Exención de bajo importe
La regla de PSD2 que permite a las compras pequeñas por internet saltarse la autenticación reforzada, hasta que lo pequeño suma algo grande.
La exención figura en el artículo 16 de la norma técnica europea sobre autenticación reforzada de clientes. Un pago a distancia de hasta 30 euros puede pasar sin segundo factor, pero solo mientras los pagos exentos desde la última autenticación no superen 100 euros en total ni cinco seguidos. A partir de ahí, el cliente debe autenticarse de nuevo. El emisor elige qué contador lleva. Los pagos sin contacto en tienda tienen su propio límite, más alto, de 50 euros.
La exención es un permiso, no una obligación. El comercio puede solicitarla a través de 3-D Secure, pero el emisor siempre puede exigir la autenticación de todos modos, y solo el emisor sabe cómo va el contador. Eso la hace difícil de prever: un café de 4 euros puede activar de repente la app del banco porque el cliente ya ha comprado otras cuatro cosas en línea desde la última vez. Por eso los grandes comercios recurren más al análisis de riesgo de la operación, que tiene umbrales más altos.