Stark kundautentisering
EU:s krav på att en betalning ska bekräftas med två av tre faktorer: något du vet, något du har och något du är.
Kravet kommer från PSD2. De tekniska detaljerna står i EBA:s regleringsstandard (RTS), som började gälla den 14 september 2019. För e-handel med kort fick branschen anstånd till årsskiftet 2020/21, eftersom nästan ingen var redo. De två faktorerna måste vara oberoende av varandra, och vid betalningar krävs dessutom dynamisk länkning. Koden som kunden godkänner ska vara bunden till exakt det beloppet och den mottagaren, så att en kapad session inte kan byta ut något av dem.
Det som gör regelverket användbart är undantagen. Hit hör köp under 30 euro på nätet, upp till en ackumulerad gräns, kontaktlöst under 50 euro, återkommande dragningar som handlaren initierar och betalningar som utgivarens riskanalys bedömer som säkra. I praktiken är det 3-D Secure som bär SCA för kortköp, och bankappen som är "något du har".