Güçlü Müşteri Kimlik Doğrulaması (SCA, Strong Customer Authentication) Nedir?
Güçlü müşteri kimlik doğrulaması (SCA), Avrupa’da ödeme hizmetleri düzenlemesiyle (PSD2) getirilen ve internet ile temassız ödemelerde kart sahibinin kimliğinin üç doğrulama öğesinden en az ikisiyle doğrulanmasını isteyen kuraldır.
Diğer Adları: SCA
Güçlü Müşteri Kimlik Doğrulaması Nasıl Çalışır?
Kural, dolandırıcılığı azaltmak için ödeme akışına ek bir doğrulama adımı ekler. Kart sahibinden düzenlemede sayılan üç doğrulama öğesinden en az ikisini kullanması istenir; uygulamada bu çoğunlukla telefona gelen tek kullanımlık kod ya da banka uygulamasında parmak iziyle onay olarak görülür.
İnternette kartlı ödemede şartı karşılamanın en yaygın yolu 3D Secure’dur. Doğrulama gerektiren ama şartı karşılamayan ve muafiyet uygulanmayan ödemeleri bankaların reddetmesi gerekir.
Güçlü Müşteri Kimlik Doğrulaması Hangi Ödemelerde İstenir?
Kural, Birleşik Krallık ve Avrupa’da müşterinin başlattığı internet ödemelerinde ve temassız mağaza ödemelerinde uygulanır. İnternette kartlı ödemede şart, hem işletmenin hem de kartı çıkaran bankanın Avrupa Ekonomik Alanı’nda (AEA) bulunduğu işlemler içindir.
Sınır ötesi satışta bu ayrım önemlidir: ödemeyi işleyen kuruluş ya da kartı çıkaran banka AEA dışındaysa işlem kapsam dışı sayılır. Satıcının müşteri katılmadan, önceden alınmış izinle başlattığı ödemeler de kapsam dışıdır; ancak doğrulama isteyip istememeye yine kartı çıkaran banka karar verir.
Örnek: Avrupa’daki alıcılara satış yapan bir mağaza, ödemeyi AEA’da kurulu bir ödeme kuruluşu üzerinden alıyorsa Avrupa’da çıkarılmış kartlarla yapılan ödemelerde müşteriye doğrulama adımı çıkar. Mağazanın ödeme akışı bu adımı ve dönüşünü desteklemelidir.
Güçlü Müşteri Kimlik Doğrulamasında Muafiyetler
Düşük riskli işlemler için muafiyetler vardır: ödeme kuruluşunun anlık işlem risk analizi, düşük tutarlı ödemeler ve aynı işletmeye aynı tutarda yapılan tekrarlayan ödemeler bunlardandır. Muafiyeti ödeme kuruluşu ister, kabul edip etmemeye kartı çıkaran banka karar verir.
Muafiyet reddedilirse banka doğrulamanın eksik olduğunu belirten bir ret kodu döner ve ödeme müşteriye doğrulamayla yeniden sunulur. Muafiyetle geçen ödemede dolandırıcılık itirazlarının sorumluluğu işletmede kalır.
Güçlü Müşteri Kimlik Doğrulaması Hakkında Sık Sorulan Sorular
Güçlü müşteri kimlik doğrulaması ile 3D Secure aynı şey mi?
Değil. Güçlü müşteri kimlik doğrulaması Avrupa’daki düzenlemenin şartıdır; 3D Secure ise internette kartlı ödemede bu şartı karşılamanın en yaygın yoludur.
Kayıtlı kartla yapılan abonelik tahsilatında doğrulama gerekir mi?
Kart kaydedilirken ya da ilk ödemede doğrulama yapılır ve müşteriden sonraki tahsilatlar için izin alınır. Sonraki tahsilatlar işyeri başlatmalı ödeme olarak kapsam dışında sayılabilir; banka yine de doğrulama isteyebilir.
Dijital cüzdanla yapılan ödemelerde ayrı doğrulama gerekir mi?
Apple Pay ve Google Pay gibi cüzdanlar biyometrik ya da parolalı kendi doğrulama katmanını taşır. Bu nedenle kuralın şartlarını karşılarken müşteriye ek bir adım göstermeden ödeme alınabilir.