Co je silné ověření zákazníka (SCA) podle směrnice PSD2?

Platby představují klíčovou součást nákupního zážitku bez ohledu na to, kde a co prodáváte; obzvláště důležité jsou však v online prostředí, kde hrají důvěra a bezpečnost zásadní roli.

Pokud provozujete prodej online v rámci Evropského hospodářského prostoru (EHP), pravděpodobně jste se již setkali s revidovanou směrnicí o platebních službách (PSD2). Jde o regulatorní rámec, který zavádí silné ověření zákazníka neboli SCA a jehož hlavním cílem je omezit podvodné transakce při placení na internetu. Na obchodníky působící v EHP má toto nařízení přímý dopad.

V tomto přehledu zjistíte, jak se v regulatorních požadavcích zorientovat, abyste se mohli plně soustředit na řízení a rozvoj vlastního obchodu. Text přináší odpovědi na zásadní otázky týkající se PSD2, procesů SCA i praktických dopadů na každodenní provoz.

Co je silné ověření zákazníka (SCA)?

Silné ověření zákazníka, známé pod zkratkou SCA (Strong Customer Authentication), představuje bezpečnostní pravidlo platné v EHP, které pomáhá omezovat podvody a zvyšovat bezpečnost plateb. Tvoří součást revidované směrnice o platebních službách.

SCA funguje na podobném principu jako dvoufaktorové ověření. Pokud zákazník nakupuje na internetu pomocí platební karty, může SCA vyžadovat potvrzení identity dvěma nezávislými způsoby.

Příkladem je situace, kdy systém kromě zadání hesla vyzve kupujícího k zadání SMS kódu nebo k potvrzení v bankovní aplikaci. Pro neoprávněné osoby je pak mnohem těžší dokončit podvodnou transakci.

SCA navíc zajišťuje, že prolomení jednoho ověřovacího prvku neohrozí jinou metodu, takže platební brána lépe chrání citlivá data zákazníků.

Co je revidovaná směrnice o platebních službách?

Revidovaná směrnice o platebních službách (PSD2) upravuje elektronické platby v Evropské unii. První směrnice vstoupila v platnost v roce 2007 a norma PSD2 vyšla koncem roku 2019, i když plně účinná začala být až na konci roku 2020.

Jednou z hlavních novinek této revize byla silnější ochrana spotřebitelů, kteří nakupují online kartou. Stejně tak ale chrání i samotné obchodníky.

Pro splnění těchto předpisů musíte mít aktivní právě ověření SCA, které účinně omezuje podvody u plateb bez fyzické přítomnosti karty od evropských zákazníků.

Příklady SCA

Silné ověření zákazníka musí zahrnovat dva z těchto tří prvků: znalost, vlastnictví a biometrii.

Znalost

Znalost se vztahuje k něčemu, co ví pouze váš zákazník. Mezi typické příklady patří:

• Heslo
• Přístupová fráze
• Tajný údaj
• PIN kód
• Posloupnost
• Kontrolní bezpečnostní otázky

Vlastnictví

Vlastnictví se vztahuje k předmětům, které zákazník fyzicky vlastní. Patří sem například:

• Telefon
• Tablet
• Nositelná elektronika (chytré hodinky)
• Hardwarový token
• Čipová karta
• Identifikační karta

Biometrie

Biometrie zahrnuje unikátní fyzické charakteristiky zákazníka, tedy vlastnosti, které nikdo jiný nemůže napodobit a které definují, kým zákazník je. Mezi příklady patří:

• Otisky prstů
• Rozpoznání obličeje
• Rozpoznání hlasu
• Obraz duhovky
• Sken sítnice
• Podpis DNA

Jak funguje SCA?

V minulosti stačil k autorizaci platby pouze jediný údaj, například zadání PIN kódu. Standard SCA vyžaduje vyšší úroveň zabezpečení, čímž výrazně posiluje ochranu transakcí.

