Autenticazione forte del cliente nell’e-commerce: quando si applica e cosa fare

Autenticazione forte del cliente: cosa c’è dietro

L’autenticazione forte del cliente (Strong Customer Authentication, SCA) deriva dalla direttiva UE sui servizi di pagamento PSD2 (direttiva UE 2015/2366) ed è entrata in vigore il 14 settembre 2019. Ha modificato l’autenticazione dei pagamenti online dei clienti europei.

Gli standard tecnici di regolamentazione (RTS) della PSD2 concretizzano i requisiti minimi. Oltre alla SCA, rientrano in questo quadro la prescrizione di «standard comuni e sicuri di comunicazione aperta» con specifiche per interfacce documentate, ambienti di test (sandbox) nonché statistiche di monitoraggio e disponibilità. Questi regolano l’accesso dei fornitori terzi accreditati (AISP, PISP, CBPII).

I pagamenti con carta avvenivano tradizionalmente in due fasi: autorizzazione – la banca o l’emittente della carta approva il pagamento – e acquisizione, momento in cui la carta viene addebitata. Con la SCA si aggiunge un ulteriore passaggio obbligatorio prima dell’autorizzazione e dell’acquisizione: l’autenticazione.

Il cliente risponde a una richiesta della banca e fornisce informazioni aggiuntive. Sono possibili tre opzioni: conoscenza, ad esempio una password; possesso, ad esempio un telefono cellulare; biometria, ad esempio un’impronta digitale. Questo passaggio protegge la clientela prevenendo le frodi.

La SCA richiede almeno due di questi tre elementi, ovvero un’autenticazione a due fattori. I due fattori devono essere indipendenti l’uno dall’altro e provenire da categorie diverse. Una password da sola non è più sufficiente.

La SCA si applica ai pagamenti avviati dal pagatore, all’accesso online ai conti di pagamento e alle vendite a distanza con rischio di frode. È stata introdotta dalla direttiva PSD2 e concretizzata dagli standard tecnici di regolamentazione (RTS) dell’Autorità bancaria europea (EBA).

Quando la SCA si applica al proprio shop

Quattro criteri decidono se è necessario occuparsi dell’autenticazione forte del cliente. Il tema è rilevante se la sede dell’azienda si trova nello Spazio economico europeo (SEE) o se vengono effettuati pagamenti per conti collegati all’interno del SEE, se vi sono clienti nel SEE o se si accettano carte di credito e/o di debito.

Se sussiste anche solo una di queste condizioni, il tema è rilevante per il proprio shop. Importante per la pianificazione: la SCA non è obbligatoria per ogni singola transazione online. L’obbligo scatta in base alla transazione.

Per i pagamenti online con carta, l’autenticazione avviene tramite 3-D Secure 2.0. Il cliente riceve una notifica push sullo smartphone (possesso) e conferma il pagamento tramite riconoscimento facciale (inerenza).

Le impostazioni concrete non vengono effettuate nello shop, ma direttamente presso il fornitore di servizi di pagamento nel relativo account. Le commercianti e i commercianti devono costruire il checkout in modo che un passaggio aggiuntivo di autenticazione sia sempre possibile, anche se non appare ad ogni acquisto.

Quattro criteri: l’autenticazione forte del cliente è rilevante per il mio shop?

Eccezioni – e perché non offrono sicurezza

Per gli acquisti ricorrenti e per i pagamenti inferiori a 30 euro esistono eccezioni alla SCA. Anche per le transazioni a basso rischio si può rinunciare all’autenticazione. Il rischio si misura in base al volume e al tasso di frodi associato al fornitore di servizi di pagamento o alla banca.

Più precisamente, si tratta di: transazioni ricorrenti dello stesso importo, pagamenti di piccolo importo inferiori a 30 euro con un limite cumulativo massimo, beneficiari attendibili (whitelisting) nonché transazioni a basso rischio basate su un’analisi del rischio in tempo reale (TRA).

Queste eccezioni non costituiscono una garanzia. Le banche non sono tenute ad approvarle e possono comunque richiedere l’autenticazione del cliente. I fornitori di servizi di pagamento possono inasprire le impostazioni di verifica secondo i propri criteri; né lo shop né la commerciante o il commerciante possono influenzare tale decisione.

Dal punto di vista della pianificazione vale quanto segue: chi conta su un’eccezione deve comunque prevedere il passaggio di autenticazione nel checkout. L’eccezione riduce la probabilità di abbandono, ma non la elimina.

