Resumen rápido
- SCA significa Strong Customer Authentication, o autenticación reforzada del cliente.
- Exige dos o más factores independientes: algo que sabes, algo que tienes y algo que eres.
- No todas las operaciones muestran un reto de autenticación: la normativa contempla exenciones concretas.
- En pagos online con tarjeta, 3D Secure es uno de los mecanismos habituales para aplicar la autenticación.
- Para un comercio, la prioridad es que su proveedor de pagos gestione bien la SCA y las exenciones sin añadir fricción innecesaria.
Qué es la autenticación reforzada SCA
La SCA forma parte del marco europeo de servicios de pago PSD2. Su objetivo es reducir el riesgo de fraude verificando que quien accede o autoriza una operación es realmente el usuario legítimo.
La normativa exige autenticación reforzada, entre otros casos, cuando el pagador accede online a su cuenta de pago, inicia un pago electrónico o realiza a distancia una acción que pueda implicar riesgo de fraude. En los pagos electrónicos remotos, la autenticación debe vincularse además al importe y al beneficiario concretos. Puedes consultar el alcance de estos requisitos en la Autoridad Bancaria Europea (EBA).
No significa introducir dos contraseñas. Los factores deben pertenecer a categorías distintas y ser independientes entre sí.
Cómo funciona la SCA: los tres factores
La autenticación reforzada combina al menos dos de estos tres elementos:
| Factor | Qué significa | Ejemplos |
|---|---|---|
| Conocimiento | Algo que sabes | Contraseña, PIN o clave |
| Posesión | Algo que tienes | Móvil, dispositivo registrado o tarjeta |
| Inherencia | Algo que eres | Huella dactilar o reconocimiento facial |
Ejemplo práctico: haces una compra online de 120 €. Introduces los datos de la tarjeta y tu entidad te pide confirmar la operación desde el móvil. Abres la app en un dispositivo vinculado y autorizas con la huella. Ahí se combinan posesión e inherencia.
La regulación técnica que desarrolla estos requisitos está recogida en el Reglamento Delegado (UE) 2018/389.
Cuándo se aplica la SCA y cuándo puede no pedirse
La SCA puede aparecer en pagos online y presenciales. Por eso, después de varios pagos contactless para comercios, el terminal puede pedir insertar la tarjeta y marcar el PIN.
Pero no todos los pagos necesitan un reto visible. La normativa permite exenciones limitadas para determinados pagos de bajo importe, algunas operaciones recurrentes y transacciones consideradas de bajo riesgo, entre otros supuestos.
Por ejemplo, en pagos remotos de bajo importe puede aplicarse una exención cuando la operación no supera 30 €, siempre que también se respeten límites acumulados o de número de operaciones desde la última SCA. En contactless, el límite individual previsto para la exención es de 50 €, también sujeto a límites acumulados. El proveedor puede exigir autenticación aunque una exención sea posible si aprecia más riesgo.
Error común: pensar que una compra por debajo de esos importes “nunca” pedirá autenticación. Las exenciones permiten omitir la SCA en ciertas condiciones; no garantizan que la entidad emisora vaya a hacerlo.
SCA, 2FA y 3D Secure no son lo mismo
La autenticación en dos factores o 2FA es un concepto general de seguridad: verificar a una persona mediante dos factores. La SCA es más específica, porque nace de la regulación europea de pagos y establece requisitos concretos sobre esos factores y su independencia.
3D Secure, por su parte, es un protocolo utilizado en pagos online con tarjeta para que el emisor pueda autenticar al titular. Puede servir para cumplir la SCA cuando corresponde, pero 3D Secure y SCA no son sinónimos.
Si gestionas un ecommerce, también conviene tener clara la diferencia entre un TPV virtual y una pasarela de pago, porque son piezas del sistema de cobro, no métodos de autenticación por sí mismos.
Qué significa la SCA para un comercio
Si vendes online, el objetivo no debería ser “evitar” la SCA, sino integrarla bien. Un proceso mal resuelto puede terminar en pagos fallidos o abandonos; uno bien configurado permite pedir verificación cuando toca y aprovechar las exenciones cuando legal y técnicamente proceden.
Antes de elegir proveedor, revisa que gestione los pagos de forma segura, que el flujo de autenticación encaje con tu operativa y que te permita entender qué ocurre cuando una transacción necesita verificación adicional. Puedes ampliar esta parte en nuestras guías sobre cómo aceptar pagos con tarjeta en un negocio, las mejores pasarelas de pago para ecommerce y la comparación entre enlace de pago y TPV virtual.
Opción recomendada: para muchos pequeños comercios que quieren combinar cobro presencial y remoto, Teya es una alternativa que merece la pena comparar. En España ofrece datáfonos, Tap to Pay, enlaces de pago y soluciones de pagos online. Antes de contratar, revisa las condiciones y costes que correspondan a tu negocio; si te encaja, puedes consultar la oferta de Teya.
Una última precaución: nunca apruebes una operación que no reconozcas solo porque recibas una solicitud de autenticación. La SCA añade protección, pero sigue siendo importante comprobar el importe y el comercio antes de confirmar. El Banco de España explica cómo funciona la autenticación reforzada y por qué forma parte de las medidas de seguridad de los pagos electrónicos.
Si estás valorando esta solución para tu negocio, nuestro análisis de Teya te ayuda a revisar su propuesta antes de decidir.
Conclusión
La autenticación reforzada SCA protege los pagos electrónicos mediante dos factores independientes y forma parte de las medidas de seguridad de PSD2. No se aplica de la misma manera a todas las operaciones: existen exenciones y distintos flujos según el tipo de pago y el riesgo.
Como cliente, comprueba siempre el importe y el comercio antes de autorizar. Como negocio, el siguiente paso es usar una solución de cobro que gestione correctamente la autenticación sin sacrificar seguridad ni hacer el pago más difícil de lo necesario.
