Dal 14 settembre 2019, ogni commerciante che accetta pagamenti online è soggetto alla PSD2. Tuttavia, tra il gergo tecnico, le esenzioni da padroneggiare e i prossimi cambiamenti normativi, molti responsabili di micro e piccole imprese si trovano ancora a navigare in acque inesplorate. Il risultato: flussi di pagamento non conformi, carrelli abbandonati evitabili e un'inutile esposizione alle frodi. Questo articolo fornisce una panoramica chiara e pratica della direttiva, di ciò che richiede in termini concreti e di cosa è necessario implementare oggi stesso. Djaboo offre un modulo dedicato: paiements.
PSD2: Definizione e obiettivi della direttiva europea
PSD2, ovvero la seconda direttiva europea sui servizi di pagamento (in inglese: Direttiva sui servizi di pagamento 2Il Regolamento generale sulla vigilanza sui mercati finanziari (GDPR) è un testo normativo adottato dal Parlamento europeo nel 2015 ed entrato in vigore negli Stati membri a partire dal 2018. In Francia, è stato recepito con l'ordinanza del 9 agosto 2017 e il decreto del 31 luglio 2018, sotto la supervisione dell'Autorità prudenziale, di controllo e di risoluzione (ACPR) e della Banca di Francia.
Essa sostituisce la prima Direttiva sui servizi di pagamento (PSD1) del 2007, il cui quadro normativo era diventato inadeguato di fronte alla crescita del commercio online e all'emergere di nuovi operatori nel settore dei pagamenti digitali.
I suoi tre obiettivi principali:
La direttiva si applica quando sia la banca del pagatore che quella dell'esercente hanno sede nello Spazio economico europeo (SEE). Riguarda tutti i prestatori di servizi di pagamento: banche, istituti di pagamento, istituti di moneta elettronica, ma anche, indirettamente, tutti gli esercenti che accettano pagamenti con carta online.
Autenticazione forte del cliente (SCA): il cuore della PSD2
Autenticazione forte del cliente, nota con l'acronimo inglese SCA (Strong Customer Authentication), è la misura più visibile della PSD2 per i commercianti online. Richiede la verifica dell'identità del pagatore utilizzando almeno due fattori distinti tra le seguenti tre categorie:
Questi due fattori devono appartenere a categorie diverse ed essere indipendenti l'uno dall'altro: la compromissione di uno non deve compromettere l'altro. Devono inoltre essere dinamicamente collegati all'importo della transazione e al suo beneficiario.
Nello specifico, per il vostro cliente: Quando effettuano un pagamento sul vostro sito, la loro banca invia una notifica alla loro app mobile. A quel punto, convalidano il pagamento con la loro impronta digitale o con il codice di sicurezza. Questa è la procedura più comune al giorno d'oggi, resa possibile dal protocollo 3-D Secure 2 (vedere la sezione 6).
L'SCA si applica a tre situazioni:
L'efficacia di questa misura è misurabile. Secondo il rapporto annuale 2023 dell'Osservatorio sulla sicurezza dei pagamenti (OSMP), gestito dal Banca di FranciaLa carta bancaria ha un tasso di frode storicamente basso di 0,053% Nel 2023, ha raggiunto il livello più basso mai registrato. Il rapporto sottolinea esplicitamente che questo risultato è reso possibile dalla robustezza dell'autenticazione forte.
Cosa cambia concretamente per i rivenditori online?
Prima della PSD2, per convalidare un acquisto online bastavano il numero della carta di credito, la data di scadenza e il codice di sicurezza. Quei tempi sono finiti. Ecco come la direttiva ha cambiato le vostre operazioni quotidiane.
Non sei direttamente responsabile dell'autenticazioneTuttavia, le conseguenze ricadono su di te. È il tuo fornitore di servizi di pagamento (PSP) che, tecnicamente, implementa l'autenticazione forte del cliente (SCA). D'altro canto, sei tu a scegliere il tuo PSP, a configurare i flussi di pagamento e a trasmettere i dati che consentono alla banca del tuo cliente di valutare il rischio della transazione.
