PSD2 Kapsamında Güçlü Müşteri Kimlik Doğrulaması Nedir?

Ödemeler, nerede ve ne sattığınızdan bağımsız olarak alışveriş deneyiminin önemli bir parçası olsa da güven ve güvenlik konularının öncelikli olduğu çevrimiçi satışta özellikle kritik önem taşır.

Avrupa Ekonomik Alanı'nda (AEA) faaliyet gösteriyorsanız, gözden geçirilmiş Ödeme Hizmetleri Direktifi'ni (PSD2; Payment Services Directive 2) duymuş olabilirsiniz. Güçlü Müşteri Kimlik Doğrulaması'nı (SCA; Strong Customer Authentication) kapsayan bir yasal yükümlülük olup, çevrimiçi satın alımlarda dolandırıcılığa karşı korumayı arttırmayı amaçlar ve AEA'daki işletmeleri belirli ölçüde etkiler.

Rehberin devamında, satış sürecinin bu karmaşık yönlerini nasıl aşacağınızı öğrenerek işletmenizi yönetmeye ve büyütmeye odaklanabilirsiniz. Bu makale, PSD2, SCA ve çok daha fazlası hakkında aklınıza gelebilecek tüm soruları yanıtlar.

Güçlü Müşteri Kimlik Doğrulaması (SCA) nedir?

Güçlü Müşteri Kimlik Doğrulaması (SCA), AEA'da dolandırıcılığı azaltmayı ve ödemeleri daha güvenli hale getirmeyi sağlayan bir güvenlik politikasıdır. Gözden geçirilmiş Ödeme Hizmetleri Direktifi'nin (PSD2) bir parçasıdır.

SCA, birçok kişinin iki faktörlü kimlik doğrulama olarak adlandırdığı yönteme benzer. Bir müşteri banka ya da kredi kartıyla çevrimiçi alışveriş yapıyorsa, SCA iki ayrı kimlik doğrulama yöntemi kullanmasını gerektirebilir.

Örneğin, SCA müşteriden yalnızca PIN ya da şifresini girmesini istemek yerine, ikinci adım olarak kendisine SMS ile gönderilen bir kodu girmesini isteyebilir. Böylece dolandırıcılık amaçlı işlemlerin tamamlanması zorlaşır.

SCA ayrıca bir kimlik doğrulama öğesinin ele geçirilmesinin başka bir doğrulama yöntemini tehlikeye atmamasını sağlayarak müşteri bilgilerinin genel güvenliğini arttırır.

Gözden geçirilmiş Ödeme Hizmetleri Direktifi nedir?

Gözden geçirilmiş Ödeme Hizmetleri Direktifi, Avrupa Birliği'nde yapılan elektronik ödemeleri düzenler. İlk Ödeme Hizmetleri Direktifi 2007 yılında yürürlüğe girdi. PSD2 ise 2019'un sonlarında yayımlansa da 2020'nin sonuna kadar tam olarak uygulanmaya başlamadı.

Bu revizyonun getirdiği en önemli yeniliklerden biri, banka ve kredi kartlarıyla çevrimiçi alışveriş yapan müşterilere yönelik daha güçlü koruma oldu. Söz konusu koruma, bir e-ticaret satıcısı olarak sizi de kapsar.

Bu düzenlemelere uymak için, Avrupalı alıcılardan kabul edilen ödemelerde kartın fiziksel olarak bulunmadığı durumlarda gerçekleştirilen dolandırıcılıkları azaltmayı sağlayan Güçlü Müşteri Kimlik Doğrulaması'nı uyguladığınızdan emin olmanız gerekir.

SCA örnekleri

Güçlü Müşteri Kimlik Doğrulaması şu üç öğeden ikisini içermelidir: bilgi, sahiplik ve biyometrik özellikler.

Bilgi

Bilgi, yalnızca müşterinizin bileceği bir şeyi ifade eder. Örneğin:

• Şifre
• Parola ifadesi
• Gizli bilgi
• PIN
• Dizilim
• Bilgiye dayalı güvenlik soruları

Sahiplik

Sahiplik, müşterinin fiziksel olarak sahip olduğu öğeleri ifade eder. Örneğin:

• Telefon
• Tablet
• Giyilebilir teknoloji
• Donanım tokeni
• Akıllı kart
• Rozet

Biyometrik özellikler

Biyometrik özellikler, müşterinin kendisine ait olan ve başka hiç kimseye uymayan kişisel ve fiziksel tanımlayıcıları ifade eder. "Kişiye özgü özellik" olarak adlandırılır. Örneğin:

• Parmak izi
• Yüz tanıma
• Ses algılama
• İris biçimi
• Retina taraması
• DNA imzası

SCA nasıl işler?

Geçmişte, hesaplara erişim ve ödeme yetkilendirmesi PIN örneğinde olduğu gibi "müşterinin bildiği bir şey" ile kolayca yapılabiliyordu. SCA ise daha fazla şart koşarak çok daha iyi bir güvenlik sağlar.

