Gestion du 3-D Secure

Les directives SCA sont accompagnées d'un ensemble de fonctionnalités qui vous permettent de :

• Mettre en œuvre l'étape d'authentification forte comme un processus en arrière-plan (appelé Frictionless), le rendant imperceptible pour vos clients. A contrario, vous pouvez également forcer le processus d'authentification forte (appelé Challenge).
• Ignorer l'authentification forte complètement si certaines conditions sont remplies. Nous offrons diverses fonctionnalités qui le permettent.

Apprenez ici comment mettre en œuvre ces fonctionnalités de manière sûre et conforme.

Défi/Cinématique d'authentification frictionless ou passive

Lorsque vous envoyez une requête de paiement par carte à notre plateforme, deux scénarios d'authentification forte sont possibles :

• Cinématique Frictionless : Vous avez fourni suffisamment d'informations dans les propriétés obligatoires / recommandées / optionnelles concernant le titulaire de la carte. Ainsi, l'émetteur de la carte considère que le risque d'une utilisation frauduleuse de la carte est faible. En conséquence, votre porteur de carte n'a pas besoin de s'authentifier sur le site de l'émetteur = il n'y a pas besoin de redirection vers la page d'authentification forte de l'émetteur. En sautant cette étape, le flux de de paiement global devient beaucoup plus fluide.

  Pour augmenter les chances d'une cinématique Frictionless, envoyez autant de propriétés recommandées / optionnelles que possible dans votre requête. Et ajoutez le paramètre optionnel cardPaymentMethodSpecificInput.threeDSecure.challengeIndicator="no-challenge-requested".

  Cependant, certains émetteurs insisteront tout de même pour que le titulaire de la carte s'authentifie de manière forte. Cela déclenchera une cinématique Challenge.

• Cinématique Challenge : Indépendamment de ce que vous avez fourni dans les propriétés obligatoires / recommandées / optionnelles concernant le titulaire de la carte, l'émetteur insiste pour que le titulaire de la carte s'authentifie de manière forte. En conséquence, il y a une redirection vers la page d'authentification forte de l'émetteur.
  
  Dans certains cas (surtout lors de la création d'un token pour les paiements Card On File), vous pourriez vouloir imposer vous-même la cinématique Challenge. Ajoutez alors le paramètre optionnel : cardPaymentMethodSpecificInput.threeDSecure.challengeIndicator="challenge-requested" ou "challenge-required" à votre requête de paiement.

Exemptions SCA

Contrairement aux exclusions SCA, vous pouvez demander des exemptions SCA dans vos requêtes de paiement. Les conditions d'éligibilité à ces exemptions sont :

• Liste blanche - vos clients peuvent demander à leur émetteur de vous mettre sur la liste blanche des "bénéficiaires de confiance".

• Paiement entre entreprises - la requête de paiement concerne deux entreprises.

• TRA (Transaction Risk Analysis) acquéreur - vous pouvez demander une exemption auprès de votre acquéreur pour les transactions que vous considérez à faible risque. Comme l'acquéreur est responsable, il décide d'accorder/refuser cette exemption basée sur le portefeuille global de vos requêtes de paiement (valeur de la transaction, taux de fraude, etc).

• TRA (Transaction Risk Analysis) émetteur - l'émetteur du client peut demander une exemption si vous ou l'acquéreur ne l'avez pas fait. Comme l'émetteur est responsable, il décide d'accorder/refuser cette exemption basée sur le portefeuille global de vos requêtes de paiement (valeur de la transaction, taux de fraude, etc).

• Transactions de faible montant - pour les paiement inférieurs à 30 €. Cependant, une authentification forte sera nécessaire si un client effectue cinq transactions consécutives ou atteint une valeur de plus de 100 €.

• Authentification déléguée (portefeuille certifié) - un émetteur peut donner autorité à un tiers tel qu'un fournisseur de portefeuille certifié ou au commerçant lui-même pour effectuer une authentification forte en son nom.

Selon le réseau de la carte, vous demandez une exemption de l'une des deux manières suivantes :

1. Au niveau de l'authentification : Ajoutez à vos requêtes de paiment cardPaymentMethodSpecificInput.threeDSecure.challengeIndicator et cardPaymentMethodSpecificInput.threeDSecure.exemptionRequest avec les valeurs appropriées (selon le cas d'utilisation).
2. Au niveau de l'autorisation : Ajoutez à vos requêtes de paiment cardPaymentMethodSpecificInput.threeDSecure.skipAuthentication et cardPaymentMethodSpecificInput.threeDSecure.exemptionRequest avec les valeurs appropriées (selon le cas d'utilisation).

Contactez le réseau de votre carte pour savoir quelle manière est appropriée et adaptez votre requête CreatePayment / CreateHostedCheckout en conséquence.

Vérifiez la donnée payment.paymentOutput.CardPaymentSpecificOutput.threeDSecureResults.appliedExemption dans notre réponse pour savoir si l'émetteur a accordé l'exemption. Si l'émetteur refuse la transaction (statusOutput=2), notre plateforme retourne errors.errorCode=40001139.

Sachez que

• Vous êtes responsable des paiements frauduleux si la requête de paiement est acceptée sans authentification forte. Vous pouvez qui porte la responsabilité du paiement grâce à la propriété paymentOutput.cardPaymentMethodSpecificOutput.threeDSecureResults.liability retournée par les appels GetPayment / GetPaymentDetails. Sachez qu'il ne s'agit que d'une indication, car la responsabilité définitive dépend de divers facteurs. Nous vous recommandons de vous en tenir à la Cinématique Fristionless si vous souhaitez conserver votre protection contre les paiements frauduleux.

• Nous offrons la fonctionnalité Exemption Engine qui demande automatiquement des exemptions lorsqu'elles sont applicables. Lisez notre chapitre dédié pour en savoir plus.

Soft Decline

La norme 3-D Secure vous permet d'utiliser la cinématique d'authentification frictionless ou passive. Cependant, il y a toujours un risque que la banque de votre client insiste pour avoir une cinématique d'authentification forte, ce qui entraîne le refus de la requête de paiement. Notre mécanisme de Soft Decline vous permet de récupérer ces transactions. Lisez notre guide dédié pour en savoir plus.

Exemption Engine

Si une transaction répond à des exigences spécifiques, elle est exemptée d'authentification forte. Cependant, vérifier ces exigences et envoyer les demandes de paiement appropriées ajoute de la complexité à vos efforts d'intégration. Notre fonctionnalité Exemption Engine vous soulage de cette mécanique. Lisez notre guide dédié pour en savoir plus.

Montant découplé

Il est possible de traiter des montants différents lors de l'authentification forte et de l'autorisation (blocage des fonds sur la carte de vos clients). Cette fonctionnalité est très utile pour traiter des paiements différés/fractionnés ou pour augmenter le montant autorisé. Lisez notre guide dédié pour en savoir plus.