Hesla mohou uniknout a platební karty se dají zcizit. Pokud však nakupující musí zadat heslo na spárovaném osobním zařízení nebo potvrdit platbu otiskem prstu, riziko zneužití citlivých údajů dramaticky klesá.

Proces SCA probíhá prostřednictvím protokolu 3D Secure, což je ověřovací technologie podporovaná většinou vydavatelů platebních karet v Evropě. Tento protokol vkládá do nákupního procesu dodatečnou bezpečnostní vrstvu, kterou zákazník při placení potvrdí.

Při placení se zákazníkům zobrazí výzva protokolu 3D Secure vyžadující vícefaktorové ověření. Nejčastěji jde o:

• Jednorázový kód zaslaný v SMS na zákazníkův telefon
• Ověření otiskem prstu prostřednictvím bankovní aplikace
• Rozpoznání obličeje pomocí chytrého telefonu

Většina moderních telefonů biometrické ověřování plně podporuje, což nakupujícím celý proces placení výrazně usnadňuje.

Jakmile zákazník tento krok SCA úspěšně dokončí, odpovědnost za případný podvodný chargeback přechází na vydavatelskou banku, nikoli na váš e-shop.

Jak zajistit soulad se SCA

Pokud vaše firma působí v EHP, musíte dodržovat požadavky PSD2 a SCA, jinak mohou banky nákupy zamítnout. Zajistit soulad však není obtížné, stačí udělat jednu (nebo obě) z následujících dvou věcí:

• Uplatnit 3D Secure u plateb kreditní a debetní kartou
• Použít platební portál, jako jsou Shopify Payments nebo Apple Pay a Google Pay, který je automaticky optimalizován tak, aby splňoval požadavky PSD2 SCA

Na platformě Shopify je dodržování předpisů jednoduché. Různé integrované platební metody umožňují u nákupů v rámci EHP automaticky aplikovat protokol 3D Secure.

Přímo v administraci Shopify na stránce se seznamem objednávek snadno uvidíte, kde bylo ověření SCA použito. Objednávky uhrazené platební kartou, které prošly 3D Secure, mají v časové ose zobrazenou značku 3D Secure (3DS).

To potvrzuje, že totožnost nakupujícího ověřila přímo vydavatelská banka a transakce je automaticky klasifikována jako nízkoriziková. U takto zpracovaných objednávek už v administraci nemusíte provádět žádné další manuální kroky.

Kdy se SCA uplatňuje?

Pravidla pro SCA se vztahují na všechny online platby prováděné v rámci Evropského hospodářského prostoru. To znamená, že zákazník i prodejce působí v zemi EHP. Obdobné bezpečnostní standardy však postupně zavádějí i další státy po celém světě, aby omezily neoprávněné platby a chránily obchodníky i poskytovatele platebních služeb.

Výjimky ze SCA

Ne každá online platba nebo e-shopová transakce podléhá SCA. Zde je několik příkladů, kdy SCA není vyžadováno.

Nízkorizikové transakce

Míra rizika se vyhodnocuje pomocí analýzy rizikovosti transakce (TRA). Poskytovatelé platebních služeb analyzují bezpečnostní parametry v reálném čase a rozhodují, zda je nutné vyvolat ověření SCA.

Posouzení vychází z celkové míry podvodů daného poskytovatele. Výjimku lze uplatnit v případě, že se podíl neoprávněných transakcí drží pod stanovenými hranicemi:

• 0,13 % u transakcí do 100 EUR (2 500 Kč)
• 0,06 % u transakcí do 250 EUR (cca 6 250 Kč)
• 0,01 % u transakcí do 500 EUR (cca 12 500 Kč)

Poskytovatel platebních služeb pak může požádat o „výjimku TRA“, aby obešel nutnost použití SCA.