Eccezioni alla SCA – e i loro limiti

Prospettiva svizzera: nessun obbligo PSD2, ma conseguenze tangibili

La direttiva PSD2 si applica agli Stati membri dell’UE ed è rilevante per il SEE. La Svizzera non l’ha recepita: qui non esiste ancora un obbligo generale di legge di aprire le API. Il Consiglio federale punta su un approccio guidato dal mercato e osserva costantemente l’evoluzione.

Tuttavia, i commercianti svizzeri non ne restano esclusi. Chi ha clienti nel SEE dovrebbe occuparsi della SCA, poiché la banca emittente o il fornitore di servizi di pagamento la impone secondo le proprie regole.

L’elenco dei criteri – sede nel SEE, pagamenti per conti collegati nel SEE, clientela nel SEE, accettazione di carte di credito e di debito – mostra che basta avere clienti nel SEE per dover affrontare l’argomento.

In Svizzera la standardizzazione avviene dal basso verso l’alto tramite iniziative di settore, anziché attraverso un obbligo legale di apertura. SFTI «Common API» elabora specifiche per le API bancarie e assicurative. SIX consente con bLink il collegamento sicuro e standardizzato tra banche e fornitori terzi, ad esempio per le informazioni sul conto o l’inoltro dei pagamenti, scalando così i casi d’uso del multibanking. Neppure sotto la PSD2 è prescritto uno standard API uniforme a livello UE.

UE/SEE e Svizzera a confronto: regolamentazione, interfacce, applicazione

Cosa possono fare concretamente i commercianti

Il primo passo è chiarire la situazione con il proprio fornitore di servizi di pagamento: in quali situazioni viene richiesta un’autenticazione rafforzata? La risposta varia a seconda del fornitore, della rete cartesiana e del profilo di rischio e non può essere determinata dallo shop.

In secondo luogo, le impostazioni dell’account presso il fornitore di servizi di pagamento devono essere esaminate. Vengono effettuate direttamente presso il fornitore di servizi di pagamento nel relativo account, non nel sistema di shop. Poiché il fornitore può inasprire la verifica secondo i propri criteri, vale la pena aggiornare periodicamente le impostazioni.

In terzo luogo, i clienti devono essere preparati al passaggio aggiuntivo. Vengono invitati dalla loro banca ad autorizzare il pagamento e hanno bisogno per questo di accedere al proprio telefono cellulare o all’app della banca.

Concretamente, per il checkout significa: lo shop integra 3-D Secure 2.0. Il cliente conferma il pagamento tramite notifica push sullo smartphone (possesso) e tramite riconoscimento facciale (inerenza). Le autenticazioni dei clienti offerte dal fornitore di servizi di pagamento sono disponibili per tutti i sistemi di pagamento.

Nel checkout si verificano abbandoni – pertanto è necessario monitorare i punti di abbandono. Se emerge che molti acquisti terminano esattamente nella fase di autenticazione, si tratta di una questione da discutere con il fornitore di servizi di pagamento, non di un problema di design dello shop.

Per gli abbonamenti e gli acquisti ricorrenti occorre inoltre chiarire come questi pagamenti siano gestiti presso il fornitore, affinché l’eccezione per gli acquisti ricorrenti possa effettivamente essere applicata.

In sei passi verso un checkout compatibile con la SCA

Oltre la SCA: tenere d’occhio le interfacce

Le interfacce di pagamento e di open banking aumentano la velocità dell’innovazione, ma ampliano anche la potenziale superficie di attacco. Nella pratica, soprattutto autorizzazioni insicure, permessi eccessivi, logging e monitoraggio insufficienti nonché configurazioni insicure del trasporto e dei protocolli portano a fughe di dati e abusi. Le attuali OWASP API Security Top 10 collocano le debolezze nelle autorizzazioni e nei controlli di accesso ancora ai primi posti.

Come misure prioritarie valgono concetti puliti di authorization/authentication e la protezione contro l’esaurimento delle risorse. A ciò si aggiungono diritti minimi per gli accessi di terzi e un monitoraggio efficace con indicatori chiave.

Per gli istituti, sulla base delle prescrizioni della FINMA, contano un’architettura robusta di API security, una governance pulita, la gestione del rischio dei terzi ed evidenze verificabili. Gli istituti interessati devono consentire accessi di terzi tracciabili e sicuri, inclusa la trasparenza su disponibilità e performance.

Per i commercianti che integrano pagamenti open banking o informazioni sui conti, questo significa: le stesse domande – chi può fare cosa, come viene registrato, come viene monitorato – fanno parte della selezione e della gestione del fornitore.