Asiakkaan vahva tunnistaminen PSD2-direktiivin mukaisesti

Maksaminen on olennainen osa ostokokemusta riippumatta siitä, missä ja mitä myydään. Verkossa sen merkitys korostuu entisestään, sillä luottamus ja turvallisuus ovat ensisijaisen tärkeitä.

Jos harjoitat liiketoimintaa Euroopan talousalueella (ETA), uudistettu maksupalveludirektiivi (PSD2) saattaa olla sinulle tuttu. Direktiivi sisältää vahvaa asiakastunnistusta (SCA) koskevat vaatimukset, joiden tarkoituksena on parantaa verkkomaksamisen turvallisuutta ja ehkäistä maksupetoksia. Ne koskevat myös ETA-alueella toimivia yrityksiä.

Tässä artikkelissa kerrotaan, mitä PSD2 ja SCA tarkoittavat verkkokauppiaille ja miten niiden vaatimukset voi täyttää, jotta voit keskittyä liiketoimintasi pyörittämiseen ja kasvattamiseen. Saat vastaukset yleisimpiin kysymyksiin PSD2:sta, vahvasta asiakastunnistuksesta ja niihin liittyvistä vaatimuksista.

Mitä asiakkaan vahva tunnistaminen tarkoittaa?

Vahva asiakastunnistus (SCA) on Euroopan talousalueella (ETA) käytössä oleva turvallisuuskäytäntö, jonka tarkoituksena on vähentää maksupetoksia ja parantaa maksamisen turvallisuutta. Se on osa uudistettua maksupalveludirektiiviä (PSD2).

SCA muistuttaa monille tuttua kaksivaiheista tunnistautumista. Kun asiakas tekee verkko-ostoksen pankki- tai luottokortilla, maksun vahvistaminen saattaa edellyttää kahden eri tunnistautumistekijän käyttöä.

Pelkkä PIN-koodi tai salasana ei esimerkiksi välttämättä riitä, vaan asiakkaan on vahvistettava maksu myös tekstiviestitse lähetetyllä koodilla. Tämä vaikeuttaa luvattomien maksutapahtumien tekemistä.

Asiakkaan vahva tunnistaminen auttaa myös varmistamaan, ettei yhden tunnistautumistekijän vaarantuminen riitä murtautumaan maksutilille. Näin asiakkaan tietojen ja maksutapahtumien turvallisuus paranee.

Mikä on uudistettu maksupalveludirektiivi?

Uudistettu maksupalveludirektiivi (PSD2) säätelee sähköisiä maksuja Euroopan unionissa. Alkuperäinen maksupalveludirektiivi tuli voimaan vuonna 2007, ja PSD2 julkaistiin loppuvuodesta 2019. Se otettiin kuitenkin täysimääräisesti käyttöön vasta vuoden 2020 lopussa.

Yksi uudistuksen merkittävistä muutoksista oli asiakkaiden suojan parantaminen pankki- ja luottokorteilla tehtävissä verkko-ostoksissa. Tämä lisää myös verkkokauppiaiden turvallisuutta.

Direktiivin vaatimusten täyttämiseksi verkkokauppiaiden on varmistettava, että käytössä on vahva asiakastunnistus. Sen avulla voidaan torjua korttipetoksia, joissa maksukorttia ei käytetä fyysisesti maksutapahtuman yhteydessä.

Esimerkkejä asiakkaan vahvasta tunnistamisesta

Vahva asiakastunnistus edellyttää kahden seuraavista kolmesta tunnistautumistekijästä käyttöä: tieto, hallussapito ja biometrinen ominaisuus.

Tieto

Tiedolla tarkoitetaan jotain, jonka vain asiakas tietää. Esimerkkejä tällaisista tunnistautumistekijöistä ovat:

• salasana
• tunnuslause
• salainen tieto
• PIN-koodi
• numerosarja
• tietoon perustuvat turvakysymykset

Hallussapito

Hallussapidolla tarkoitetaan esineitä, jotka asiakas fyysisesti omistaa. Tähän kuuluu esimerkiksi:

• puhelin
• tabletti
• puettava teknologia
• laitetunniste
• älykortti
• tunnistekortti

Biometriset ominaisuudet

Biometrisillä ominaisuuksilla tarkoitetaan asiakkaan yksilöllisiä fyysisiä tai biologisia tunnisteita eli ominaisuuksia, jotka ovat ominaisia juuri hänelle. Niitä kutsutaan myös tunnistautumistekijöiksi, jotka perustuvat siihen, mitä asiakas on. Esimerkkejä ovat:

• sormenjälki
• kasvojentunnistus
• äänentunnistus
• iiriksen tunnistus
• verkkokalvon skannaus
• DNA-tunniste

Miten vahva asiakastunnistus toimii?

