Desde el 14 de septiembre de 2019, todos los comercios que aceptan pagos en línea están sujetos a la PSD2. Sin embargo, entre la jerga técnica, las exenciones que deben dominarse y los próximos cambios normativos, muchos gestores de microempresas y pequeñas empresas aún se encuentran en una situación desconocida. El resultado: flujos de pago que no cumplen con la normativa, carritos de compra abandonados evitables y una exposición innecesaria al fraude. Este artículo ofrece una visión general clara y práctica de la directiva, sus requisitos concretos y las medidas que debe implementar hoy mismo. Djaboo ofrece un módulo específico para: pagos.
PSD2: Definición y objetivos de la directiva europea
PSD2, o Segunda Directiva Europea sobre Servicios de Pago (en inglés: Directiva de servicios de pago 2), es un texto normativo adoptado por el Parlamento Europeo en 2015 y que entró en vigor en los Estados miembros a partir de 2018. En Francia, fue transpuesto mediante la ordenanza del 9 de agosto de 2017 y el decreto del 31 de julio de 2018, bajo la supervisión de la Autoridad de Control Prudencial y Resolución (ACPR) y el Banco de Francia.
Esta directiva sustituye a la primera Directiva de Servicios de Pago (PSD1) de 2007, cuyo marco se había vuelto inadecuado ante el auge del comercio electrónico y la aparición de nuevos actores en el ámbito de los pagos digitales.
Sus tres objetivos principales:
La directiva se aplica cuando tanto el banco del pagador como el del comerciante están ubicados en el EEE. Afecta a todos los proveedores de servicios de pago: bancos, entidades de pago, entidades de dinero electrónico, pero también, indirectamente, a todos los comercios que aceptan pagos con tarjeta en línea.
Autenticación reforzada del cliente (SCA): el núcleo de la PSD2
Autenticación fuerte del cliente, conocida por el acrónimo inglés SCA (Autenticación fuerte del cliente), es la medida más visible de PSD2 para los comerciantes en línea. Requiere la verificación de la identidad del pagador utilizando al menos dos factores distintos entre las siguientes tres categorías:
Estos dos factores deben pertenecer a categorías diferentes y ser independientes entre sí: comprometer uno no debe comprometer el otro. Además, deben estar vinculados dinámicamente al monto de la transacción y a su beneficiario.
En concreto, para su cliente: Al realizar un pago en tu sitio web, el banco del usuario le envía una notificación a su aplicación móvil. A continuación, el usuario valida el pago con su huella digital o código de seguridad. Esta es la experiencia más común hoy en día, posible gracias al protocolo 3-D Secure 2 (véase la sección 6).
La SCA se aplica a tres situaciones:
La efectividad de esta medida es cuantificable. Según el informe anual de 2023 del Observatorio de Seguridad de Pagos (OSMP), gestionado por el Banco de FranciaLa tarjeta bancaria tiene una tasa de fraude históricamente baja. 0,053% En 2023, alcanzó su nivel más bajo jamás registrado. El informe destaca explícitamente que este resultado es posible gracias a la solidez de la autenticación reforzada.
¿Qué cambia esto realmente para los minoristas en línea?
Antes de la PSD2, bastaba con el número de tarjeta bancaria, la fecha de caducidad y el código de seguridad para validar una compra online. Eso ya es cosa del pasado. A continuación, te mostramos cómo la directiva ha cambiado tus operaciones diarias.
Usted no es directamente responsable de la autenticación.Sin embargo, usted asume las consecuencias. Es su proveedor de servicios de pago (PSP) quien implementa técnicamente la SCA. Por otro lado, usted elige su PSP, configura sus flujos de pago y transmite los datos que permiten al banco de su cliente evaluar el riesgo de la transacción.
