Sterke klantauthenticatie (SCA)
De EU-regel dat een betaling met twee van drie factoren moet worden bevestigd: iets wat je weet, iets wat je hebt, iets wat je bent.
De eis komt uit PSD2, met de technische uitwerking in de regulatory technical standards van de EBA, die sinds 14 september 2019 gelden. E-commerce met kaarten kreeg uitstel tot eind 2020, omdat vrijwel niemand er klaar voor was. De twee factoren moeten onafhankelijk van elkaar zijn, en bij betalingen hoort ook dynamische koppeling: de code die de klant goedkeurt is gebonden aan dat exacte bedrag en die exacte ontvanger, zodat een gekaapte sessie geen van beide ongemerkt kan verwisselen.
Wat het stelsel werkbaar maakt, zijn de uitzonderingen. Online aankopen onder € 30 tot een cumulatieve limiet, contactloos onder € 50, door de verkoper geïnitieerde terugkerende afschrijvingen en transacties die de risicoanalyse van de issuer veilig acht, mogen de controle overslaan. In de praktijk wordt SCA voor kaarten geleverd via 3-D Secure, en is "iets wat je hebt" de bankapp op je telefoon.