# Autenticación reforzada de clientes

La autenticación reforzada de clientes o ARC (también usada la sigla SCA, del inglés strong customer authentication) es un requisito de la Segunda Directiva de Servicios de Pago (DSP2) sobre proveedores de servicios de pago dentro del Espacio Económico Europeo. El requisito garantiza que los pagos electrónicos se realicen con autenticación multifactor, para aumentar la seguridad de los pagos electrónicos. Las transacciones con tarjeta física ya suelen tener lo que podría denominarse autenticación reforzada de clientes en la UE (chip y pin), pero esto no ha sido generalmente cierto para las transacciones por Internet en toda la UE antes de la implementación del requisito, y muchas tarjetas sin contacto no usan un segundo factor de autenticación para los pagos.
El requisito de SCA entró en vigencia el 14 de septiembre de 2019. Sin embargo, con la aprobación de la Autoridad Bancaria Europea, varios países del EEE han anunciado que su implementación se retrasará o escalonará temporalmente, con un plazo final establecido para el 31 de diciembre de 2020.

## Requisito

El artículo 97 (1) de la directiva exige que los proveedores de servicios de pago utilicen una autenticación reforzada de clientes cuando un pagador:
   (a) accede a su cuenta de pago en línea;
    (b) inicia una transacción de pago electrónico; (c) lleva a cabo cualquier acción a través de un canal remoto que pueda implicar un riesgo de fraude de pago u otros abusos.
El artículo 4 (30) define la autenticación reforzada de clientes en sí misma (como autenticación multifactor):
   una autenticación basada en el uso de dos o más elementos categorizados como conocimiento (algo que solo el usuario sabe), posesión (algo que solo el usuario posee) e inherencia (algo que el usuario es) que son independientes, en el sentido de que la violación de uno no compromete la fiabilidad de los demás, y está diseñada de tal manera que protege la confidencialidad de los datos de autenticación

## Implementación

La Autoridad Bancaria Europea publicó una opinión sobre qué enfoques podrían constituir diferentes "elementos" de la SCA.
3-D Secure 2.0 puede (pero no siempre) cumplir con los requisitos de SCA. 3-D Secure tiene implementaciones de Mastercard (Mastercard Identity Check) y Visa que se comercializan como habilitadores de cumplimiento de la SCA.
Los comerciantes de comercio electrónico deben actualizar los flujos de pago en sus sitios web y aplicaciones para admitir la autenticación. Si no se admite la autenticación, muchos pagos se rechazarán una vez que SCA se implemente por completo.

## Historia

El 31 de enero de 2013, el Banco Central Europeo (BCE) emitió recomendaciones sobre la seguridad de los pagos por Internet, que requieren una autenticación reforzada de clientes. Los requisitos del BCE son tecnológicamente neutrales, para fomentar la innovación y la competencia. El proceso de presentación pública al BCE identificó tres soluciones para una autenticación sólida del cliente, dos de las cuales se basan en la autenticación de confianza, y la otra es la nueva variante de 3-D Secure que incorpora contraseñas de un solo uso .
Posteriormente, la Comisión Europea redactó propuestas para una Directiva de servicios de pago actualizada que incluye este requisito, que se convirtió en PSD2. La autenticación reforzada de clientes de PSD2 ha sido un requisito legal para pagos electrónicos y tarjetas de crédito desde el 14 de septiembre de 2019.

## Crítica

En 2016, Visa criticó la propuesta de hacer obligatoria la autenticación reforzada de clientes, debido a que podría dificultar los pagos en línea y, por lo tanto, afectar las ventas de los comercios en línea.

## Fuera de Europa

El Banco de la Reserva de la India ha ordenado un "factor adicional de autenticación" para las transacciones con tarjeta no presente.
La Comisión Australiana de la Competencia y el Consumidor (ACCC) bloqueó una propuesta de hacer obligatorio 3-D Secure en Australia después de las objeciones.