С 14 сентября 2019 года каждый продавец, принимающий онлайн-платежи, подпадает под действие директивы PSD2. Однако из-за технической терминологии, исключений из требований к основному документу и предстоящих изменений в законодательстве многие руководители очень малых и средних предприятий до сих пор находятся в неизведанной ситуации. Результат: несоответствующие требованиям платежные потоки, предотвратимые брошенные корзины покупок и ненужный риск мошенничества. В этой статье представлен четкий и практический обзор директивы, ее конкретных требований и того, что вам необходимо внедрить уже сегодня. Djaboo предлагает специальный модуль: paiements.
PSD2: Определение и цели европейской директивы
PSD2, или Вторая европейская директива о платежных услугах (на английском языке: Директива о платежных услугах 2Это нормативный акт, принятый Европейским парламентом в 2015 году и вступивший в силу в государствах-членах с 2018 года. Во Франции он был имплементирован постановлением от 9 августа 2017 года и указом от 31 июля 2018 года под надзором Управления пруденциального контроля и урегулирования (ACPR) и Банка Франции.
Она является преемницей первой Директивы о платежных услугах (PSD1) от 2007 года, чья нормативно-правовая база оказалась неадекватной в условиях роста онлайн-торговли и появления новых игроков на рынке цифровых платежей.
Его три главные цели:
Данная директива применяется в тех случаях, когда и банк плательщика, и банк продавца находятся в ЕЭЗ. Она касается всех поставщиков платежных услуг: банков, платежных учреждений, учреждений электронных денег, а также, косвенно, всех продавцов, принимающих онлайн-платежи картами.
Усиленная аутентификация клиентов (SCA): основа PSD2
Надежная аутентификация клиентов, известная под английской аббревиатурой SCA (Надежная аутентификация клиентовЭто наиболее заметная мера PSD2 для онлайн-продавцов. Она требует подтверждения личности плательщика с использованием как минимум одного из следующих способов: два различных фактора среди следующих трех категорий:
Эти два фактора должны относиться к разным категориям и быть независимыми друг от друга: компромисс в одном не должен ставить под угрозу другой. Они также должны быть динамически связаны с суммой транзакции и ее получателем.
Конкретно для вашего клиента: При оплате на вашем сайте банк отправляет клиенту уведомление в мобильное приложение. Затем клиент подтверждает платеж с помощью отпечатка пальца или защитного кода. Это наиболее распространенный на сегодняшний день способ оплаты, ставший возможным благодаря протоколу 3D Secure 2 (см. раздел 6).
Закон о защите персональных данных применяется в трех ситуациях:
Эффективность этой меры измерима. Согласно годовому отчету Обсерватории безопасности платежей (OSMP) за 2023 год, управляемой... Банк ФранцииУ банковских карт исторически низкий уровень мошенничества. 0,053% В 2023 году этот показатель достиг самого низкого уровня за всю историю наблюдений. В отчете особо подчеркивается, что такой результат стал возможен благодаря надежности усиленной аутентификации.
Что это на самом деле меняет для онлайн-ритейлеров?
До введения директивы PSD2 для подтверждения онлайн-покупки достаточно было простого номера банковской карты, срока действия и защитного кода. Эти времена прошли. Вот как эта директива изменила вашу повседневную работу.
Вы не несёте прямой ответственности за аутентификацию.Однако последствия ложатся на вас. Технически, именно ваш поставщик платежных услуг (PSP) реализует SCA. С другой стороны, вы выбираете своего PSP, настраиваете платежные потоки и передаете данные, которые позволяют банку вашего клиента оценить риск транзакции.
Что это значит конкретно для вас:
Начиная с мая 2025 года, план Обсерватории безопасности платежей (OSMP) ужесточил применение этих правил во Франции: любая транзакция, инициированная без надежной аутентификации, теперь систематически отклоняется, если не предоставлено явно обоснованное исключение. По данным Payplug, платежи без 3-D Secure приводят к... в четыре раза больше мошенничества что платежи были успешно подтверждены (0,358% против 0,095%).
