3DS2: la norma de autentificación
3DS2 aumenta la seguridad de los pagos y además mejora la experiencia de usuario Se basa en un análisis de riesgos inteligente y dinámico. Permite disminuir los abandonos de pedido y las interacciones con el comprador.
Para ello, el emisor utiliza una mayor cantidad de información para evaluar el riesgo de la transacción.
Si el emisor determina que el nivel de riesgo de la transacción es bajo, la autentificación se realiza sin interacción del comprador (Frictionless).
En caso en que el emisor evalúe un riesgo alto para la transacción, será necesaria una interacción del comprador. Se denomina Challenge.
Durante este proceso, el comprador debe proporcionar al menos dos factores de autentificación. Este método de autentificación se conoce como SCA (Strong Customer Authentication).
- Posesión: un objeto que el cliente posee (como el smartphone para un pago e-commerce o la tarjeta bancaria para un pago en tienda).
- Conocimiento: dato que solo el cliente conoce (como una contraseña).
- Característica personal: elemento biométrico que caracteriza al cliente (como una huella digital, reconocimiento de voz o reconocimiento facial).
El SCA solo se requiere cuando el emisor y el adquirente se encuentran dentro del Espacio Económico Europeo (EEE).
El SCA no es obligatorio en las transacciones realizadas con una tarjeta emitida fuera del EEE, ni en el caso en que el vendedor haya suscrito una afiliación con un adquirente fuera del EEE, aún si la tarjeta es emitida dentro del EEE (caso denominado “one-leg”).
En todo el mundo, los emisores de tarjeta están haciendo un uso progresivo del método de autentificación multifactor.
- La autentificación en modo pop-in reemplaza la redirección hacia la página del ACS.
- La autentificación se adapta a los nuevos canales de pago como los pagos in-app y los pagos con móvil
Más información intercambiada entre los diferentes actores:
Transacción y datos del cliente:
Contiene información obligatoria u opcional recopilada a partir del itinerario del cliente en el sitio web comercial y del detalle de la transacción:
- número de tarjeta y fecha de vencimiento
- dirección de facturación
- dirección de envío
- nombre del vendedor
- URL del sitio web comercial
- país
- código MCC
- BIN Adquirente
- MID
- monto
- divisa
- tipo de transacción
Datos del vendedor:
- Información sobre el riesgo del vendedor.
Datos que solamente el vendedor puede verificar a partir del detalle del pedido y que se utilizan para el análisis de riesgos:
- envío a la dirección de facturación
- envío a una tienda
- dirección e-mail de envío
- periodo de envío
- compra de tarjeta regalo
- productos disponibles o prepedido
- primer pedido o no
- calificación del análisis de riesgo efectuado por el vendedor
- Información sobre la cuenta de cliente del titular:
Información sobre los datos o el historial de la cuenta de cliente en el sitio web comercial:
- fecha de creación
- fecha de modificación
- fecha del último cambio de contraseña
- cantidad de transacciones
- actividad sospechosa
- etc.
- Información sobre el riesgo del vendedor.
Datos sobre el equipo:
Información específica del equipo (navegador/aplicación iOS/aplicación Android):- dirección IP
- idioma
- tamaño de la pantalla
- zona horaria
- User-Agent
- encabezados HTTP
- modelo del equipo
- nombre del SO
- versión del SO
- fecha y hora
- resolución de pantalla
- coordenadas de GPS
En función del sistema operativo, se pueden explotar diferentes datos (IMEI, fuentes, Subscriber ID, etc.).
Datos de autentificación:
- Autentificación en el sitio web comercial.Concierne la autentificación del comprador para acceder al sitio web comercial (no 3DS):
- método de autentificación
- fecha y hora de conexión
- datos de autentificación
- Autentificación fuerte anterior:Datos de autentificación 3DS de una transacción anterior realizada por el mismo titular de tarjeta con el mismo medio de pago:
- método de autentificación (frictionless o challenge)
- fecha y hora de la autentificación 3DS
- datos de autentificación (número de transacción ACS)
- Autentificación en el sitio web comercial.