Hva er Sterk kundeautentisering?
Også: SCA
PSD2-krav om at kundeinitierte elektroniske betalinger i EØS og Storbritannia skal autentiseres med to av følgende: kunnskap, besittelse, iboende egenskap.
Sterk kundeautentisering, eller SCA, er et lovkrav under EUs andre betalingstjenestedirektiv (PSD2) og beholdt i britisk lov. Det er utformet for å gjøre elektroniske betalinger sikrere og redusere svindel.
Reguleringen krever at for kundeinitierte elektroniske betalinger innenfor Det europeiske økonomiske samarbeidsområdet (EØS) og Storbritannia, må autentisering utføres ved hjelp av minst to av tre mulige uavhengige faktorer.
Disse faktorene er kategorisert som: Kunnskap (noe bare brukeren vet, som et passord eller PIN-kode), Besittelse (noe bare brukeren besitter, som mobiltelefonen eller en maskinvaretoken), og Iboende egenskap (noe brukeren er, som et fingeravtrykk eller ansiktsgjenkjenning).
Den primære tekniske løsningen som brukes for å oppfylle SCA-kravene for kortbetalinger er 3D Secure 2. Utstedere er ansvarlige for å utføre autentiseringen og vil avvise autorisasjonsforespørsler for transaksjoner som faller under SCA-mandatet, men som ikke er riktig autentisert.
Imidlertid inkluderer lovgivningen flere viktige unntak for å unngå å legge unødvendig friksjon til alle betalinger. Disse inkluderer transaksjoner under €30 (opp til en kumulativ grense), gjentakende betalinger etter den første oppsettet, betalinger til en betrodd mottaker som er godkjent av kunden, og visse bedriftsbetalinger.
Kanskje det mest betydningsfulle unntaket er for lavrisikotransaksjoner vurdert via transaksjonsrisikoanalyse (TRA), som tillater betalingsleverandører med lave svindelfrekvenser å omgå SCA på kvalifiserende betalinger opp til €500.
En nyanse som ofte blir oversett er at TRA er et privilegium gitt til innløsere basert på deres svindelprestasjon, ikke en rettighet, noe som skaper en konkurranseforskjell mellom leverandører.
Praktisk eksempel
En kunde i Tyskland kjøper en lampe for €120 fra en fransk e-handelside. Siden dette er en kundeinitiert transaksjon mellom to parter innenfor EØS, faller den under SCA-mandatet.
Ved kassen utløser forhandleren 3D Secure 2. Kunden mottar et push-varsel på bankappen sin (besittelsesfaktor).
De åpner appen og bekrefter betalingen med fingeravtrykket sitt (iboende egenskap-faktor). Etter å ha gitt to faktorer, blir transaksjonen autentisert og godkjent.
I et annet scenario, hvis den samme kunden gjorde et kjøp på €25, kunne forhandleren kreve et lavverdiunntak. Utstederen ville da bestemme om unntaket skulle godkjennes eller fortsatt be om en SCA-utfordring basert på egen risikovurdering.
Merknader fra kortnettverkene
SCA er et lovkrav pålagt betalingstjenesteleverandører, ikke en regel opprettet av kortordningene selv. Imidlertid er ordningene avgjørende for implementeringen.
Visa og Mastercard har begge integrert SCA-overholdelse i sine kjernebehandlingsregler og tilbyr 3D Secure 2-protokollen som den primære mekanismen for forhandlere og utstedere for å overholde. De tilbyr funksjonalitet for forhandlere til å flagge transaksjoner for spesifikke unntak, for eksempel lavverdi- eller forhandlerinitierte transaksjoner (MITs).
Mens reguleringen i seg selv er ensartet, kan strengheten som individuelle europeiske utstedere anvender den med, spesielt deres vilje til å akseptere unntaksforespørsler, variere. Dette gjør håndtering av SCA til et spørsmål om nøye orkestrering snarere enn en enkel, enhetlig implementering.
Hvorfor det betyr noe for forhandlere
For forhandlere som selger til kunder i EØS og Storbritannia, resulterer manglende overholdelse av SCA i avviste betalinger og tapt inntekt. Hovedutfordringen er å balansere dette lovkravet med å gi en smidig kundeopplevelse.
Overdreven bruk av autentisering skaper friksjon og avbrutte kjøp, mens manglende autentisering fører til harde avvisninger. Strategisk bruk av unntak er derfor avgjørende for kommersiell suksess.
Cardflos betalingsorkestrering hjelper forhandlere med å navigere i denne kompleksiteten ved å korrekt flagge transaksjoner for tilgjengelige unntak.
Videre kan Cardflos smarte ruting dirigere transaksjoner til innløsere som har fått et TRA-unntak, noe som øker sannsynligheten for at lavrisikotransaksjoner behandles uten en forstyrrende SCA-utfordring, og dermed øker godkjenningsratene.
Ofte stilte spørsmål
Hvordan søker forhandlere om SCA-unntak for å redusere friksjon?