Исключения из требований строгой аутентификации (небольшие суммы, подписки, MIT и т.д.)
В соответствии с директивой PSD2, для каждой транзакции не требуется усиленная аутентификация. Существует несколько исключений, позволяющих упростить процесс покупки без ущерба для безопасности. Вот основные из них, как определено в регламенте.
Небольшая сумма освобождения от налогов
Онлайн-платежи, не превышающие 30 € Может быть освобожден от SCA. Это освобождение применяется при соблюдении двух совокупных условий:
После достижения одного из этих пороговых значений для следующей транзакции снова становится обязательной строгая аутентификация.
Освобождение от требований посредством анализа транзакционных рисков (TRA)
Платежные системы, поддерживающие достаточно низкий уровень мошенничества, могут подать заявку на освобождение от требований для более крупных сумм. Нормативно-правовые пороги следующие:
Запрос на такое исключение может подать либо поставщик платежных услуг (поставщик услуг по обработке платежей, предоставляющий платежи продавцу), либо банк-эмитент (банк-эмитент, предоставляющий платежи клиенту). Если поставщик услуг по обработке платежей запрашивает его, а эмитент принимает, ответственность в случае мошенничества ложится на поставщика услуг по обработке платежей и, соответственно, на продавца.
Освобождение от налогов для доверенного лица
Клиент может попросить свой банк добавить ваш веб-сайт в белый список. Последующие покупки в вашем магазине будут освобождены от аутентификации по единому тарифу (SCA). Это полезная функция для повышения лояльности постоянных клиентов, но запрос на ее использование в банке подает сам клиент.
Освобождение от уплаты регулярных платежей (подписок)
В случае подписки на фиксированную сумму, выгодной одному и тому же получателю, только первая транзакция Подлежит строгой проверке подлинности. Последующие снятия средств освобождаются от этой проверки при условии, что сумма и получатель остаются неизменными.
Транзакции, инициированные продавцом (MIT)
Массачусетские технологические институты (MIT)Транзакции, инициированные продавцомЭто платежи, инициированные продавцом без участия клиента в рамках существующего договора. Они включают в себя регулярные платежи с переменной суммой, штрафы за неявку или отложенные платежи. Для того чтобы платеж считался действительным, должны быть выполнены два условия: четкое договорное обязательство и первоначальная транзакция, аутентифицированная с помощью 3-D Secure 2. Начиная со второго квартала 2025 года, за неполную цепочку между первоначальной транзакцией и последующими ежемесячными межбанковскими транзакциями (MIT) для несоответствующих требованиям продавцов установлен нулевой лимит скорости транзакций.
Директива PSD2 и открытое банковское дело: доступ к банковским данным
Помимо обеспечения безопасности платежей, директива PSD2 ввела второй структурирующий компонент:открытый банкингЭтот механизм требует от банков предоставлять доступ к данным своих клиентов утвержденным сторонним поставщикам через стандартизированные программные интерфейсы (API) и с явного согласия клиента.
Были созданы две категории сторонних участников:
Для продавцов открытый банкинг представляет собой конкретную возможность: предложить оплату мгновенным банковским переводом, без комиссий за межбанковские операции, связанных с банковскими картами, и без риска возврата платежей.Chargeback), поскольку сделка является безотзывной.
Однако реальная ситуация на местах по-прежнему нуждается в улучшении. Независимое исследование, проведенное по заказу нескольких французских финтех-компаний и опубликованное в январе 2024 года консалтинговой фирмой Frame, показывает, что только 44% платежей, инициированных через банковские API, завершаются успешно.по сравнению с показателем успешности 95% для консультации по счету. По данным France FinTech, в 84% случаев отказа банки не предоставляют инициатору платежа объяснений причин сбоя.