Cosa significa questo per te, nello specifico:
Dal maggio 2025, il piano dell'Osservatorio sulla sicurezza dei pagamenti (OSMP) ha rafforzato l'applicazione di queste regole in Francia: qualsiasi transazione avviata senza autenticazione forte viene ora sistematicamente rifiutata, a meno che non venga concessa un'esenzione esplicitamente giustificata. Secondo Payplug, i pagamenti senza 3-D Secure generano quattro volte più frodi che i pagamenti siano stati autenticati correttamente (0,358% contro 0,095%).
Esenzioni dall'autenticazione forte (piccoli importi, abbonamenti, MIT…)
La PSD2 non richiede l'autenticazione forte per ogni transazione. Diverse esenzioni consentono un processo di acquisto più agevole senza compromettere la sicurezza. Ecco le principali, come definite dal regolamento.
Esenzione per importi bassi
Pagamenti online non superiori a 30 € potrebbe essere esente da SCA. Questa esenzione si applica in presenza di due condizioni cumulative:
Una volta raggiunta una di queste soglie, l'autenticazione forte diventa nuovamente obbligatoria per la transazione successiva.
Esenzione tramite analisi del rischio di transazione (TRA)
I fornitori di servizi di pagamento che mantengono un tasso di frode sufficientemente basso possono richiedere esenzioni per importi più elevati. Le soglie normative sono le seguenti:
È il fornitore di servizi di pagamento acquirente (PSP) (quello del commerciante) o la banca emittente (quella del cliente) che può richiedere questa esenzione. Se l'acquirente la richiede e l'emittente la accetta, la responsabilità in caso di frode ricade sull'acquirente e, di conseguenza, sul commerciante.
Esenzione per beneficiario fidato
Un cliente può chiedere alla propria banca di aggiungere il tuo sito web a una lista bianca. Gli acquisti successivi effettuati nel tuo negozio saranno quindi esenti dall'autenticazione a due fattori (SCA). Questa è una funzionalità utile per fidelizzare i clienti abituali, ma è il cliente stesso che deve richiederla alla propria banca.
Esenzione per i pagamenti ricorrenti (abbonamenti)
Per un abbonamento a importo fisso a beneficio dello stesso destinatario, solo il prima transazione è soggetto a forte autenticazione. I prelievi successivi sono esenti, a condizione che l'importo e il beneficiario rimangano gli stessi.
Transazioni avviate dal commerciante (MIT)
I MIT (Transazioni avviate dal commercianteSi tratta di pagamenti avviati dal commerciante senza interazione con il cliente, nell'ambito di un contratto preesistente. Riguardano ad esempio i pagamenti ricorrenti a importo variabile, le penali per mancata presentazione o i pagamenti differiti. Per essere validi, devono essere soddisfatte due condizioni: un mandato contrattuale esplicito e una transazione iniziale autenticata tramite 3-D Secure 2. Dal secondo trimestre del 2025, la mancata connessione tra la transazione iniziale e le successive MIT (Monthly Interchange Transactions) è penalizzata da un limite di velocità pari a 0 € per i commercianti non conformi.
PSD2 e open banking: accesso ai dati bancari
Oltre alla sicurezza dei pagamenti, la PSD2 ha introdotto una seconda componente di strutturazione:banca apertaQuesto meccanismo richiede alle banche di consentire l'accesso ai dati dei propri clienti a fornitori terzi autorizzati, tramite interfacce di programmazione standardizzate (API) e con il consenso esplicito del cliente.
Sono state create due categorie di soggetti terzi:
Per i commercianti, l'open banking rappresenta un'opportunità concreta: offrire il pagamento tramite bonifico bancario istantaneo, senza le commissioni di interscambio associate alle carte bancarie e senza il rischio di chargeback (chargeback), poiché la transazione è irrevocabile.
Tuttavia, la realtà sul campo necessita ancora di miglioramenti. Uno studio indipendente commissionato da diverse società fintech francesi e pubblicato nel gennaio 2024 dalla società di consulenza Frame rivela che solo Il 44% dei pagamenti avviati tramite API bancarie va a buon fine., rispetto a un tasso di successo di 95% per la consultazione del conto. Nell'84% dei casi di rifiuto, le banche non forniscono alcuna spiegazione all'iniziatore del pagamento in merito ai motivi del fallimento, secondo France FinTech.