Aiemmin tilille kirjautuminen ja maksujen hyväksyminen saattoivat onnistua pelkällä salasanalla tai PIN-koodilla eli yhdellä tunnistautumistekijällä. Vahva asiakastunnistus edellyttää kahta eri tunnistautumistekijää, mikä parantaa maksamisen turvallisuutta.

Salasanat voivat vuotaa tai joutua hakkereiden käsiin. Pankki- ja luottokortit puolestaan voivat kadota tai tulla varastetuiksi. Jos asiakkaan on kuitenkin syötettävä salasana omalta laitteeltaan tai vahvistettava henkilöllisyytensä sormenjäljellä kortin PIN-koodin lisäksi, maksamisesta tulee huomattavasti turvallisempaa.

Vahva asiakastunnistus toteutetaan verkkomaksuissa yleensä 3D Secure -protokollan avulla. Useimmat eurooppalaiset maksukortit tukevat tätä teknologiaa, joka lisää maksamiseen ylimääräisen turvakerroksen.

Maksamisen yhteydessä asiakkaalle voidaan näyttää 3D Secure -tunnistuspyyntö, jossa häntä pyydetään vahvistamaan maksutapahtuma esimerkiksi seuraavilla tavoilla:

• syöttämällä tekstiviestitse älypuhelimeen lähetetty kertakäyttöinen koodi
• vahvistamalla maksu sormenjäljellä pankkisovelluksessa
• käyttämällä älypuhelimen kasvojentunnistusta

Koska monet älylaitteet tukevat tällaisia biometrisiä tunnistautumismenetelmiä, asiakkaiden on entistä helpompi tehdä ostoksia turvallisesti.

Kun vahva asiakastunnistus on suoritettu onnistuneesti, maksupetoksista johtuvien takaisinveloitusten taloudellinen vastuu siirtyy yleensä kauppiaalta pankille sovellettavien sääntöjen mukaisesti.

Miten varmistaa vahvan asiakastunnistuksen vaatimusten noudattaminen?

Jos harjoitat liiketoimintaa Euroopan talousalueella (ETA), sinun on noudatettava PSD2-direktiivin ja vahvan asiakastunnistuksen (SCA) vaatimuksia. Muussa tapauksessa pankit voivat hylätä maksutapahtumia. Vaatimusten noudattaminen on kuitenkin yksinkertaista. Voit varmistaa sen jommallakummalla tai molemmilla seuraavista tavoista:

• Ota 3D Secure käyttöön pankki- ja luottokorttimaksuissa.
• Käytä maksuportaalia, kuten Shopify Paymentsia tai Apple Payta, joka on automaattisesti yhteensopiva PSD2-direktiivin ja SCA-vaatimusten kanssa.

Shopify-kaupassa vaatimusten noudattaminen on helppoa. Laajasta maksuvaihtoehtojen valikoimasta voit valita sopivat maksutavat ja varmistaa, että 3D Secure otetaan automaattisesti käyttöön ETA-alueella tehdyissä ostoksissa.

Shopifyn tilaussivulla näet myös, mitkä tilaukset on käsitelty SCA-tunnistautumista käyttäen. Jos asiakas on maksanut pankki- tai luottokortilla ja maksu on vahvistettu 3D Securen avulla, tilauksen aikajanalla näkyy merkintä 3D Secure (3DS).

Tämä tarkoittaa, että kortin myöntänyt pankki on vahvistanut ostajan henkilöllisyyden ja maksutapahtuma luokitellaan oletusarvoisesti vähäriskiseksi. Kauppiaan ei tarvitse tehdä näiden maksutapahtumien osalta mitään erillisiä toimenpiteitä tilaussivulla.

