Strong Customer Authentication: que' decide en realidad si se completa la renovacion de un anunciante europeo

Un anunciante con sede en Alemania lleva ocho meses pagando el mismo paquete de anuncios. La tarjeta no ha caducado, no se ha sustituido, y tiene bastante margen disponible. Entonces una renovacion simplemente no pasa, el anuncio desaparece de la cola unos dias despues, y el anunciante escribe confundido y algo molesto, porque por su parte nada ha cambiado. El soporte revisa el registro de transacciones, ve un rechazo seco sin motivo aparente, y hace lo unico que parece posible: pide al anunciante que vuelva a introducir los datos de la tarjeta. El nuevo intento funciona. Dos meses despues, al mismo anunciante lo rechazan otra vez.

Ese patron se parece mucho al asunto habitual de una tarjeta reemitida, el tipo de fallo que los servicios de actualizacion de los circuitos existen precisamente para detectar, y muchos operadores lo persiguen del mismo modo: suponen que el numero de tarjeta guardado esta obsoleto y esperan que un servicio de actualizacion arregle algo para lo que nunca fue disenado. Una tarjeta reemitida es un numero muerto. Esto es un numero vivo que un banco europeo, siguiendo sus propias reglas, decide no dejar pasar sin un segundo paso que el checkout nunca pidio.

Ese segundo paso tiene nombre: Strong Customer Authentication, la norma europea que exige verificar la mayoria de los pagos electronicos con tarjeta mediante dos factores independientes antes de que el banco emisor los apruebe. Que una renovacion la supere depende de decisiones tomadas en algun punto del sistema de pago, normalmente en el momento de la suscripcion, normalmente sin que nadie las trate como una decision.

Que exige en realidad la Strong Customer Authentication, y a quien alcanza

La Strong Customer Authentication, SCA, es una obligacion de la directiva europea revisada de servicios de pago, aplicada de forma generalizada desde principios de los anos veinte y puesta en practica mediante un estandar tecnico supervisado por la Autoridad Bancaria Europea. En la practica, la SCA se ejecuta a traves de 3-D Secure version 2, el protocolo de mensajeria que permite al gateway de pago del comerciante y al banco emisor de la tarjeta intercambiar suficiente informacion, sobre la transaccion, el dispositivo y la sesion del titular, para que el emisor decida que el pago viene realmente de la persona propietaria de la tarjeta. La verificacion en si puede ser un paso visible para el titular, un codigo de un solo uso, un aviso en la aplicacion del banco, o puede ocurrir de forma invisible en segundo plano cuando el motor de riesgo del emisor ya esta satisfecho. Cualquiera de los dos casos cuenta como SCA; el requisito no es una pantalla de verificacion visible, es una autenticacion de dos factores genuina.

La suposicion mas comun que hace un operador fuera de Europa es que nada de esto afecta a un negocio sin entidad europea, sin cuenta bancaria europea, y con un adquirente o gateway de pago con sede en otro lugar. Vale la pena examinar esa suposicion directamente, porque equivocarse cambia cuanto esfuerzo esta dispuesto a poner un operador para resolverlo. La norma europea se extiende a las transacciones realizadas en la Union, y los reguladores europeos han sido explicitos al decir que esto alcanza a un lado del pago incluso cuando el otro lado esta fuera del EEE: una tarjeta emitida por un banco europeo mantiene a su emisor sujeto a la obligacion de autenticacion, sin importar donde este el comerciante o su adquirente. La sede, la constitucion societaria o el proveedor de pagos del negocio no eliminan la obligacion que recae sobre el banco emisor.