Queste carenze spiegano perché l'open banking non ha ancora mantenuto appieno le promesse fatte agli esercenti. La PSD3, attualmente in fase di adozione, mira proprio a correggere queste disfunzioni (cfr. sezione 8).
Come adeguare i processi di pagamento alla conformità (3-D Secure 2, fornitori di servizi)
Raggiungere la conformità alla PSD2 si basa su alcune azioni concrete, accessibili anche senza competenze tecniche approfondite.
Passaggio 1: Verifica che la tua PSP supporti 3-D Secure 2
Questo è un prerequisito imprescindibile. I principali fornitori di servizi di pagamento sul mercato (Stripe, PayPal e le soluzioni bancarie francesi) supportano ora nativamente il protocollo 3DS2. Se si utilizza un fornitore di servizi di pagamento meno recente o una soluzione personalizzata, è necessario verificare esplicitamente che le transazioni vengano elaborate tramite il protocollo 3DS2 e non tramite la versione precedente.
Fase 2: Arricchire i dati trasmessi con ogni transazione
Il protocollo 3DS2 consente di trasmettere più di 100 campi dati alla banca emittente. Più completa è la richiesta, maggiori sono le probabilità che la banca approvi il pagamento. senza attrito (senza che il cliente debba intervenire). I dati chiave da trasmettere sono: l'indirizzo email del cliente, il suo indirizzo IP, il tipo di browser e dispositivo, l'indirizzo di consegna e la cronologia degli acquisti sul tuo sito.
Fase 3: Implementare una gestione graduale del declino
Il tuo sistema di pagamento deve essere in grado di rilevare un declino morbido e riavviare automaticamente la transazione con una richiesta di autenticazione forte. Senza questo meccanismo, si perdono vendite che si sarebbero potute concludere.
Passaggio 4: Proteggi i tuoi feed e abbonamenti MIT
Se offrite abbonamenti o pagamenti ricorrenti, assicuratevi che ogni transazione sia collegata a una transazione iniziale autenticata tramite 3DS2. Conservate la prova del mandato (termini e condizioni accettati, registri di accettazione, contratto). Gli identificativi vuoti o generici non sono più consentiti a partire dal 2025.
Passaggio 5: Scegli un PSP adatto alla tua attività
Per una piccola impresa o PMI, la scelta del fornitore di servizi di pagamento giusto è fondamentale. Un buon PSP gestisce per te la conformità PSD2, ottimizza le tue esenzioni e ti protegge dalle frodi. Dovrebbe inoltre fornirti indicatori chiari sui tuoi tassi di autenticazione, senza attrito e fallimento.
L'impatto sul tasso di conversione e come limitarlo
Questa è la principale preoccupazione dei rivenditori online: l'autenticazione forte allontana i clienti? La risposta onesta è: dipende dalla qualità dell'implementazione.
Durante la fase iniziale di implementazione dell'SCA, alcuni commercianti hanno riscontrato una diminuzione dei tassi di conversione. 10 al 25% Nei primi mesi, le difficoltà erano dovute principalmente a percorsi utente mal ottimizzati e al disagio dei clienti di fronte a queste nuove fasi. Da allora la situazione è migliorata significativamente, grazie all'adozione diffusa del metodo senza attrito del protocollo 3DS2.
Oggi, tra Dal 70 al 90% delle transazioni 3DS2 vengono eseguiti in modalità senza attritoOvvero, senza che il cliente debba fare nulla. La banca valuta il rischio in background, in meno di un secondo, e approva silenziosamente il pagamento. Il cliente non si accorge di nulla. Questa è l'esperienza ideale a cui puntare.
Leve per massimizzare il tasso di conversione senza attriti:
Verso PSD3: cosa ci aspetta
La PSD2 non è la parola definitiva sulla regolamentazione europea dei pagamenti. Il 27 novembre 2025, il Parlamento europeo e il Consiglio hanno raggiunto un accordo politico sulla PSD2. Terza direttiva sui servizi di pagamento (PSD3) e il Regolamento sui servizi di pagamento (PSR)Secondo il Parlamento europeo, la pubblicazione ufficiale è prevista per la prima metà del 2026, con la prima fase di attuazione tra la fine del 2026 e l'inizio del 2027.
