Cumplimiento de la PSD2: autenticación sólida de clientes sin fricciones
La PSD2 eleva el nivel de los requisitos de seguridad que rigen la validación de las transacciones financieras y regula el acceso a los datos bancarios con, en particular, la generalización de la autenticación fuerte para operaciones específicas, incluido el pago en línea. Comerciantes electrónicos, proveedores de servicios de pago, bancos, no teman perder a sus clientes por cumplir la PSD2.
¿Qué es la normativa PSD2?
En el ámbito de las características de seguridad, el elemento más delicado de la DSP2 es el uso generalizado de la autenticación multifactor (MFA) para determinadas transacciones, incluidos los pagos en línea.
La seguridad de los pagos se consigue mediante una autenticación fuerte con la PSD2
¿Qué es la autenticación fuerte, también conocida como MFA (Multifactor Authentication)?
Se dice que la autenticación es fuerte cuando un usuario debe, para identificarse o validar su operación, proporcionar dos elementos de categorías diferentes entre las tres posibles. Las 3 categorías de factores de identificación son:
- Algo que sé: el ejemplo más común es la contraseña de las aplicaciones o el código PIN de las tarjetas de pago.
- algo que poseo: un teléfono, un ordenador, una memoria flash, un dispositivo conectado. Hay muchas posibilidades. El factor de posesión suele denominarse token.
- algo que soy: se trata esencialmente de biometría: huella dactilar, retina, voz, reconocimiento facial.
Cumplimiento de PSD2 : operaciones que requieren autenticación fuerte de clientes (SCA)
acceso y gestión de la cuenta de pago
que puede ser una cuenta de depósito abierta en una entidad bancaria o una cuenta en uno de los proveedores de servicios de pago.
pago en línea
mediante tarjeta de crédito o transferencia.
transacción en línea con un riesgo significativo de fraude
como la validación de un nuevo beneficiario de transferencia.
La PSD2 prevé algunas excepciones a estas normas, enumerando las operaciones que se consideran de bajo riesgo. Estas excepciones incluyen los pagos de hasta 50 euros en modo sin contacto o 30 euros en línea, o las transferencias a un beneficiario previamente validado mediante autenticación fuerte.
No, la validación por SMS no es una autenticación fuerte.
La principal consecuencia de la PSD2 es que el proceso habitual del sistema de seguridad de pagos (3D Secure), que valida las operaciones mediante el envío por SMS de una contraseña de un solo uso (OTP) que el usuario debe volver a introducir, ya no es conforme. En efecto, se basa en un único factor, la posesión de un teléfono móvil, y puede eludirse muy fácilmente mediante un ciberataque como el SMShing.
La Directiva modifica así el recorrido del cliente en el comercio electrónico en su punto más crucial: la validación del pago. De ahí los temores de los comerciantes en línea, preocupados por un aumento del abandono de la cesta de la compra debido a lo que perciben como un recorrido del cliente más complejo. Esta preocupación es fácilmente comprensible si tenemos en cuenta únicamente las soluciones de autenticación multifactor más extendidas. Generalmente poco seguras, también son complicadas de utilizar, ya que a menudo requieren la reintroducción de una contraseña de un solo uso obtenida por medios más o menos prácticos.
Sin embargo, esto no es en absoluto inevitable, como ilustra inWebo MFA , cuya implantación no solo permite cumplir la PSD2, sino que también reduce la fricción en el proceso de pago, incluso en comparación con la experiencia que ofrece actualmente 3D Secure.
Cumplimiento PSD2 : TrustBuilder.io MFA, la solución de autenticación multifactor que cumple todos los requisitos
Cumplir con toda la normativa PSD2 es un proyecto complejo que requiere muchas competencias. La buena noticia es que la solución MFA de inWebo no solo cumple todos los requisitos necesarios para proteger las transacciones, sino que también ofrece ventajas exclusivas para facilitar la implementación y mejorar la experiencia del usuario.