Şifreler sızdırılabilir ya da ele geçirilebilir. Kredi ve banka kartları kaybolabilir ya da çalınabilir. Bununla birlikte, bir kişiden kredi kartı PIN'inin yanı sıra kendi cihazından bir şifre girmesi ya da parmak iziyle kimliğini doğrulaması istenirse, tüm süreç çok daha güvenli olur.

Güçlü Müşteri Kimlik Doğrulaması, 3D Secure adı verilen bir protokol aracılığıyla gerçekleştirilir. Bu teknoloji çoğu Avrupa kartı tarafından desteklenir. Söz konusu protokol, müşterilerin kimliklerini doğrulamak için ödeme sırasında girmesi gereken ekstra bir güvenlik katmanı ekler.

Müşterileriniz, ödeme sırasında 3D Secure göstergesini görür ve ardından sistem onlardan çok faktörlü bir kimlik doğrulama süreciyle kimliklerini doğrulamalarını ister.

Bazı doğrulama yöntemleri şunlardır:

• Müşterinin akıllı telefonuna SMS ile gönderilen tek kullanımlık bir kod
• Bir bankacılık uygulaması aracılığıyla parmak izi doğrulaması
• Akıllı telefon aracılığıyla yüz tanıma

Birçok akıllı cihazın bu tür biyometrik kimlik doğrulama yöntemleriyle uyumlu olması, müşterilerin güvenli alışveriş yapmasını daha da kolaylaştırır.

Bu SCA adımı tamamlandıktan sonra, dolandırıcılıkla ilgili ters ibrazların sorumluluğu size değil, bankaya ait olur.

SCA uyumluluğu nasıl sağlanır?

İşletmeniz AEA içinde faaliyet gösteriyorsa, PSD2 ve SCA ile uyumlu olmanız gerekir. Aksi takdirde bankalar satın alma işlemlerini reddedebilir. Neyse ki uyum sağladığınızdan emin olmak zor değildir. Aşağıdaki iki yöntemden birini (ya da ikisini) uygulamanız yeterlidir:

• Kredi ve banka kartı ödemelerinde 3D Secure uygulayın
• PSD2 SCA uyumluluğu için otomatik olarak optimize edilmiş bir ödeme portalı kullanın. Örneğin, Shopify Payments ya da Apple Pay

Bir Shopify mağazasına sahip olmak uyumluluk sağlamayı kolaylaştırır. Ekleyebileceğiniz çok sayıda ödeme seçeneği sayesinde, AEA'da yapılan satın alımlarda 3D Secure teknolojisinin otomatik olarak uygulanmasını kolayca sağlayabilirsiniz.

Kullanıcılar ayrıca Shopify siparişler sayfasında, ödeme işlemi için SCA kullanılan siparişleri görebilir. Sipariş geçmişinde, banka ya da kredi kartıyla ödenen ve 3D Secure'dan geçen siparişlerin yanında 3D Secure (3DS) ibaresi yer alır.

Bu, alıcının kimliğinin kartı veren banka tarafından onaylandığı anlamına gelir ve işlem varsayılan olarak düşük riskli kabul edilir. Söz konusu işlemler için satıcının siparişler sayfasında herhangi bir işlem yapması gerekmez.

SCA hangi durumlarda geçerlidir?

SCA, Avrupa Birliği'nde yapılan tüm çevrimiçi ödemeler için geçerlidir. Bu, müşterinin AB içinde yaşadığı ve yine AB'de faaliyet gösteren bir işletmeden alışveriş yaptığı anlamına gelir.

Bununla birlikte, dolandırıcılık kapsamına girebilecek ödemeleri önlemek ve satıcılar ile ödeme sağlayıcılarını korumak için giderek daha fazla ülke benzer gereklilikler getirmeye yöneliyor.

SCA muafiyetleri

Her elektronik ödeme ya da e-ticaret işlemi SCA'ya tabi değildir. Güçlü Müşteri Kimlik Doğrulaması'nın gerekli olmadığı bazı örnekler aşağıda listelenmiştir.

Düşük riskli işlemler

Düşük riskli işlemler, işlem riski analizi (TRA) aracılığıyla belirlenir. Ödeme sağlayıcıları, SCA'nın uygulanmasının gerekip gerekmediğine karar vermek için gerçek zamanlı risk analizleri yapabilir.

Bu risk, ödeme sağlayıcısının dolandırıcılık oranlarına göre belirlenir. Dolandırıcılık oranları şu eşiklerin altındaysa muafiyet sağlanabilir:

• 100 Euro'ya kadar olan işlemler için %0,13
• 250 Euro'ya kadar olan işlemler için %0,06
• 500 Euro'ya kadar olan işlemler için %0,01

Ödeme sağlayıcısı bu durumda SCA kullanma gerekliliğini kaldırmak için bir "TRA muafiyeti" talep edebilir.

Düşük tutarlı işlemler

Düşük tutarlı işlemler de Güçlü Müşteri Kimlik Doğrulaması'ndan muaf olabilir. Düzenlemelere göre, 30 Euro ya da daha düşük tutarlı her işlem düşük tutarlı işlem olarak kabul edilebilir.

