Pago seguro: estándares y certificaciones en e-commerce

En materia de pago en línea, la cuestión no es si se producirá un incidente, sino quién va a afrontar el costo. La respuesta depende de dos elementos: el cumplimiento de la norma aplicable a los datos de tarjeta, y el uso efectivo de la autenticación fuerte. Un comercio que cumple con ambos puntos asume poco riesgo; un comercio que evitó la autenticación para agilizar su embudo de compra asume la totalidad de los impagos fraudulentos.

La autenticación fuerte, y quién paga en caso de fraude

La directiva europea sobre servicios de pago exige una autenticación fuerte del cliente para la mayoría de las operaciones en línea. Se basa en al menos dos elementos independientes entre tres categorías: algo que el cliente sabe (contraseña, código), algo que posee (teléfono, tarjeta), algo que es (huella digital, reconocimiento facial).

La regla de responsabilidad que se desprende de esto es simple y a menudo mal entendida:

• Cuando la autenticación fuerte fue aplicada, la carga de una operación fraudulenta impugnada no recae sobre el comercio.
• Cuando fue descartada —mediante una excepción invocada por el comercio o su proveedor de pago— el riesgo pasa a quien solicitó la excepción.

Existen excepciones: operaciones de bajo monto, beneficiarios de confianza registrados por el cliente, análisis de riesgo en tiempo real bajo ciertas condiciones. Estas agilizan el recorrido de compra, a costa de un traslado de responsabilidad que debe asumirse con conocimiento de causa.

El cliente además cuenta con un derecho al reembolso en caso de operación no autorizada, que su banco debe ejecutar sin demora, salvo sospecha de fraude por su parte. El litigio se resuelve luego entre las entidades y el comercio.

La norma aplicable a los datos de tarjeta

Toda entidad que almacena, procesa o transmite datos de tarjeta está sujeta a la norma de seguridad del sector, independientemente de su volumen de actividad. El nivel de exigencia varía según la cantidad de transacciones anuales, pero el principio no se negocia.

La forma más eficaz de reducir esta carga es reducir el alcance. Un comercio que nunca tiene acceso a los datos de tarjeta —porque la ingresión se realiza en un campo alojado por el proveedor de pago, o en una página redirigida— ve sus obligaciones considerablemente aligeradas.

Dos prácticas anulan este beneficio y se dan con frecuencia: recibir un número de tarjeta por correo electrónico o por teléfono e ingresarlo uno mismo, y guardar números en un archivo “para facilitar los próximos pedidos”. En ambos casos, el alcance se extiende a toda la infraestructura que tuvo contacto con el dato.

La tokenización es la respuesta a la necesidad de pago recurrente: el comercio conserva un token inutilizable fuera de su contexto, nunca el número en sí.

Lo que corresponde a la protección de datos

Los datos de pago son datos personales, y su tratamiento se suma a las obligaciones sectoriales sin reemplazarlas.

Tres puntos estructuran el cumplimiento: una base legal para cada tratamiento, un plazo de conservación limitado a lo necesario, y un marco contractual del proveedor de pago en su carácter de encargado del tratamiento.

La conservación de los datos bancarios para facilitar una compra posterior requiere el consentimiento específico del cliente, distinto de la aceptación de los términos y condiciones. Una única casilla que abarque tanto los términos y condiciones como la conservación de la tarjeta no cumple con este requisito —el mismo razonamiento expuesto para los rastreadores y cookies, donde el consentimiento debe recabarse por finalidad.

Los impagos y la lucha contra el fraude

Dos riesgos distintos pesan sobre un comercio, y requieren respuestas diferentes.

El impago fraudulento resulta de una tarjeta robada o de una usurpación de identidad. La autenticación fuerte lo neutraliza al trasladar la carga. Es el único mecanismo que protege realmente.

El contracargo abusivo se da cuando un cliente impugna una operación que efectivamente realizó. Aquí, la autenticación no basta: hay que poder demostrar la entrega y la conformidad de la prestación. Las pruebas útiles son la trazabilidad del envío, la constancia de entrega y el historial de intercambios —tema desarrollado en nuestro artículo sobre las obligaciones de entrega y devoluciones.

Un tercer mecanismo limita ambos riesgos: el establecimiento de topes y filtrado de operaciones atípicas, por monto, por frecuencia o por zona geográfica.

Escenarios de uso

Tienda en línea estándar. Utilizar un campo de ingreso alojado por el proveedor de pago, nunca tocar los datos de tarjeta, mantener la autenticación fuerte activada por defecto. Es la configuración que minimiza tanto la carga de cumplimiento como el riesgo financiero.

Suscripción recurrente. Recurrir a la tokenización, con un consentimiento específico del cliente para la conservación del medio de pago, distinto de la aceptación de los términos y condiciones.

Venta por teléfono. Es la situación más riesgosa: no hay autenticación fuerte, los datos se dictan de forma oral. Es preferible enviar un enlace de pago, que devuelve la operación al marco seguro y deja un registro.

Preguntas frecuentes

¿Es obligatoria la autenticación fuerte? Sí, para la mayoría de las operaciones en línea, salvo excepciones reguladas. Invocar una excepción traslada la carga del fraude a quien la solicita.

¿Quién paga en caso de fraude con tarjeta? Si se aplicó la autenticación fuerte, la carga no recae sobre el comercio. Si fue descartada mediante una excepción, pasa a quien la solicitó.

¿Hay que estar certificado para vender en línea? La norma se aplica desde el momento en que se almacenan, procesan o transmiten datos de tarjeta. El nivel de exigencia depende del volumen, pero el alcance se reduce fuertemente cuando el comercio nunca accede a los datos.

¿Se puede conservar un número de tarjeta? No en texto plano, y no sin consentimiento específico. La tokenización permite el pago recurrente sin conservar el número en sí.

¿Se puede ingresar un número recibido por correo electrónico? Es algo que debe evitarse absolutamente: el dato entra entonces en el alcance de cumplimiento de toda la infraestructura que lo procesó, incluida la casilla de correo.

¿Cómo defenderse ante una impugnación abusiva? Mediante la prueba de entrega y de conformidad: trazabilidad del envío, constancia de entrega, historial de intercambios. La autenticación por sí sola no responde a este reclamo.

Para recordar

Dos decisiones determinan la exposición de un comercio en línea, y ambas se toman en el momento de elegir su plataforma de pago.

La primera es no acceder nunca a los datos de tarjeta, dejando que la ingresión se realice del lado del proveedor de pago. Esto reduce la carga de cumplimiento en proporciones considerables y elimina el riesgo de filtración.

La segunda es mantener la autenticación fuerte en lugar de invocar excepciones para agilizar el recorrido de compra. Cada excepción gana algunos puntos de conversión y traslada el costo del fraude. El cálculo merece hacerse de forma explícita, comparando la tasa real de impagos con la ganancia de conversión —es uno de los compromisos estructurales del marco legal de una tienda en línea.