Lo que esto significa para usted, específicamente:
Desde mayo de 2025, el plan del Observatorio de Seguridad de Pagos (OSMP) ha reforzado la aplicación de estas normas en Francia: cualquier transacción iniciada sin autenticación reforzada ahora se rechaza sistemáticamente, a menos que se conceda una exención justificada explícitamente. Según Payplug, los pagos sin 3-D Secure generan cuatro veces más fraude que los pagos se autenticaron correctamente (0,358% frente a 0,095%).
Exenciones de la autenticación reforzada (cantidades pequeñas, suscripciones, MIT…)
La PSD2 no exige autenticación reforzada para todas las transacciones. Varias excepciones permiten un proceso de compra más fluido sin comprometer la seguridad. Estas son las principales, según lo define la normativa.
Exención por monto bajo
Pagos en línea que no excedan € 30 pueden estar exentos de la SCA. Esta exención se aplica bajo dos condiciones acumulativas:
Una vez que se alcanza uno de estos umbrales, la autenticación reforzada vuelve a ser obligatoria para la siguiente transacción.
Exención mediante análisis de riesgo de transacción (TRA)
Los proveedores de pago que mantengan una tasa de fraude suficientemente baja pueden solicitar exenciones para importes mayores. Los umbrales reglamentarios son los siguientes:
Es el proveedor de servicios de pago (PSP) adquirente (del comercio) o el banco emisor (del cliente) quien puede solicitar esta exención. Si el adquirente la solicita y el emisor la acepta, la responsabilidad en caso de fraude recae sobre el adquirente y, por extensión, sobre el comercio.
Exención para beneficiario de confianza
Un cliente puede solicitar a su banco que añada tu sitio web a una lista blanca. De esta forma, las compras posteriores en tu tienda estarán exentas de la Autenticación de Cargo Único (SCA). Esta función es útil para fidelizar a los clientes habituales, pero es el propio cliente quien debe solicitarla a su banco.
Exención para pagos recurrentes (suscripciones)
Para una suscripción de importe fijo que beneficia al mismo destinatario, solo el primera transacción Está sujeto a autenticación reforzada. Los retiros posteriores están exentos, siempre que el monto y el beneficiario permanezcan iguales.
Transacciones iniciadas por el comerciante (MIT)
Los MIT (Transacciones iniciadas por el comercianteSe trata de pagos iniciados por el comerciante sin interacción con el cliente, en el marco de un contrato preexistente. Cubren la facturación recurrente de importe variable, los cargos por no presentarse o los pagos aplazados. Para que sean válidos, deben cumplirse dos condiciones: un mandato contractual claro y una transacción inicial autenticada mediante 3-D Secure 2. Desde el segundo trimestre de 2025, la conexión incompleta entre la transacción inicial y las MIT (Transacciones Mensuales de Intercambio) posteriores se penaliza con un límite de velocidad de 0 € para los comerciantes que no cumplen con la normativa.
PSD2 y banca abierta: acceso a los datos bancarios
Más allá de la seguridad de los pagos, la PSD2 introdujo un segundo componente de estructuración:open bankingEste mecanismo exige que los bancos abran el acceso a los datos de sus clientes a proveedores externos autorizados, a través de interfaces de programación de aplicaciones (API) estandarizadas y con el consentimiento explícito del cliente.
Se han creado dos categorías de actores terceros:
Para los comerciantes, la banca abierta representa una oportunidad concreta: ofrecer el pago mediante transferencia bancaria instantánea, sin las comisiones de intercambio asociadas a las tarjetas bancarias y sin el riesgo de contracargos.contracargo), ya que la transacción es irrevocable.
Sin embargo, la realidad sobre el terreno aún necesita mejorar. Un estudio independiente encargado por varias empresas fintech francesas y publicado en enero de 2024 por la consultora Frame revela que solo El 44% de los pagos iniciados a través de las API bancarias se realizan con éxito., en comparación con una tasa de éxito de 95% para consulta de cuenta. En el 84% de los casos de rechazo, los bancos no proporcionan ninguna explicación al iniciador del pago sobre los motivos del fallo, según France FinTech.