Эти недостатки объясняют, почему открытое банковское дело до сих пор не в полной мере оправдало свои обещания в отношении продавцов. Директива PSD3, которая в настоящее время находится на стадии принятия, направлена именно на исправление этих недостатков (см. раздел 8).
Как привести обработку платежей в соответствие с требованиями законодательства (3-D Secure 2, поставщики услуг)
Для обеспечения соответствия требованиям PSD2 необходимо предпринять несколько конкретных действий, выполнимых даже без глубоких технических знаний.
Шаг 1: Убедитесь, что ваша PSP поддерживает технологию 3D Secure 2.
Это абсолютно необходимое условие. Основные платежные системы на рынке (Stripe, PayPal и французские банковские решения) теперь изначально поддерживают 3DS2. Если вы используете более старую платежную систему или собственное решение, обязательно убедитесь, что ваши транзакции обрабатываются по протоколу 3DS2, а не по более старой версии.
Шаг 2: Обогащение данных, передаваемых с каждой транзакцией.
Протокол 3DS2 позволяет передавать в банк-эмитент более 100 полей данных. Чем полнее ваш запрос, тем выше вероятность одобрения платежа банком. невязкий (без вмешательства клиента). Ключевые данные для передачи: адрес электронной почты клиента, его IP-адрес, тип браузера и устройства, адрес доставки и история покупок на вашем сайте.
Шаг 3: Внедрение методов управления мягким спадом.
Ваша платежная система должна уметь распознавать мягкое снижение и автоматически перезапускать транзакцию с запросом на аутентификацию с усиленными правами. Без этого механизма вы теряете продажи, которые могли бы быть завершены.
Шаг 4: Защитите свои каналы и подписки MIT.
Если вы предлагаете подписки или регулярные платежи, убедитесь, что каждая транзакция связана с первоначальной транзакцией, аутентифицированной через 3DS2. Сохраняйте подтверждение полномочий (принятые условия, журналы принятия, договор). Пустые или общие идентификаторы больше не допускаются с 2025 года.
Шаг 5: Выберите платежного провайдера, подходящего для вашего бизнеса.
Для очень малого бизнеса или МСП выбор правильного поставщика платежных услуг имеет решающее значение. Хороший поставщик платежных услуг управляет соблюдением требований PSD2, оптимизирует ваши исключения и защищает вас от мошенничества. Он также должен предоставлять вам четкие показатели уровня аутентификации. невязкий и неудача.
Влияние на коэффициент конверсии и способы его ограничения.
Это главная проблема для онлайн-ритейлеров: отпугивает ли надежная аутентификация клиентов? Честный ответ: это зависит от качества ее реализации.
В ходе первоначального внедрения SCA некоторые продавцы отметили снижение коэффициента конверсии. 10 - 25% В первые несколько месяцев трудности были в основном связаны с плохо оптимизированными пользовательскими сценариями и недовольством клиентов новыми этапами. С тех пор ситуация значительно улучшилась благодаря широкому внедрению этого метода. невязкий протоколом 3DS2.
Сегодня, между От 70 до 90% транзакций 3DS2 выполняются в режиме невязкийТо есть, от клиента не требуется никаких действий. Банк оценивает риск в фоновом режиме, менее чем за секунду, и незаметно одобряет платеж. Клиент ничего не видит. Это идеальный вариант, к которому следует стремиться.
Рычаги для максимизации коэффициента конверсии без лишних препятствий:
На пути к PSD3: что нас ждет впереди
PSD2 не является окончательным словом в отношении европейских правил платежей. 27 ноября 2025 года Европейский парламент и Совет достигли политического соглашения по этому вопросу. Третья директива о платежных услугах (PSD3) и Правила предоставления платежных услуг (PSR)Согласно Европейскому парламенту, официальная публикация ожидается в первой половине 2026 года, а первый этап внедрения — в период с конца 2026 года по начало 2027 года.
Что изменится с принятием PSD3:
По словам президента Afepame, пакет DSP3/RSP представляет собой «пакет мер по повышению зрелости: он признает ограничения DSP2, более жестко относится к API и поощряет более тесное сотрудничество между заинтересованными сторонами».