Forhandlere kan be om unntak via sin betalingsgateway eller innløser ved å flagge spesifikke transaksjoner i betalingsautorisasjonsforespørselen. Vanlige unntak inkluderer lavverditransaksjoner under tretti euro og transaksjonsrisikoanalyse, selv om den endelige beslutningen om å godkjenne et unntak ligger hos den utstedende banken.
Hva skjer hvis en transaksjon krever SCA, men 3D Secure ikke brukes?
Hvis en transaksjon faller innenfor omfanget av PSD2 og ingen gyldig unntak er anvendt, vil den utstedende banken sannsynligvis returnere en myk avvisningskode.
Forhandleren må da starte betalingsflyten på nytt ved hjelp av 3D Secure for å be kunden om den nødvendige tofaktorautentiseringen før betalingen kan behandles vellykket.
Gjelder SCA for transaksjoner med kunder utenfor Europa?
Nei, SCA-reglene gjelder for transaksjoner der både kortholderens bank (utsteder) og forhandlerens betalingsbehandler (innløser) er lokalisert innenfor Det europeiske økonomiske samarbeidsområdet (EØS) eller Storbritannia. Dette blir ofte referert til som en 'to-bens' transaksjon.
Hvis en amerikansk kunde kjøper fra en britisk forhandler, gjelder ikke SCA. Men hvis en britisk kunde kjøper fra en amerikansk forhandler ved hjelp av en europeisk innløser, vil SCA-reglene fortsatt utløses.
Hvordan fungerer SCA for abonnementsfakturering?
For abonnementer og gjentakende fakturering kreves SCA vanligvis bare for den første transaksjonen når kunden setter opp betalingsplanen (en kundeinitiert transaksjon, eller CIT). Alle påfølgende planlagte betalinger anses som forhandlerinitierte transaksjoner (MITs) og er utenfor SCA-omfanget, noe som betyr at de kan behandles uten kundeinteraksjon.
Det er avgjørende for forhandleren å korrekt flagge de første og påfølgende transaksjonene slik at utstederen forstår betalingsserien og ikke feilaktig avviser MIT-ene.
Hva er et unntak for transaksjonsrisikoanalyse (TRA)?
Transaksjonsrisikoanalyse (TRA) er et viktig SCA-unntak som lar en betalingsleverandør (som en innløser) be om et unntak for transaksjoner den vurderer som lav risiko.
For å få lov til dette må leverandørens egne svindelfrekvenser være under spesifikke terskler fastsatt av reguleringen (f. eks. under 13 basispunkter for å unnta transaksjoner opp til €100).
Utstederen har det siste ordet og kan fortsatt kreve autentisering, men et vellykket TRA-unntak gir en friksjonsfri betalingsflyt, noe som forbedrer konverteringen. Dette unntaket er en viktig konkurransefordel blant innløsere.
Er alle B2B-betalinger unntatt fra SCA?
Ikke alle B2B-betalinger er automatisk unntatt. SCA-reguleringen gir et unntak for betalinger gjort med 'sikre bedriftsbetalingsmetoder', for eksempel bedriftskort der bruken er begrenset til autoriserte ansatte for å betale en spesifikk virksomhet.
Mange virtuelle kort og lodge-kort som brukes i reisebransjen faller inn under denne kategorien. Imidlertid er betalinger gjort med standard firmakreditt- eller debetkort generelt underlagt de samme SCA-reglene som forbrukerbetalinger.
Hva skjer hvis en SCA-utfordring mislykkes eller kunden avbryter den?
Hvis kunden ikke klarer å fullføre autentiseringsutfordringen (f. eks. taster inn feil passord eller lukker vinduet), mislykkes autentiseringen. Transaksjonen vil ikke bli sendt for autorisasjon, og betalingen blir effektivt avbrutt.
Dette påvirker konverteringsratene direkte. Forhandlere kan redusere dette ved å sørge for at kassen er tydelig og hjelper brukeren, og ved å bruke gjenforsøksstrategier der det er hensiktsmessig, men til syvende og sist betyr et mislykket SCA-forsøk et tapt salg for det spesifikke betalingsforsøket.
See how Sterk kundeautentisering plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Relaterte termer
En kortnettverksautentiseringsprotokoll som flytter svindelansvar fra forhandleren til utstederen når en kortholder er verifisert.
EUs betalingstjenestedirektiv 2, som pålegger SCA, åpner bank-API-er og omformer betalingsansvar.
PSD2-unntak fra SCA for innløsere med lav svindel på transaksjoner under 500 EUR, kalibrert til porteføljesvindelrater målt kvartalsvis.
En belastning initiert av selgeren mot en tidligere lagret legitimasjon, uten at kortholderen er til stede.
Relatert guider.
Klar for å forbedre betalingsløsningen din?
Fortell oss om bedriften din. Vi finner de rette innløsningspartnerne og den rette ruten for deg, vanligvis innen en uke.
