Autenticazione forte del cliente (SCA)
La norma UE per cui un pagamento va confermato con due fattori su tre: qualcosa che si sa, qualcosa che si possiede, qualcosa che si è.
Il requisito discende dalla PSD2, con i dettagli tecnici nelle norme tecniche di regolamentazione dell'EBA, applicate dal 14 settembre 2019. L'e-commerce con carta ottenne una proroga fino a fine 2020, perché quasi nessuno era pronto. I due fattori devono essere indipendenti e i pagamenti richiedono anche il collegamento dinamico: il codice che il cliente approva è legato a quell'importo e a quel beneficiario, così una sessione dirottata non può sostituirli di nascosto.
A rendere il regime sopportabile sono le esenzioni. Acquisti online sotto i 30 € fino a un limite cumulativo, pagamenti contactless sotto i 50 €, addebiti ricorrenti avviati dall'esercente e transazioni che l'analisi del rischio dell'emittente giudica sicure possono saltare la verifica. Nella pratica la SCA per le carte passa da 3-D Secure, e il «qualcosa che si possiede» è l'app della banca sul telefono.