Milloin vahvaa asiakastunnistusta vaaditaan?

Vahvaa asiakastunnistusta (SCA) vaaditaan useimmissa Euroopan talousalueella (ETA) tehdyissä verkkomaksuissa. Vaatimus koskee yleensä tilanteita, joissa sekä asiakas että maksunsaaja toimivat ETA-alueella.

Yhä useammat maat ovat kuitenkin ottamassa käyttöön vastaavia vaatimuksia petosten ehkäisemiseksi sekä kauppiaiden ja maksupalveluntarjoajien suojaamiseksi.

Poikkeukset vahvan asiakastunnistuksen vaatimuksiin

Kaikki sähköiset maksut tai verkkokaupan maksutapahtumat eivät kuulu vahvan asiakastunnistuksen vaatimusten piiriin. Seuraavissa tilanteissa tunnistautumisesta voidaan myöntää poikkeus tai maksutapahtuma voi jäädä vaatimusten soveltamisalan ulkopuolelle.

Matalan riskin maksutapahtumat

Matalan riskin maksutapahtumat tunnistetaan maksutapahtuman riskianalyysin (Transaction Risk Analysis, TRA) avulla. Maksupalveluntarjoajat voivat analysoida maksutapahtumien riskejä reaaliaikaisesti ja päättää analyysin perusteella, voidaanko vahvasta asiakastunnistuksesta myöntää poikkeus.

Poikkeuksen myöntäminen riippuu maksupalveluntarjoajan petosasteesta. Poikkeus voi olla mahdollinen, jos petosaste alittaa seuraavat raja-arvot:

• 0,13 % enintään 100 euron maksutapahtumissa
• 0,06 % enintään 250 euron maksutapahtumissa
• 0,01 % enintään 500 euron maksutapahtumissa

Tällöin maksupalveluntarjoaja voi pyytää TRA-poikkeusta, jolloin vahvaa asiakastunnistusta ei tarvitse soveltaa kyseiseen maksutapahtumaan.

Matalan arvon maksutapahtumat

Myös pienarvoiset maksutapahtumat voivat olla vapautettuja vahvan asiakastunnistuksen vaatimuksista. Säännösten mukaan enintään 30 euron maksutapahtuma voidaan katsoa pienarvoiseksi, eikä se tällöin yleensä edellytä vahvaa asiakastunnistusta.

Kortin myöntänyt pankki seuraa kuitenkin poikkeuksen käyttöä. Vahvaa asiakastunnistusta edellytetään viimeistään silloin, kun peräkkäisten pienarvoisten maksutapahtumien yhteissumma ylittää 100 euroa tai kun poikkeusta on käytetty viisi kertaa peräkkäin. Näin pyritään varmistamaan maksujen turvallisuus ja ehkäisemään poikkeuksen väärinkäyttöä.

Toistuvat maksutapahtumat

Myös toistuvat, samansuuruisina veloitettavat maksut, kuten kuukausittaiset tilausmaksut, voivat olla vapautettuja vahvan asiakastunnistuksen vaatimuksista. Tunnistautuminen vaaditaan ensimmäisen maksun yhteydessä, mutta seuraavat automaattiset veloitukset eivät yleensä edellytä sitä.

Kauppiaan käynnistämät maksutapahtumat

Kauppiaan käynnistämät maksutapahtumat (Merchant-Initiated Transactions, MIT) jäävät vahvan asiakastunnistuksen vaatimusten soveltamisalan ulkopuolelle sen sijaan, että ne olisivat varsinaisesti vapautettuja vaatimuksista.

Tällaisissa maksutapahtumissa käytetään asiakkaan aiemmin tallentamia korttitietoja. Kuten toistuvissa maksuissa, ensimmäinen maksu on vahvistettava vahvalla asiakastunnistuksella. Seuraavat maksut voidaan kuitenkin veloittaa ilman uutta tunnistautumista, jos asiakas on antanut niihin etukäteen suostumuksensa.

