PSD2
A PSD2 é a 2ª Diretiva de Serviços de Pagamento da UE, que exige autenticação forte (SCA) e abre dados bancários a terceiros licenciados via APIs.
O que é a PSD2?
A PSD2 (Diretiva de Serviços de Pagamento 2) é a segunda diretiva de serviços de pagamento da UE, aplicável desde janeiro de 2018. Ela impõe dois requisitos principais: os pagamentos eletrónicos no EEE devem ser protegidos com autenticação forte do cliente (SCA), e os bancos devem dar a terceiros licenciados acesso à API para dados de contas e iniciação de pagamentos (open banking) com o consentimento do cliente. A SCA requer pelo menos dois fatores independentes das categorias conhecimento, posse e inerência.
Por que a PSD2 é importante?
Para uma loja online, a PSD2 afeta a conversão diretamente no checkout. Os pagamentos com cartão onde o banco exige SCA são encaminhados através de um fluxo 3-D Secure 2, onde o cliente aprova através de, por exemplo, uma aplicação bancária ou biometria. Se mal gerido, os clientes acabam com pagamentos recusados ou abandonados. A diretiva define isenções — incluindo transações abaixo de €30, pagamentos de assinaturas recorrentes e transações iniciadas pelo comerciante (MITs) — pelo que nem todos os pagamentos ativam um desafio.
Casos de uso comuns
- Pagamentos com cartão no checkout. O banco emissor pode exigir autenticação 3DS2 antes de o pagamento ser concluído.
- Assinaturas e cobranças recorrentes. O primeiro pagamento é autenticado, enquanto as cobranças posteriores podem ser executadas sob uma isenção de MIT.
- Integrações de open banking. Pagamentos de conta para conta ou aplicações de contabilidade dependem do acesso à API da PSD2.
- Depuração de pagamentos recusados. A falta ou falha de SCA é uma causa comum de abandono na etapa de pagamento.
Perspetiva da Shopify
O Shopify Payments e a maioria dos gateways gerem o 3DS2 dinamicamente, ativando um desafio apenas quando o banco do cliente o exige. Raramente precisará de programar o SCA por si mesmo, mas deve testar o checkout com cartões europeus reais e verificar se a janela 3DS2 é renderizada corretamente no telemóvel. Monitorize os pagamentos recusados nos seus relatórios para detetar um gateway ou aplicação que quebre o fluxo de autenticação.