Estas deficiencias explican por qué la banca abierta aún no ha cumplido plenamente sus promesas para los comerciantes. La PSD3, que se está adoptando actualmente, tiene como objetivo precisamente corregir estas disfunciones (véase la sección 8).
Cómo adaptar su sistema de procesamiento de pagos a la normativa (3-D Secure 2, proveedores de servicios)
Para cumplir con la PSD2, es necesario recurrir a unas pocas acciones concretas, accesibles incluso sin conocimientos técnicos especializados.
Paso 1: Comprueba que tu PSP sea compatible con 3-D Secure 2.
Este es un requisito indispensable. Los principales proveedores de pago del mercado (Stripe, PayPal y las soluciones bancarias francesas) ahora son compatibles de forma nativa con 3DS2. Si utiliza un proveedor de pago antiguo o una solución personalizada, verifique explícitamente que sus transacciones se procesen mediante el protocolo 3DS2 y no con la versión anterior.
Paso 2: Enriquecer los datos transmitidos con cada transacción.
El protocolo 3DS2 permite transmitir más de 100 campos de datos al banco emisor. Cuanto más completa sea su solicitud, mayor será la probabilidad de que el banco apruebe el pago. sin fricción (sin que el cliente tenga que intervenir). Los datos clave que se deben transmitir son: la dirección de correo electrónico del cliente, su dirección IP, el tipo de navegador y dispositivo, la dirección de entrega y el historial de compras en su sitio web.
Paso 3: Implementar una gestión gradual del declive
Su sistema de pago debe poder detectar un declive suave y reiniciar automáticamente la transacción con una solicitud de autenticación reforzada. Sin este mecanismo, se pierden ventas que se podrían haber cerrado.
Paso 4: Protege tus feeds y suscripciones del MIT
Si ofrece suscripciones o pagos recurrentes, asegúrese de que cada transacción esté vinculada a una transacción inicial autenticada mediante 3DS2. Conserve la prueba de autorización (términos y condiciones aceptados, registros de aceptación, contrato). A partir de 2025, ya no se permiten identificadores vacíos o genéricos.
Paso 5: Elija un PSP que se adapte a su negocio.
Para una empresa muy pequeña o una PYME, elegir el proveedor de pagos adecuado es crucial. Un buen PSP gestiona el cumplimiento de la PSD2 por usted, optimiza sus exenciones y lo protege contra el fraude. También debería proporcionarle indicadores claros sobre sus tasas de autenticación, sin fricción y fracaso.
El impacto en la tasa de conversión y cómo limitarlo
Esta es la principal preocupación de los vendedores online: ¿la autenticación reforzada ahuyenta a los clientes? La respuesta sincera es: depende de la calidad de su implementación.
Durante la implementación inicial de SCA, algunos comerciantes observaron una disminución en las tasas de conversión. 10 a 25% En los primeros meses, las dificultades se debieron principalmente a recorridos de usuario mal optimizados y a la inquietud de los clientes ante estos nuevos pasos. La situación ha mejorado significativamente desde entonces, gracias a la adopción generalizada del método. sin fricción del protocolo 3DS2.
Hoy, entre Entre el 70 y el 90% de las transacciones 3DS2 se llevan a cabo en modo sin fricciónEs decir, sin que el cliente tenga que hacer nada. El banco evalúa el riesgo en segundo plano, en menos de un segundo, y aprueba el pago automáticamente. El cliente no ve nada. Esta es la experiencia ideal a la que aspirar.
Palancas para maximizar su tasa de conversión sin fricciones:
Hacia la PSD3: lo que nos espera
PSD2 no es la última palabra sobre las regulaciones europeas de pago. El 27 de noviembre de 2025, el Parlamento Europeo y el Consejo alcanzaron un acuerdo político sobre la Tercera Directiva de Servicios de Pago (PSD3) y el Reglamento de Servicios de Pago (PSR)Según el Parlamento Europeo, se prevé su publicación formal en el primer semestre de 2026, y la primera fase de implementación entre finales de 2026 y principios de 2027.