Для продавцов PSD3 не ставит под сомнение основы, заложенные PSD2, а, наоборот, укрепляет их. Компании, которые уже оптимизировали свои платежные процессы и обеспечили безопасность своих данных, будут в наилучшем положении для принятия этих новых обязательств.
Djaboo и управление денежными потоками
Обеспечение соответствия требованиям PSD2 — это не просто выбор подходящего поставщика платежных услуг. Это часть более широкой организационной структуры вашего бизнеса: отслеживание счетов-фактур, управление регулярными платежами, отслеживание платежных поручений и управление взаимоотношениями с клиентами.
Именно это и предоставляет Djaboo для очень малых предприятий и МСП. Универсальная платформа централизует финансовое управление, выставление счетов, CRM и управление проектами в одном рабочем пространстве. Вы можете зарегистрировать клиента и выставить счет менее чем за две минуты, без каких-либо технических или бухгалтерских навыков. Платежи и документы управляются непосредственно из вашей панели управления, обеспечивая полную прозрачность вашего бизнеса, включая повторяющиеся транзакции, которые должны соответствовать требованиям PSD2.
Часто задаваемые вопросы: Ваши вопросы о PSD2
Распространяется ли директива PSD2 на мой веб-сайт, если мои клиенты находятся во Франции, а мой банк также расположен во Франции?
Да. PSD2 применяется до тех пор, пока банк плательщика и банк продавца находятся в пределах Европейской экономической зоны (ЕЭЗ). Если вы являетесь французским продавцом, и ваши клиенты оплачивают покупки картами, выпущенными французскими или европейскими банками, то это правило распространяется на вас в полном объеме. Однако, если одна из двух сторон (ваш эквайер или банк вашего клиента) находится за пределами ЕЭЗ, транзакция считается «одношаговой» и не подпадает под требования SCA.
Что произойдет, если я не буду соблюдать требования PSD2?
Начиная с мая 2025 года, любая транзакция, инициированная без надежной аутентификации (и без обоснованного исключения), систематически отклоняется. мягкое снижение Французскими эмитентами. Помимо потери дохода, основной риск носит финансовый характер: в случае мошенничества при неаутентифицированной транзакции ответственность лежит непосредственно на вас, а не на банке-эмитенте. Ваш платежный провайдер также может наложить на вас штраф в виде ограничения скорости транзакций, если ваши потоки MIT не связаны должным образом цепочками.
Нужно ли мне запрашивать усиленную аутентификацию для каждого платежа по подписке?
Нет. Только первая транзакция подписки с фиксированной суммой подлежит регулированию в соответствии с Законом о защите персональных данных (SCA). Последующие платежи на ту же сумму и тому же получателю освобождаются от регулирования. Однако, если сумма меняется, ситуация сложнее и зависит от практики каждого учреждения. Для MIT с переменной суммой необходимы четкое договорное поручение и подтвержденная первоначальная транзакция. В случае сомнений обратитесь к ресурсам соответствующего учреждения. Банк Франции или изACPR.
Когда вступит в силу директива PSD3 и стоит ли мне готовиться к ней уже сейчас?
Политическое соглашение было достигнуто в ноябре 2025 года. Официальная публикация ожидается в первой половине 2026 года. Регламент о платежных услугах (PSR), содержащий основные операционные обязательства (SCA, предотвращение мошенничества, открытое банковское обслуживание), будет напрямую применяться на всей территории ЕС без национальной имплементации примерно через 18 месяцев после его публикации, при этом первая волна внедрения ожидается в период с конца 2026 года по начало 2027 года. Вам не нужно менять все немедленно, но решения по архитектуре и выбору поставщиков, которые вы принимаете сегодня, определят вашу готовность к соблюдению требований завтра. Начать с оптимизации текущих потоков PSD2 — наилучшая возможная подготовка.
