Строгая аутентификация клиента (SCA)
Правило ЕС: платёж подтверждается двумя из трёх факторов — то, что вы знаете, то, что у вас есть, и то, что вы есть.
Требование пришло из PSD2, технические детали — в регуляторных технических стандартах EBA, действующих с 14 сентября 2019 года. Карточной электронной коммерции дали отсрочку до конца 2020 года, потому что почти никто не был готов. Два фактора должны быть независимы друг от друга, а платежи требуют ещё и динамической привязки: код, который подтверждает клиент, связан с конкретной суммой и получателем, так что перехваченная сессия не сможет незаметно подменить ни то, ни другое.
Терпимым режим делают исключения. Онлайн-покупки до 30 € в пределах накопленного лимита, бесконтактные платежи до 50 €, рекуррентные списания по инициативе продавца и транзакции, которые риск-анализ эмитента сочтёт безопасными, могут обойтись без проверки. На практике SCA для карт реализуется через 3-D Secure, а «то, что у вас есть» — банковское приложение в телефоне.