¿Qué cambia con la PSD3?
Según el presidente de Afepame, el paquete DSP3/RSP representa "el paquete de madurez: reconoce las limitaciones de DSP2, es más firme en cuanto a las API y fomenta una mayor cooperación entre las partes interesadas".
Para los comerciantes, la PSD3 no pone en entredicho los fundamentos establecidos por la PSD2, sino que los refuerza. Las empresas que ya hayan optimizado sus procesos de pago y protegido sus datos estarán mejor posicionadas para asumir estas nuevas obligaciones.
Djaboo y la gestión de tu flujo de caja
Gestionar el cumplimiento de la PSD2 no se trata solo de elegir el proveedor de servicios de pago adecuado. Forma parte de una organización más amplia de su negocio: seguimiento de facturas, gestión de pagos recurrentes, trazabilidad de mandatos y gestión de relaciones con los clientes.
Esto es precisamente lo que Djaboo ofrece a las microempresas y pymes. Su plataforma integral centraliza la gestión financiera, la facturación, el CRM y la gestión de proyectos en un único espacio de trabajo. Puedes registrar un cliente y emitir una factura en menos de dos minutos, sin necesidad de conocimientos técnicos ni contables. Los pagos y documentos se gestionan directamente desde tu panel de control, lo que te proporciona una visibilidad completa de tu negocio, incluidas las transacciones recurrentes que deben cumplir con los requisitos de la PSD2.
Preguntas frecuentes: Sus preguntas sobre PSD2
¿Se aplica la directiva PSD2 a mi sitio web si mis clientes están en Francia y mi banco también está en Francia?
Sí. La PSD2 se aplica siempre que tanto el banco del pagador como el del comerciante estén ubicados dentro del Espacio Económico Europeo (EEE). Si usted es un comerciante francés y sus clientes pagan con tarjetas emitidas por bancos franceses o europeos, se verá afectado en su totalidad. Sin embargo, si una de las dos partes (su entidad adquirente o el banco de su cliente) se encuentra fuera del EEE, la transacción se considera de "un solo paso" y no está sujeta a los requisitos de la SCA.
¿Qué ocurre si no cumplo con la directiva PSD2?
Desde mayo de 2025, cualquier transacción iniciada sin autenticación reforzada (y sin una exención justificada) es rechazada sistemáticamente. declive suave por emisores franceses. Más allá de la pérdida de ingresos, el principal riesgo es financiero: en caso de fraude en una transacción no autenticada, la responsabilidad recae directamente sobre usted, no sobre el banco emisor. Su proveedor de servicios de pago (PSP) también puede penalizarlo con un límite de velocidad si sus flujos MIT no están correctamente encadenados.
¿Necesito solicitar una autenticación reforzada para cada pago de suscripción?
No. Solo la primera transacción de una suscripción de importe fijo está sujeta a la SCA. Los cargos posteriores del mismo importe y al mismo beneficiario están exentos. Sin embargo, si el importe varía, la situación es más compleja y depende de las prácticas de cada institución. Para los MIT de importe variable, un mandato contractual claro y una transacción inicial autenticada son esenciales. En caso de duda, consulte los recursos de la Banco de Francia o deACPR.
¿Cuándo entrará en vigor la PSD3 y debería prepararme desde ahora?
En noviembre de 2025 se alcanzó un acuerdo político. Se prevé su publicación formal en el primer semestre de 2026. El Reglamento de Servicios de Pago (PSR), que incluye las principales obligaciones operativas (SCA, fraude, banca abierta), será directamente aplicable en toda la UE sin transposición nacional, aproximadamente 18 meses después de su publicación, y se espera que la primera fase de implementación se produzca entre finales de 2026 y principios de 2027. No es necesario cambiarlo todo de inmediato, pero las decisiones que tome hoy sobre la arquitectura y la selección de proveedores determinarán su nivel de cumplimiento en el futuro. La mejor preparación posible es comenzar optimizando sus flujos actuales de PSD2.