Lo que realmente varia, en la practica, no es la obligacion legal sino si puede llevarse a cabo en absoluto. Un banco emisor solo puede realizar la autenticacion 3-D Secure si el gateway y el adquirente del comerciante estan preparados para intercambiar esos datos desde el principio. Un adquirente de alto riesgo que nunca integro en su sistema el soporte completo de 3-D Secure 2.x simplemente no puede hacer pasar la solicitud de autenticacion, diga lo que diga la norma. El emisor, incapaz de autenticar al titular de la tarjeta por ese canal, no se salta la decision; recurre a su propio juicio de riesgo de fraude sobre un pago no autenticado, lo que puede significar una aprobacion, una solicitud de verificacion que el checkout del comerciante no tiene forma de entregar, o un rechazo liso y llano. Un informe conjunto publicado por el Banco Central Europeo y la Autoridad Bancaria Europea en diciembre de 2025 encontro que el fraude en pagos con tarjeta, medido como proporcion del valor de las transacciones, era diecisiete veces mas alto en los pagos donde el comerciante que recibia los fondos estaba fuera del EEE y no habia autenticacion, comparado con los pagos autenticados dentro de el. El informe no desglosa esa cifra por categoria de comerciante, y no es una afirmacion sobre un sector en concreto; describe lo que ocurre en general cuando un pago llega al banco de un titular de tarjeta europeo sin la verificacion que ese banco estaba preparado para esperar. Un emisor que lee ese patron en toda su cartera tiene todas las razones para tratar un cargo no autenticado de un comerciante poco familiar con mas sospecha, no menos.

El primer cargo decide lo que puede hacer cada renovacion posterior

La facturacion por suscripcion obtiene una excepcion especifica, mas estrecha, dentro de la misma norma: una vez que el primer pago de una serie recurrente ha sido autenticado realmente, las renovaciones posteriores pueden quedar exentas de pasar de nuevo por la SCA cada vez, tratadas en cambio como un acuerdo conocido y continuo en lugar de una transaccion nueva que necesita verificacion nueva. Esa excepcion esta condicionada al primer cargo, no es un pase general para la facturacion recurrente como categoria.

Aqui es donde una decision tomada en el momento de la suscripcion, tomada a menudo por razones que no tienen nada que ver con Europa en concreto, prepara en silencio cada fallo posterior. Un checkout disenado para minimizar la friccion en el momento de la venta, que se salta la autenticacion en el primer cargo para no perder a un nuevo anunciante dudoso, tambien se ha saltado el unico evento que habria permitido a cada renovacion posterior reclamar la excepcion de pagos recurrentes. No existe una correccion retroactiva. Una serie que empezo sin autenticacion no puede tomarla prestada de una renovacion posterior; cada cargo de esa serie sigue enfrentando el juicio de riesgo completo y no exento del emisor, indefinidamente, porque la unica transaccion que habria podido establecerla como serie de confianza nunca ocurrio.

La solucion no es complicada una vez que se hace visible, pero tiene que ocurrir en el momento adecuado. El primer cargo de un nuevo anunciante, si su tarjeta fue emitida por un banco europeo, necesita pasar realmente por la autenticacion completa, no dejarse pasar sin control por el bien de una primera impresion mas fluida. Un momento de friccion al principio, que en un flujo bien construido suele ser invisible para el titular de la tarjeta de todos modos, es lo que hace que cada renovacion posterior sea elegible para tratarse como rutinaria en lugar de sospechosa.

Por que una excepcion marcada correctamente puede volver igualmente rechazada

Incluso con ese primer cargo gestionado correctamente, una excepcion marcada es una solicitud, no una garantia. El gateway de un comerciante puede marcar una renovacion como exenta de autenticacion, citando el acuerdo recurrente, y el sistema del banco emisor toma de todos modos la decision final. Los emisores ignoran las marcas de excepcion de forma habitual, por razones que no tienen nada que ver con que el anunciante haga algo mal.

Unos cuantos desencadenantes aparecen con la frecuencia suficiente para merecer conocerse por su nombre. El registro de autenticacion ligado a ese primer cargo original no dura para siempre; cada red y cada banco emisor fijan su propia vida util, y una vez que caduca, el emisor ya no puede apoyarse en el para cubrir una renovacion nueva. Un importe de renovacion que difiere de forma significativa de lo autenticado originalmente, algo que ocurre constantemente cuando un periodo de prueba se convierte en una tarifa de pago o cuando se aplica una subida de precio a mitad de suscripcion, tambien puede llevar al emisor a tratar el cargo como algo nuevo en lugar de una continuacion. Y la puntuacion de riesgo de fraude propia de un emisor para un titular de tarjeta dado cambia segun su propio calendario, por razones que viven enteramente del lado del banco y no tienen nada que ver con el comerciante ni con el anunciante.

