Autenticazione delegata
Quando l'emittente di una carta lascia che un wallet o un esercente esegua l'autenticazione forte del cliente per suo conto e ne accetta l'esito come proprio.
La PSD2 attribuisce all'emittente, cioè alla banca del cliente, la responsabilità dell'autenticazione forte. Ma la banca non è sempre l'attore più vicino al cliente. Chi paga con Apple Pay ha già mostrato il proprio volto al telefono, e rimandarlo all'app della banca per un secondo controllo sarebbe inutile e dannoso per la conversione. La soluzione è contrattuale: l'emittente affida l'autenticazione al wallet, che garantisce che sia stata eseguita.
Dal punto di vista tecnico, un'attestazione viaggia insieme alla transazione. L'emittente può comunque rifiutare, ma non deve avviare una propria sfida 3-D Secure. Sul piano giuridico resta responsabile davanti all'autorità di vigilanza, ed è per questo che simili accordi sono stati concessi per lo più ai grandi wallet e a una manciata di esercenti giganti.