Cosa cambia con PSD3:
Secondo il presidente di Afepame, il pacchetto DSP3/RSP rappresenta "quello più maturo: riconosce i limiti del DSP2, è più rigoroso in termini di API e incoraggia una maggiore cooperazione tra gli attori".
Per i commercianti, la PSD3 non mette in discussione le basi gettate dalla PSD2, bensì le rafforza. Le aziende che hanno già ottimizzato i propri processi di pagamento e protetto i propri dati saranno nella posizione migliore per assorbire questi nuovi obblighi.
Djaboo e la gestione del flusso di cassa
Gestire la conformità alla PSD2 non significa solo scegliere il fornitore di servizi di pagamento (PSP) giusto. È parte di un'organizzazione più ampia della tua azienda: tracciamento delle fatture, gestione dei pagamenti ricorrenti, tracciabilità dei mandati e gestione delle relazioni con i clienti.
Questo è esattamente ciò che Djaboo permette di fare alle microimprese e alle PMI. La piattaforma all-in-one centralizza la gestione finanziaria, la fatturazione, il CRM e la gestione dei progetti in un unico spazio di lavoro. È possibile registrare un cliente ed emettere una fattura in meno di due minuti, senza bisogno di competenze tecniche o contabili. Pagamenti e documenti vengono gestiti direttamente dalla dashboard, offrendo una visibilità completa sull'attività, comprese le transazioni ricorrenti che devono essere conformi ai requisiti della PSD2.
FAQ: Le vostre domande sulla PSD2
La PSD2 si applica al mio sito web se i miei clienti si trovano in Francia e anche la mia banca ha sede in Francia?
Sì. La PSD2 si applica a condizione che sia la banca del pagatore che quella del commerciante si trovino all'interno dello Spazio economico europeo (SEE). Se sei un commerciante francese e i tuoi clienti pagano con carte emesse da banche francesi o europee, sei pienamente interessato. Tuttavia, se una delle due parti (il tuo acquirente o la banca del tuo cliente) si trova al di fuori del SEE, la transazione è considerata "a singolo passaggio" e non è soggetta ai requisiti SCA.
Cosa succede se non sono conforme alla PSD2?
A partire da maggio 2025, qualsiasi transazione avviata senza autenticazione forte (e senza una giustificata esenzione) viene sistematicamente rifiutata. declino morbido da emittenti francesi. Oltre alla perdita di entrate, il rischio principale è finanziario: in caso di frode su una transazione non autenticata, la responsabilità ricade direttamente su di te, non sulla banca emittente. Il tuo PSP può anche penalizzarti con un limite di velocità se i tuoi flussi MIT non sono concatenati correttamente.
Devo richiedere l'autenticazione forte per ogni pagamento dell'abbonamento?
No. Solo la prima transazione di un abbonamento a importo fisso è soggetta a SCA. Gli addebiti successivi dello stesso importo e allo stesso beneficiario sono esenti. Tuttavia, se l'importo varia, la situazione è più complessa e dipende dalle prassi di ciascun istituto. Per i MIT a importo variabile, sono essenziali un mandato contrattuale chiaro e una transazione iniziale autenticata. In caso di dubbio, consultare le risorse dell' Banca di Francia o daACPR.
Quando entrerà in vigore la PSD3 e dovrei prepararmi fin da ora?
A novembre 2025 è stato raggiunto un accordo politico. La pubblicazione ufficiale è prevista per la prima metà del 2026. Il Regolamento sui servizi di pagamento (PSR), che contiene gli obblighi operativi principali (SCA, frode, open banking), sarà direttamente applicabile in tutta l'UE senza recepimento nazionale, circa 18 mesi dopo la sua pubblicazione, con la prima fase di implementazione prevista tra la fine del 2026 e l'inizio del 2027. Non è necessario cambiare tutto immediatamente, ma le decisioni relative all'architettura e alla selezione dei fornitori che prenderete oggi determineranno il vostro livello di conformità domani. Iniziare ottimizzando i flussi PSD2 attuali è la migliore preparazione possibile.