Existe una herramienta especifica construida justo para esta brecha: una funcion de 3-D Secure 2.1 y versiones posteriores llamada 3RI, abreviatura de 3DS Requestor Initiated, que permite al gateway de un comerciante volver a autenticar una renovacion fuera de sesion haciendo referencia a los datos de la sesion original del anunciante, sin devolverlo a una pantalla de checkout ni pedirle que haga nada en absoluto. No todos los procesadores que soportan 3-D Secure 2 basico han implementado tambien 3RI especificamente, y una cuenta de comerciante abierta solo por sus comisiones mas bajas, sin que esa pregunta se hiciera nunca, puede carecer de ella por completo. Averiguarlo es una pregunta directa que hacer a un procesador, no algo que descubrir a partir de un patron de rechazos meses despues.

Lo que compra una autenticacion exitosa, mas alla de menos rechazos

Hacer bien la autenticacion en estos cargos hace mas que reducir los falsos rechazos. Cuando una transaccion se autentica genuinamente bajo la SCA, no simplemente se marca como exenta, la responsabilidad de un contracargo resultante de fraude o uso no autorizado suele trasladarse del comerciante al banco emisor de la tarjeta, en las principales redes. Un anunciante que declara un uso no autorizado por algo que nunca pago es una responsabilidad que el comerciante asumia por defecto, y un pago correctamente autenticado traslada una parte real de esa exposicion fuera del negocio.

Ese traslado solo cubre los contracargos presentados por motivos de fraude y uso no autorizado en concreto, y vale la pena ser precisos en esto, porque es facil exagerar. No hace nada por las otras razones por las que el cargo de un anunciante vuelve como disputa, un servicio no prestado como se describio, una suscripcion que un anunciante insiste en que intento cancelar, un cargo duplicado por un error de facturacion. La autenticacion reduce una porcion real de la exposicion a contracargos. Nunca iba a cerrarla por completo, y tratarla como una solucion completa para el riesgo de contracargos deja a un operador expuesto a sorprenderse con la siguiente disputa que no sea en absoluto una reclamacion de fraude.

Comparado con la alternativa, el intercambio es sencillo. Un poco de friccion una sola vez, en el momento de la suscripcion, para un anunciante cuya tarjeta fue emitida por un banco europeo, compra un historial de renovaciones que un emisor esta dispuesto a tratar como rutinario mientras ese historial se mantenga vigente. Saltarselo compra una suscripcion marginalmente mas fluida y una suscripcion que falla de forma impredecible a partir de la segunda o tercera renovacion, por una razon que el anunciante nunca causo y que el soporte no tiene forma de explicar sin saber donde mirar.

Que comprobar de verdad este mes

Empieza con una pregunta directa al procesador de pagos: el gateway soporta el intercambio completo de mensajes EMV 3-D Secure 2.x con los bancos emisores europeos, no solo la captura basica de tarjeta, y esta activado para esta cuenta de comerciante en concreto en lugar de estar simplemente disponible en el contrato. Son respuestas distintas, y la segunda es la que determina si todo esto funciona de verdad.

Confirma por separado que la autenticacion se ejecuta en el primer cargo de cada nuevo anunciante cuya tarjeta fue emitida en la UE o el Reino Unido, no solo despues de que ya haya aparecido un patron de rechazos. Un checkout ajustado para minimizar la friccion en la suscripcion para todos los mercados, sin una excepcion para este, es la forma mas comun en que esto pasa desapercibido.

Pregunta explicitamente si el procesador soporta 3RI o un equivalente de reautenticacion iniciada por el comerciante para las renovaciones, porque es la funcion especifica que refresca un registro de autenticacion que esta caducando sin devolver al anunciante a una pantalla de verificacion. El soporte basico de 3-D Secure 2 y el soporte de 3RI no son la misma partida, y una conversacion comercial que cubre una rara vez ofrece la otra de forma espontanea.

Extrae los codigos de rechazo de los ultimos meses y separalos por pais de emision de la tarjeta en lugar de mirar la tasa agregada. Una tasa de fallo notablemente mas alta en tarjetas de la UE y el Reino Unido que en las nacionales es una senal especifica y diagnosticable, y es el tipo de detalle que merece la pena llevar directamente al procesador, con los codigos adjuntos, en lugar de describirlo como una sensacion general de que las renovaciones europeas parecen poco fiables.

Nada de esto requiere reconstruir el checkout. Requiere una serie de preguntas directas a quien ya procese estos pagos, planteadas antes de que se suscriba el proximo anunciante con una tarjeta bancaria europea, no despues de su tercer rechazo silencioso.