Con TrustBuilder.io MFA Autenticación multifactor SaaS
el acceso a las cuentas está protegido
TrustBuilder.io MFA puede desplegarse e integrarse fácilmente para proteger el acceso externo a cuentas de depósitos bancarios o cuentas con proveedores de pagos.
las operaciones sensibles y los cambios de estado se sellan mediante un enlace dinámico
Este vínculo dinámico, de conformidad con la DSP2, garantiza la trazabilidad y la seguridad de todas las operaciones consideradas de riesgo, como la adición de un beneficiario de transferencia.
se garantiza la autenticación fuerte del cliente (SCA)
SCA (Strong Customer Authentication) implica la autenticación con al menos 2 factores, lo que excluye las soluciones de contraseña de un solo uso a través de SMS. TrustBuilder.io ofrece la gama más completa de factores de conexión, con sus tokens móviles, de escritorio y de navegador (Deviceless y Smartphoneless).
Condición indispensable para que sus clientes bancarios obtengan la certificación PSD2, inWebo es un Proveedor de Servicios Esenciales Externalizados certificado, lo que garantiza la resiliencia del servicio MFA .
Cómo cumplir la PSD2 ofreciendo una experiencia de cliente sin fricciones
Sin embargo, el principal obstáculo para el cumplimiento de la PSD2 en la actualidad no es técnico, sino que, como hemos visto, está vinculado a los temores sobre los cambios en el proceso de pago.
Aquí es donde entra uno de los principales diferenciadores de la solución inWebo: autenticación fuerte sin smartphone, a través de un simple navegador. El token Deviceless (o Smartphoneless) permite al cliente autenticarse en cumplimiento de la PSD2 sin otro dispositivo de confianza que su navegador, a través de un simple código PIN reutilizable. Esto se consigue a la vez que se garantiza el mayor nivel de seguridad de acceso de cualquier solución MFA mediante el uso de tecnología propia de clave aleatoria dinámica. Para saber más sobre este logro tecnológico, consulte nuestro artículo Deviceless MFA.
La implantación de la solución inWebo MFA no sólo no degrada la experiencia de conexión, sino que incluso la simplifica al eliminar la necesidad de disponer de un smartphone, de tener conexión a la red móvil para recibir el SMS y de volver a introducir un código único, una de las principales fuentes de errores y de abandono del pago.
Por tanto, la ruta se simplifica. Pero también está unificado. Con cientos de integraciones disponibles, a través de conectores, su modo API o su SDK, la solución inWebo MFA puede desplegarse en todos los accesos de aplicaciones, no sólo en los accesos a cuentas bancarias. Así, el usuario que desee conectarse a su correo electrónico, validar una transacción o acceder a la VPN de su empresa, se beneficiará de una interfaz unificada, de una experiencia de inicio de sesión uniforme e incluso de un código PIN único (o de cualquier otro factor de conocimiento) sin ninguna degradación de la seguridad.
No tema el cumplimiento de la PSD2
Minoristas en línea, proveedores de servicios de pago, bancos, no tienen por qué temer perder a sus clientes por cumplir la PSD2. Con TrustBuilder.io, puede combinar una autenticación sólida de los clientes con una experiencia de cliente sin fricciones. Y como ventaja añadida, obtendrá una solución SaaS completa MFA que se puede implementar en unos pocos clics en miles de usuarios, sin limitaciones de equipo.
Vea la repetición de nuestro seminario web
PSD2 y autenticación fuerte de clientes SCA: combinar seguridad y una experiencia de usuario simplificada
La PSD2 es la Directiva de Servicios de Pago revisada emitida por la Comisión Europea que regula los servicios de pago en toda la Unión Europea. La Directiva sobre servicios de pago se adoptó por primera vez en noviembre de 2015 (PSD1) y entró en vigor en toda la Unión Europea en enero de 2018 (PSD2). La Directiva eleva el nivel de los requisitos de seguridad que rigen la validación de las transacciones financieras y regula el acceso a los datos bancarios.
El cumplimiento de la PSD2 requiere que los servicios financieros establezcan una autenticación fuerte del cliente (SCA) en 3 tipos de operaciones: (i) acceso y gestión de la cuenta de pago, (ii) pago en línea y (iii) transacción en línea con un riesgo significativo de fraude.
La DSP2 introduce más competencia en el mercado de pagos al permitir que entidades no bancarias ofrezcan servicios nuevos e innovadores a sus clientes. Como resultado, desde la adopción de la DSP1 en 2007, han surgido nuevos servicios de pago en línea, conocidos como FinTechs o "Third Party Providers (TTPs)". Con la DSP2, se ha exigido a las FinTech que sigan las mismas normas que los proveedores de servicios de pago tradicionales, lo que garantiza que puedan ofrecer sus servicios en toda la UE.
