PSD2
PSD2 is de tweede EU-richtlijn voor betalingsdiensten die sterke klantauthenticatie (SCA) vereist en bankgegevens via API's openstelt voor erkende derden.
Wat is PSD2?
PSD2 (Payment Services Directive 2) is de tweede richtlijn voor betalingsdiensten van de EU, van kracht sinds januari 2018. De richtlijn stelt twee belangrijke eisen: elektronische betalingen in de EER moeten worden beveiligd met sterke klantauthenticatie (SCA), en banken moeten met toestemming van de klant gelicentieerde derden API-toegang geven tot rekeninggegevens en betalingsinitiatie (open banking). SCA vereist ten minste twee onafhankelijke factoren uit de categorieën kennis, bezit en inherentie.
Waarom is PSD2 belangrijk?
Voor een webshop heeft PSD2 directe invloed op de conversie bij het afrekenen. Kaartbetalingen waarbij de bank SCA vereist, worden omgeleid via een 3-D Secure 2-flow, waarbij de klant goedkeuring geeft via bijvoorbeeld een bank-app of biometrie. Als dit slecht wordt afgehandeld, haken klanten af door geweigerde of afgebroken betalingen. De richtlijn definieert wel vrijstellingen — waaronder transacties onder de € 30, terugkerende abonnementsbetalingen en door de handelaar geïnitieerde transacties (MIT’s) — waardoor niet elke betaling een verificatie vereist.
Veelvoorkomende use cases
- Kaartbetalingen bij het afrekenen. De uitgevende bank kan 3DS2-authenticatie vereisen voordat de betaling wordt voltooid.
- Abonnementen en terugkerende betalingen. De eerste betaling wordt geauthenticeerd, terwijl latere afschrijvingen kunnen worden uitgevoerd onder een MIT-vrijstelling.
- Open banking-integraties. Betalingen van rekening naar rekening of boekhoud-apps zijn afhankelijk van de API-toegang van PSD2.
- Geweigerde betalingen analyseren. Een ontbrekende of mislukte SCA is een veelvoorkomende oorzaak van uitval in de betalingsstap.
Shopify-perspectief
Shopify Payments en de meeste gateways verwerken 3DS2 dynamisch en activeren alleen een controle wanneer de bank van de klant dit vereist. Je hoeft SCA zelden zelf te programmeren, maar je moet het afrekenen testen met echte Europese kaarten en controleren of het 3DS2-venster correct wordt weergegeven op mobiel. Houd geweigerde betalingen in je rapporten in de gaten om gateways of apps te identificeren die de authenticatieflow verstoren.