PSD2

¿Qué es PSD2?

PSD2 (Payment Services Directive 2) es la segunda directiva de servicios de pago de la UE, aplicable desde enero de 2018. Impone dos requisitos principales: los pagos electrónicos en el EEE deben asegurarse con una autenticación reforzada de clientes (SCA), y los bancos deben dar a terceros autorizados acceso API a los datos de cuentas e iniciación de pagos (open banking) con el consentimiento del cliente. La SCA requiere al menos dos factores independientes de las categorías de conocimiento, posesión e inherencia.

¿Por qué es importante PSD2?

Para una tienda en línea, la PSD2 afecta directamente a la conversión en el checkout. Los pagos con tarjeta en los que el banco requiere SCA se canalizan a través de un flujo 3-D Secure 2, donde el cliente aprueba mediante, por ejemplo, una aplicación bancaria o biometría. Si se gestiona mal, los clientes terminan con pagos rechazados o abandonados. La directiva define exenciones, que incluyen transacciones de menos de 30 €, pagos de suscripción recurrentes y transacciones iniciadas por el comerciante (MIT), por lo que no todos los pagos activan un desafío.

Casos de uso comunes

• Pagos con tarjeta en el checkout. El banco emisor puede requerir la autenticación 3DS2 antes de que se complete el pago.
• Suscripciones y cargos recurrentes. El primer pago se autentica, mientras que los cargos posteriores pueden ejecutarse como una exención de MIT.
• Integraciones de open banking. Las aplicaciones de pago de cuenta a cuenta o de contabilidad dependen del acceso API de PSD2.
• Depuración de pagos rechazados. La falta o el fallo de SCA es una causa común de abandono en el paso de pago.

Perspectiva de Shopify

Shopify Payments y la mayoría de las pasarelas manejan 3DS2 de forma dinámica, activando un desafío solo cuando el banco del cliente lo requiere. Rara vez necesitarás programar la SCA tú mismo, pero debes probar el checkout con tarjetas europeas reales y verificar que la ventana de 3DS2 se procese correctamente en dispositivos móviles. Monitorea los pagos rechazados en tus informes para detectar pasarelas o aplicaciones que interrumpan el flujo de autenticación.