支付是购物体验的核心环节，尤其在在线交易中，信任与安全性至关重要。若在欧洲经济区（EEA）开展业务，需关注修订后的《支付服务指令》（PSD2）及其强客户认证（SCA）要求。该监管旨在提升在线支付安全、降低欺诈风险。本文将解析PSD2与SCA要点，助您合规运营。
什么是强客户认证？
强客户认证（SCA）是EEA的一项安全政策，属于PSD2的一部分，旨在减少欺诈并提升支付安全性。其机制类似双因素认证：顾客使用借记卡或信用卡在线购物时，需提供两种身份验证方式。
例如，除输入密码外，还需接收短信验证码。此举不仅增加欺诈难度，还能防止单一验证方式泄露导致整体信息受损。
什么是修订后的《支付服务指令》？
PSD2规范了欧盟境内的电子支付行为，于2019年底发布，2020年底全面实施。相比2007年的原版指令，PSD2加强了对持卡消费者的保护，同时也保障了电商商家的权益。
为合规经营，商家需确保具备SCA功能，以减轻接受欧洲买家付款时的非面对面欺诈风险。
SCA 示例
强客户身份验证必须包含以下三要素中的至少两项：
所知
指仅客户知晓的信息，例如：
- 密码
- 短语密码
- 秘密事实
- 个人识别码 (PIN)
- 序列号
- 基于知识的挑战问题
所有
指客户物理拥有的物品，例如：
- 手机
- 平板电脑
- 可穿戴设备
- 硬件令牌
- 智能卡
- 徽章
固有性
指客户自身固有的生物特征标识，他人无法冒充，例如：
- 指纹
- 人脸识别
- 语音识别
- 虹膜格式
- 视网膜扫描
- DNA签名
SCA是如何工作的？
传统支付仅需“所知”要素（如PIN码），但易遭泄露或盗用。SCA通过组合验证大幅提升安全性。例如，同时需要设备输入密码与指纹扫描。
SCA主要通过3D Secure协议实现，该技术获多数欧洲银行卡支持。结账时，系统会增加额外验证步骤，订单页面显示3D Secure标识后，客户需完成多因素认证，例如：
- 智能手机一次性短信验证码
- 银行App指纹认证
- 智能手机面部识别
现代智能设备普遍兼容上述方式，兼顾安全与便捷。完成SCA验证后，欺诈性拒付责任将由发卡行承担，而非商家。
如何确保符合SCA要求
在EEA运营的业务必须遵守PSD2和SCA规定，否则交易可能被拒。合规方案包括：
Shopify商店可轻松实现合规，多种支付方式支持EEA购买自动应用3D Secure。已通过SCA处理的订单，时间线旁将标注“3D Secure (3DS)”，表明发卡行已确认买家身份，交易默认为低风险，商家无需额外操作。
SCA 何时适用？
SCA适用于欧盟境内发生的所有在线支付，即买卖双方均位于欧盟。目前，越来越多国家正推行类似要求以防范欺诈。
SCA 豁免
并非所有电子交易都受SCA约束，以下情形可能获得豁免：
低风险交易
支付服务提供商可通过交易风险分析（TRA）实时评估风险。若欺诈率低于阈值，可申请TRA豁免：
- 交易额≤€100：欺诈率<0.13%
- 交易额≤€250：欺诈率<0.06%
- 交易额≤€500：欺诈率<0.01%
低价值交易
金额≤€30的交易可视为低价值交易免于SCA。但为防止规避法规，每连续5次低价值交易后，必须执行一次SCA。
周期性交易
固定金额订阅的首次支付需SCA，后续自动扣款免除验证。
商户发起的交易
商户发起的交易（MIT）被视为“不在范围内”。首次支付需SCA，后续使用存档卡片支付通常无需验证，因客户已通过合同授权。
MOTO 交易
邮购和电话订购（MOTO）不属于电子或在线支付范畴，不受SCA约束。
企业交易
B2B交易中使用指定企业卡片支付时，免于SCA要求。
跨区域交易
消费者居住地超出PSD2适用范围（如美国买家在欧盟商家处购物），交易不适用SCA。
可信受益人
客户可将信任的商户加入白名单，此后支付可跳过SCA流程，由发卡行跟踪管理。
PSD2 对 Shopify 商家意味着什么？
使用Shopify Payments在德国、丹麦、爱尔兰、荷兰、奥地利、比利时、瑞典、西班牙或英国处理卡支付，已自动合规。系统会最小化3D Secure触发频率，仅在发卡行强制要求时启用。
使用Stripe处理卡支付同样完全合规。iDeal、Klarna等本地支付方式及Google Pay、Apple Pay、PayPal Express等钱包服务均已符合要求。
使用第三方网关的商家需主动合规，建议接入Shopify批准的SCA网关并与Cardinal Commerce连接。相关提示将在后台设置 > 支付中显示。
在EEA或欧盟国家开展业务，确保提供3D Secure选项或利用SCA豁免条件，对保障交易安全与客户体验至关重要。
强客户身份验证常见问题解答
何时需要强客户身份验证？
EEA内消费者进行的支付均需SCA。尽管存在豁免情形，但在EEA运营的企业仍应确保整体合规。
如果不遵守SCA规定会发生什么？
SCA法律约束对象为银行。若未通过SCA验证，银行将拒绝批准交易，导致EEA消费者无法购物，直接影响销售额。因此，合规是保障业务的必要条件。
谁负责强客户身份验证？
欧盟地区由欧洲银行管理局（EBA）执行；英国地区由金融行为监管局（FCA）执行。
什么是PSD2许可证，我如何获得？
欧盟支付机构（如Stripe、PayPal、Square、Apple Pay、Google Pay等）需持有PSD2许可证方可提供合规支付服务。商家选择持牌服务商即可满足要求。