La deuxième Directive sur les services de paiement (ou DSP2) impose l'authentification forte pour les paiements lorsque l'acheteur est présent lors de l'achat mais prévoit aussi des cas pour lesquels l'interaction avec l'acheteur (le challenge) n'est pas obligatoire. Pour bénéficier d'une authentification passive (frictionless), le paiement doit être éligible à une exemption. Voici les cas prévus par la DSP2.