Transakce s nízkou hodnotou

Drobné nákupy do 30 EUR (cca 750 Kč) mohou rovněž získat výjimku z povinného ověření. Vydavatelská banka nicméně pečlivě sleduje frekvenci těchto plateb. Po každých pěti po sobě jdoucích transakcích bez ověření banka u další transakce ověření SCA vyžaduje, aby byla potvrzena legitimita platby a aby se zabránilo obcházení pravidel PSD2.

Opakované transakce

Další výjimku tvoří opakované transakce, neboli předplatné s pevnou částkou. SCA bude vyžadováno u první platby, ale následné automatické platby za předplatné budou z těchto bezpečnostních požadavků osvobozeny.

Transakce iniciované obchodníkem

Transakce iniciované obchodníkem (Merchant-Initiated Transactions neboli MIT) spadají formálně mimo působnost směrnice. Praktické odbavení se však velmi podobá uplatnění výjimky. Tento platební model využívá dříve uloženou platební kartu. Podobně jako u předplatného podléhá první platba plnému ověření přes SCA, avšak navazující transakce již další potvrzení nevyžadují, protože zákazník předem potvrdil smluvní souhlas se strháváním plateb.

Transakce typu MOTO

Objednávky zadané poštou nebo telefonicky (Mail Order/Telephone Order) leží zcela mimo působnost evropské směrnice. Vzhledem k tomu, že se nepovažují za standardní online transakce, povinnostem SCA nepodléhají.

Korporátní transakce

Platby mezi dvěma firmami v rámci B2B prodeje představují další oblast, kde se uplatňuje výjimka. Pokud nákup probíhá pomocí dedikované firemní či korporátní karty přes zabezpečený proces, požadavky na SCA se na tyto platby nevztahují.

Meziregionální transakce

Transakce se zákazníky ze zemí mimo Evropský hospodářský prostor spadají mimo regulatorní rámec PSD2. Pokud tedy váš e-shop sídlí v EU, ale zákazník provádí platbu kartou vydanou například ve Spojených státech, transakce pravidlům SCA nepodléhá.

Důvěryhodní příjemci

Kupující mohou své oblíbené a prověřené obchody zařadit na takzvaný bílý seznam (whitelist). Vydavatelská banka tento registr důvěryhodných příjemců spravuje a při opakovaných nákupech u těchto prodejců umožní zákazníkovi ověření přes SCA zcela přeskočit.

Co znamená PSD2 pro obchodníky na Shopify?

Pokud používáte Shopify Payments ke zpracování plateb kreditní nebo debetní kartou v Německu, Dánsku, Irsku, Nizozemsku, Rakousku, Belgii, Švédsku, Španělsku nebo Spojeném království, nemusíte dělat nic, protože legislativní soulad je zajištěn automaticky.

Shopify Payments funguje tak, aby minimalizoval nutnost ověření přes protokol 3D Secure. Tuto technologii aktivuje pouze v situacích, kdy to vydavatelská banka pro úspěšnou autorizaci transakce nezbytně vyžaduje.

V případě, že ke zpracování platebních karet využíváte Stripe, splňujete požadavky směrnice PSD2 rovněž v plném rozsahu a můžete bez překážek nabízet ověření přes SCA.

Lokální platební metody jako iDEAL či Klarna i digitální peněženky Apple Pay, Google Pay nebo PayPal Express tyto předpisy splňují již ze své podstaty a nevyžadují žádnou dodatečnou konfiguraci.

U platebních bran třetích stran však soulad se směrnicí PSD2 automaticky zajištěn není.

Abyste byli v souladu, doporučujeme použít platební bránu SCA schválenou Shopify a vytvořit propojení s CardinalCommerce. V administraci Shopify budete v nabídce Nastavení > Platby upozorněni, že je CardinalCommerce k dispozici.

Pokud působíte v zemích EHP nebo EU, je v nejlepším zájmu vás i vašich zákazníků zajistit, abyste byli v souladu a nabízeli možnosti 3D Secure nebo aby způsob, jakým přijímáte platby, byl ze SCA vyňat.