Republic / Artiklar /

Artikeln uppdaterad 2025-02-05.
Skriven av Christofer Sandin.

Stark kund­verifiering vid kort­betalningar

EU:s nya regelverk för kortbetalningar, Strong Customer Authentication (SCA), började att gÀlla redan 14 september 2019, sÄ det har varit pÄ gÄng ett tag, men frÄn och med 1 januari 2021 Àr övergÄngsfasen slut och lagen gÀller för alla kortköp i EU. PÄ svenska kallas regelverket för stark kundverifiering.

Kravet ingÄr i ett större regelverk som kallas Payment Services Directive 2 (PSD2) som antogs av EU för nÄgra Är sedan och syftet Àr att skapa bÀttre förutsÀttningar för sÀkra och effektiva betalningar, framförallt för privatpersoner.

SCA gĂ€ller för alla kortbetalningar som görs av konsumenter inom EU. Det finns visserligen undantag, exempelvis om köpet Ă€r under €30 och har lĂ„g risk, men du mĂ„ste Ă€ndĂ„ ha ett system pĂ„ plats för de köp som inte tĂ€cks av undantagen.

Vad det betyder i praktiken Àr att sÀljare inom EU mÄste verifiera köp med hjÀlp av sÄ kallad tvÄfaktorsautentisering för att bankerna skall lÄta köpet gÄ igenom.

Vad betyder autentisering med tvÄ faktorer?

TvÄfaktorsautentisering (2FA) Àr en sÀkerhetslösning som gÄr ut pÄ att du mÄste kunna verifiera dig med tvÄ olika saker för att autentiseringen skall godkÀnnas.

TvÄ faktorer betyder alltsÄ egentligen bara tvÄ olika saker.

Det vanligaste exemplet Àr troligen nÀr du knappar in ett lösenord pÄ Internet och Àven mÄste knappa in en engÄngskod som du fÄr via SMS. DÄ skyddas du av tvÄ faktorer, ditt lösenord som du kan och engÄngskoden som skickats till din telefon.

I fallet ovan sÄ skickas engÄngskoden till din telefon vilket gör det mycket svÄrare att hacka ditt konto, jÀmfört med om man endast behöver kunna ett lösenord, eftersom man dÄ Àven mÄste antingen komma över sms:et eller ha fysisk tillgÄng till telefonen.

MÄnga större företag har bÄde implementerat och rekommenderar tvÄfaktorsautentisering pÄ senare tid, bland annat Apple för att skydda ditt Apple-ID och Google för att skydda ditt Google-konto.

Hur fungerar tvÄfaktorsautentisering vid kortköp?

För att godkÀnna ett köp mÄste köpare i EU alltsÄ verifiera sig med tvÄ av följande faktorer gentemot sin bank efter 1 januari 2021:

  • nĂ„got som köparen vet (exempelvis kod/lösenord),
  • nĂ„got som köparen har (exempelvis en mobilenhet eller en dator), och
  • nĂ„got som köparen Ă€r (del av den fysiska personen sĂ„ som t.ex. ett fingeravtryck).

I stort Àr detta givetvis bra, dÄ det gör hela köpupplevelsen sÀkrare för individen, men det kommer Àven innebÀra en rejÀl omstÀllning.

I vissa fall kommer det inte att pÄverka sÄ mycket, utan flyta pÄ relativt naturligt, men i andra fall kommer sÀljaren fÄ det betydligt svÄrare att arbeta som innan.

Betalningsflöden dÀr man betalar direkt (sÄ som vid en checkout i en webbshop) pÄverkas inte speciellt mycket, dÄ det Àr relativt naturligt att koppla pÄ ytterligare en faktor i det steget.

Flöden dÀr man klassiskt sparat undan kortuppgifter för att sedan dra pengar vid ett senare tillfÀlle kommer bli betydligt krÄngligare (sÄ som exempelvis hotell ofta arbetar) dÄ detta kan leda till att köparen mÄste verifiera köpet Àven vid ett senare tillfÀlle, vilket lÀr bli vÀldigt mycket krÄngligare att fÄ till för sÀljaren.

Stripe har tagit fram en kort film pÄ tvÄ minuter som förklarar detta

I praktiken betyder detta följande; i de fall dÀr en stark kundverifiering behövs dyker det upp ett nytt steg mellan steget dÄ anvÀndaren skriver in sina kortuppgifter och steget dÀr det dras pengar frÄn kortet. I detta steg kommer den nya 2FA att Àga rum.

Det nya steget kan dÀremot se lite olika ut beroende pÄ vilken bank kunden har, men kommer innehÄlla en verifiering av ytterligare en faktor sÄ som

  • en engĂ„ngskod,
  • att man skall verifiera sig i bankens app,
  • att man skall verifiera sig med Mobilt BankID, eller
  • verifiera sig med ett fingeravtryck,

för att fÄ till en 2FA.

Stöd för 2FA?

Det finns en standard som heter 3D Secure (3DS) som kan anvÀndas redan idag, och som faktiskt anvÀnds av mÄnga svenska banker, som i teorin borde rÀcka för att leva upp till SCA dÄ 3D Secure innebÀr att köparen mÄste göra ytterligare en verifiering vid köpet. Standarden kallas Àven ibland för andra saker av kortbolagen, sÄ som Visa Secure och Mastercard Identity Check.

I Sverige skedde detta tidigare ofta via en bankdosa men har idag nÀstan mer eller mindre ersatts av Mobilt BankID eller bankens app.

Det finns Àven en ny standard som heter 3D Secure 2 (3DS2) som bankerna successivt började gÄ över till under 2019. Anledningen Àr att 3DS2 Àr framtagen för att göra det enklare att leva upp till de nya lagkraven och SCA.

Hur ser det ut för Craft Commerce och Stripe?

För oss Àr Stripe den betalningsmottagaren som vi oftast anvÀnder oss av nÀr vi bygger e-handel. Stripe har ett API som heter Payment Intents API som har inbyggt stöd för SCA. Stripe listar ut om kunden behöver verifiera sig pÄ fler Àn ett sÀtt, och om det behövs sÄ sker en tvÄfaktorsautensiering. Behövs det inte, sÄ sker kortköpet direkt. Smidigt.

Craft Commerce och Stripe har stöd inbyggt.

För Craft Commerce finns en uppdaterad version av den officiella plug-in som sköter kommunikationen med Stripe, Stripe for Craft Commerce, som har stöd för deras Payment Intents API.

SÄ för vÄr favoritkombination, e-handel med Craft Commerce och betalningar via Stripe, sÄ Àr det alltsÄ grönt ljus.

Referenser