MOTO-maksutapahtumat

MOTO-maksutapahtumat (Mail Order/Telephone Order) eli posti- ja puhelintilaukset jäävät vahvan asiakastunnistuksen vaatimusten soveltamisalan ulkopuolelle. Koska maksutiedot annetaan postitse tai puhelimitse eikä maksua tehdä sähköisesti verkossa, tällaiset maksutapahtumat eivät kuulu SCA-vaatimusten piiriin.

Yritysten väliset maksutapahtumat

Yritysten väliset eli B2B-maksutapahtumat ovat kahden yrityksen välisiä maksuja. Tietyt yrityskäyttöön tarkoitetuilla maksuvälineillä tehdyt maksut voivat olla vapautettuja vahvan asiakastunnistuksen vaatimuksista. Poikkeus koskee esimerkiksi tiettyjä yritysten välisiä korttimaksuja, jos ne täyttävät sääntelyn edellytykset.

Alueiden väliset maksutapahtumat

Alueiden väliset maksutapahtumat ovat maksuja, joissa asiakas tai kortin myöntänyt pankki sijaitsee PSD2-sääntelyn soveltamisalueen ulkopuolella. Tällaiset maksutapahtumat jäävät yleensä vahvan asiakastunnistuksen vaatimusten soveltamisalan ulkopuolelle.

Jos esimerkiksi Yhdysvalloissa asuva asiakas tekee ostoksen EU:ssa sijaitsevasta verkkokaupasta yhdysvaltalaisella maksukortilla, maksutapahtuma ei yleensä kuulu SCA-vaatimusten piiriin.

Luotetut edunsaajat

Asiakas voi lisätä luotettaviksi edunsaajiksi yrityksiä, joiden kanssa hän asioi säännöllisesti ja joihin hän luottaa. Tällöin näille yrityksille tehtävät maksut voidaan vapauttaa vahvan asiakastunnistuksen vaatimuksista.

Asiakkaan pankki ylläpitää luotettujen edunsaajien luetteloa. Asiakas voi lisätä yrityksiä luetteloon esimerkiksi vahvan asiakastunnistuksen yhteydessä, jolloin myöhemmät maksut kyseisille yrityksille voidaan hyväksyä ilman uutta tunnistautumista.

Mitä PSD2 tarkoittaa Shopify-kauppiaille?

Jos käytät Shopify Paymentsia pankki- ja luottokorttimaksujen käsittelyyn Saksassa, Tanskassa, Irlannissa, Alankomaissa, Itävallassa, Belgiassa, Ruotsissa, Espanjassa tai Yhdistyneessä kuningaskunnassa, sinun ei tarvitse tehdä mitään erikseen. Maksujen käsittely täyttää vaatimukset automaattisesti.

Shopify Payments on optimoitu siten, että 3D Secure -tunnistautumista käytetään mahdollisimman harvoin. Sitä tarvitaan vain silloin, kun kortin myöntänyt pankki edellyttää sitä maksutapahtuman hyväksymiseksi.

Jos käytät Stripea pankki- ja luottokorttimaksujen käsittelyyn, myös se täyttää PSD2-vaatimukset ja tukee vahvaa asiakastunnistusta (SCA).

Paikalliset maksutavat, kuten iDEAL ja Klarna, sekä digitaaliset lompakot, kuten Google Pay, Apple Pay ja PayPal Express, täyttävät jo vaatimukset eivätkä edellytä sinulta erillisiä toimenpiteitä.

Kolmannen osapuolen maksupalveluntarjoajia käyttävien kauppiaiden maksujärjestelmät eivät kuitenkaan automaattisesti täytä PSD2-vaatimuksia.

Vaatimustenmukaisuuden varmistamiseksi suosittelemme käyttämään Shopifyn hyväksymää SCA-yhteensopivaa maksupalveluntarjoajaa ja ottamaan yhteyttä Cardinal Commerceen. Voit tarkistaa Shopify Administa kohdasta Asetukset > Maksut, onko Cardinal Commerce käytettävissä.

Jos harjoitat liiketoimintaa ETA- tai EU-maissa, sekä sinun että asiakkaidesi edun mukaista on varmistaa, että maksujen käsittely täyttää vaatimukset. Varmista, että maksutapa tukee 3D Secure -tunnistautumista tai että maksutapahtumat kuuluvat SCA-vaatimuksista myönnettävien poikkeusten piiriin.