer.

Undantag från reglerna för stark kundautentisering

Inte alla elektroniska betalningar eller e-handelstransaktioner omfattas av reglerna för stark kundautentisering. Här är några exempel på när stark kundautentisering inte krävs.

Transaktioner med låg risk

Transaktioner med låg risk identifieras genom en riskanalys för transaktioner (Transaction Risk Analysis, TRA). Betalningsleverantörer kan göra riskanalyser i realtid för att avgöra om SCA behöver tillämpas eller inte.

Risken bestäms av betalningsleverantörens nivåer för bedrägeri. Transaktioner kan undantas om nivåerna ligger under dessa gränsvärden:

• 0,13 % för transaktioner upp till 1 000 kronor
• 0,06 % för transaktioner upp till 2 500 kronor
• 0,01 % för transaktioner upp till 5 000 kronor

Betalningsleverantören kan sedan begära ett "TRA-undantag" för att slippa använda åtgärder för stark kundautentisering.

Transaktioner med lågt värde

Transaktioner med lågt värde, det vill säga transaktioner som inte kostar så mycket, kan också undantas från SCA. Enligt reglerna kan varje transaktion på cirka 300 kronor eller mindre betraktas som en transaktion med lågt värde.

Den utfärdande banken eller kortleverantören håller dock koll på hur många gånger detta undantag används. Åtgärder för stark kundautentisering krävs efter var femte transaktion med lågt värde för att säkerställa att betalningarna är säkra och avsiktliga, så att bedragare inte kan kringgå PSD2-reglerna.

Återkommande transaktioner

En återkommande transaktion, eller en prenumeration med fast belopp, är ett annat undantag. Åtgärder för stark kundautentisering krävs för den första betalningen, men efterföljande automatiska betalningar för prenumerationer undantas från dessa säkerhetskrav.

Transaktioner som initieras av handlaren

Transaktioner som initieras av handlaren (Merchant Initiated Transactions, MIT) betraktas som "utanför tillämpningsområdet" snarare än undantagna. Att markera en transaktion som en MIT är dock vanligtvis en liknande process som att begära ett undantag.

Den här typen av betalning använder ett kort som redan finns sparat. Precis som vid återkommande transaktioner måste den första betalningen gå igenom stark kundautentisering. Ytterligare betalningar gör det dock inte, vanligtvis eftersom kunden har godkänt, via ett avtal eller en annan policy, att transaktionen är verifierad.

MOTO-transaktioner

MOTO-transaktioner, det vill säga post- och telefonorder, betraktas också som utanför tillämpningsområdet. Eftersom dessa typer av betalningar inte räknas som elektroniska betalningar eller onlinebetalningar omfattas de inte av SCA-kraven.

Företagstransaktioner

Företags- eller B2B-transaktioner är sådana som sker mellan två företag. När en sådan betalning görs med ett kort som är avsett för företagstransaktioner undantas även dessa betalningar från SCA-kraven.

Transaktioner mellan regioner

Transaktioner mellan olika regioner är transaktioner som görs av konsumenter som inte bor inom de regioner eller ramar som PSD2-reglerna omfattar, och de ligger därför utanför SCA-kraven.

Till exempel: även om ditt företag ligger inom EU, så ligger en transaktion utanför SCA:s tillämpningsområde om någon från USA gör ett köp.

Betrodda mottagare

Slutligen kan kunderna själva i praktiken vitlista företag som de regelbundet handlar hos eller litar på, så att deras betalningar inte längre behöver autentiseras. Konsumentens bank håller sedan koll på denna lista över "betrodda mottagare", så att konsumenten kan hoppa över SCA-processen.

Vad innebär PSD2 för Shopify-handlare?

Om du använder Shopify Payments för att hantera kredit- eller bankkort i Tyskland, Danmark, Irland, Nederländerna, Österrike, Belgien, Sverige, Spanien eller Storbritannien behöver du inte göra något – du uppfyller kraven automatiskt.

Shopify Payments är optimerat för att minimera användningen av 3D Secure. Det använder bara 3D Secure när det är absolut nödvändigt enligt den utfärdande banken för att en transaktion ska godkännas.

Om du använder Stripe för att hantera kredit- eller bankkort uppfyller du också fullt ut kraven i PSD2 och kan erbjuda SCA.

Lokala betalningsmetoder som iDeal och Klarna, samt plånböcker som Google Pay, Apple Pay och PayPal Express, uppfyller redan kraven i regelverket och kräver ingen åtgärd.

Om du använder tredjeparts gateways uppfyller du inte automatiskt kraven i PSD2.

För att följa reglerna rekommenderar vi att du använder en Shopify-godkänd SCA-gateway och skapar en anslutning med Cardinal Commerce. I din Shopify-administratör, under Inställningar > Betalningar, får du information om att Cardinal Commerce är tillgängligt.

Om du är verksam i länder inom EES eller EU ligger det både i ditt och dina kunders intresse att se till att du följer reglerna och erbjuder 3D Secure-alternativ, eller att det sätt du tar emot betalningar på är undantaget från SCA.