Bununla birlikte, kartı veren banka ya da kart sağlayıcısı bu muafiyetin kaç kez kullanıldığını takip eder. Ödemelerin güvenli ve kasıtlı işlemler olduğundan emin olmak ve dolandırıcıların PSD2 düzenlemelerini aşmasını engellemek için her beş düşük tutarlı işlemden sonra SCA istenir.

Yinelenen işlemler

Yinelenen işlemler, yani sabit tutarlı abonelikler, başka bir muafiyet konusudur. İlk ödeme için SCA gerekse de abonelikler için sonraki otomatik ödemeler bu güvenlik gerekliliklerinden muaf olur.

Satıcı tarafından başlatılan işlemler

Satıcı tarafından başlatılan işlemler (MIT; merchant-initiated transactions), muaf olmaktan ziyade "kapsam dışı" kabul edilir. Buna karşın, bir işlemi MIT olarak işaretlemek genellikle muafiyet talep etmeye benzer bir süreçtir.

Bu tür ödemede, kayıtlı olan bir kart kullanılır. Yinelenen işlemlerde olduğu gibi, ilk ödeme Güçlü Müşteri Kimlik Doğrulaması'ndan geçmelidir. Bununla birlikte, ek ödemeler buna tabi değildir. Bunun nedeni, genellikle müşterinin bir sözleşme ya da başka bir politika aracılığıyla işlemin doğrulandığını kabul etmesidir.

MOTO işlemleri

MOTO işlemleri, yani posta siparişi ve telefon siparişi işlemleri de kapsam dışı kabul edilir. Bu tür ödemeler elektronik ya da çevrimiçi ödeme olarak kabul edilmediğinden SCA gerekliliklerine tabi değildir.

Kurumsal işlemler

Kurumsal ya da B2B işlemleri, iki kurum arasında gerçekleşen işlemlerdir. Bu ödeme, kurumsal işlemler için belirlenmiş bir kartla yapıldığında, söz konusu ödemeler de SCA gerekliliklerinden muaf tutulur.

Bölgeler arası işlemler

Bölgeler arası işlemler, PSD2 düzenlemelerinin coğrafi kapsamı dışında yaşayan tüketiciler tüketiciler tarafından yapılan ve dolayısıyla SCA gerekliliklerinin kapsamı dışında kalan işlemlerdir.

Örneğin, işletmeniz AB içinde yer alsa bile, Amerika Birleşik Devletleri'nden bir müşteri alışveriş yapıyorsa, o işlem SCA'nın kapsamı dışındadır.

Güvenilir yararlanıcılar

Son olarak, müşteriler düzenli olarak alışveriş yaptıkları veya güvendikleri şirketleri güvenilir yararlanıcılar listesine ekleyebilir. Bu sayede ödemelerinin doğrulanmasına gerek kalmaz. Tüketicinin bankası daha sonra bu "güvenilir yararlanıcılar" listesini takip eder ve böylece tüketici, SCA sürecini atlayabilir.

PSD2, Shopify satıcıları için ne anlama gelir?

Almanya, Danimarka, İrlanda, Hollanda, Avusturya, Belçika, İsveç, İspanya ya da Birleşik Krallık'ta kredi veya banka kartlarını işlemek için Shopify Payments kullanıyorsanız, hiçbir şey yapmanıza gerek yoktur. Otomatik olarak uyumlu olursunuz.

Shopify Payments, 3D Secure kullanımını en aza indirmek için optimize edilmiştir. 3D Secure'ü yalnızca bir işlemin yetkilendirilebilmesi için kartı veren banka tarafından kesinlikle gerekli görüldüğünde kullanır.

Kredi ya da banka kartlarını işlemek için Stripe kullanıyorsanız, PSD2 ile tam uyumlu olursunuz ve SCA sunabilirsiniz.

iDeal ve Klarna gibi yerel ödeme yöntemleri ile Google Pay, Apple Pay ve PayPal Express gibi cüzdanlar düzenlemeyle halihazırda uyumlu olup, herhangi bir işlem gerektirmez.

Üçüncü taraf ödeme ağ geçitleri kullanan satıcılar, PSD2 ile otomatik olarak uyumlu değildir.

Uyumluluk sağlamak için, Shopify onaylı bir SCA ödeme ağ geçidi kullanmanızı ve Cardinal Commerce ile bir bağlantı oluşturmanızı öneririz. Shopify yönetici panelinizde Ayarlar > Ödemeler bölümünde Cardinal Commerce'ün kullanılabilir olduğu bildirilir.

AEA ya da AB ülkelerinde faaliyet gösteriyorsanız, düzenlemelerle uyumlu olduğunuzdan, 3D Secure seçenekleri sunduğunuzdan ya da ödeme alma şeklinizin SCA'dan muaf olduğundan emin olmak hem sizin hem de müşterilerinizin yararına olacaktır.